Sobre malware que vino con el correo de las fotomultas

Muchos han preguntado cual es la acción, el propósito que tiene el malware que se descargaron al ser engañados por el Falso aviso de multas fotográficas . Encontramos un buen análisis de Maximiliano Cittadini en el Techie Blog. Allí explica que:

Cuando el usuario descarga el archivo y lo ejecuta, la rutina de descompresión UPX se ejecuta en memoria y se conecta a otro sitio web para descargar dos nuevos componentes, ...

Luego explica Maximiliano sobre uno de estos componentes:

Una de estas dos piezas de malware se encuentra diseñada para indagar todas aquellas contraseñas que pudieran estar alojadas dentro de la PC de la, ahora, víctima.

Y sobre el otro:

Por otro lado, la segunda pieza de código es un poco más interesante, ya que tenemos ante nosotros un troyano bancario dirigido a cuatro de los principales homebankings de Argentina.

La parte de troyano bancario está preparada para hacer su trabajo si se utilizan algunos de estos navegadores: Firefox, Chrome u Opera. Y los homebanking atacados son los de: Banco Frances, Santander Rio, Macro, y Standard Bank.

Luego explica que:

Si las URLs [de los homebanking detallados] están activas, se ejecutan dentro del malware distintas funciones que le permiten capturar la información del usuario, pidiéndole inclusive que ingrese los números de su tarjeta visa electron o más valores de su tarjeta de coordenadas. De esta manera, el malware envía la información robada a uno de los 8 servidores especialmente modificados para recibir los datos.

Como se ve, el malware tras estos envios de correos engañosos (phishing, malspam) tiene motivos económicos. Se trata de la obra de delincuentes que roban el dinero de las víctimas directamente desde su cuenta bancaria.

Raúl de la Redacción de Segu-Info en base a la fuente citada.