Cómo funciona el “jackpotting”, la nueva estafa para vaciar cajeros automáticos
Alertan sobre un ataque coordinado a cajeros automáticos en los Estados Unidos. El malware ya se había detectado en Europa y en algunos países de América Latina.
El sitio de seguridad Krebs on Security emitió una alerta durante el fin de semana acerca de una nueva modalidad de ataque a cajeros automáticos, la cual ha sido detectado por el Servicio Secreto de los EE.UU. y que en teoría permitiría extraer todo el dinero de las máquinas a una velocidad de más de 100 billetes por minuto, detalló Info Technology.
Los principales afectados son los cajeros de los fabricantes Diebold Nixdorf Inc. y NCR Corp., dos de los más grandes del mundo, ninguna de las empresas confirmó el monto que se perdió en estos ataques.
¿Cómo funciona?
El malware que están usando actualmente los delincuentes informáticos es una variente de un viejo software llamado Ploutus. Diseñado para el jackpotting en ATMs (técnica utilizada para robar grandes cantidades de dinero en metálico de un cajero sin tener que usar ninguna clase de tarjeta de crédito o débito), Ploutus ha sido ampliamente usado en los últimos años, dirigiéndose a cajeros NCR, especialmente en México en 2013.
Una nueva variante de Ploutus, denominada Ploutus-D, fue descubierta recientemente por los investigadores de la firma de seguridad FireEye. Aunque su modus operandi es idéntico al de sus predecesores, pero la novedad radica en que esta variante utiliza componentes de Kalignite, un software para ATMs del multifabricante KAL que se ejecuta en más de 40 fabricantes diferentes de ATMs. Al incorporar esta pieza de software "oficial", el malware puede conseguir el completo control de los dispositivos hardware del cajero tales como el dispensador, el lector de tarjetas o el teclado.
Los ciberdelincuentes podrían haber obtenido acceso al software de KAL robando cajeros físicos de los bancos o incluso mediante su compra a resellers autorizados.
El sitio de ciberseguridad 21Sec publicó una explicación paso a paso de cómo funciona este malware.
Los ciberdelincuentes consiguen el acceso físico al núcleo de la CPU del ATM rompiendo la fascia o mediante el uso de llaves.
Una vez han ganado acceso físico, consiguen acceso a los puertos USB o a la unidad de CD-ROM para infectar el ATM con el malware. Al mismo tiempo, conectan un teclado estándar para poder operar.
Ploutus-D contiene un ejecutable (AgilisConfigurationUtility.exe) y un Launcher (Diebold.exe). El ejecutable puede lanzarse como aplicación independiente o como servicio instalado por el Launcher, siendo controlado desde el teclado.
Ploutus-D se ejecuta en segundo plano esperando una combinación de teclas para su activación y toma de control del ATM. Más tarde, despliega un GUI personalizado que solicita un código de autorización para garantizar el control de la mula.
Si se otorga la autorización, PLOUTUS-D muestra detalles de la cantidad de dinero disponible en cada cajetín, y usa componentes XFS de Kalignite para interactuar con el dispensador de ATM, permitiendo así al ciberdelincuente lanzar múltiples comandos de dispensación de dinero hasta dejar el cajero sin efectivo (cash-out).
Los códigos de activación y dispensación se pueden enviar a PLOUTUS-D desde el teclado estándar conectado por el ciberdelincuente o desde el propio pinpad del ATM.
Por último, una vez se ha completado la acción de ‘cash-out’, PLOUTUS-D da la oportunidad de llevar a cabo un mecanismo de limpieza por el cual se elimina cualquier rastro del ataque.