Calidad de Software y Negocios

Troyano bancario: preocupa a bancos de USA

El troyano bancario Zeus/Zbot ha sido reportado como atacante de los sistemas de verificación Verified by Visa y MasterCard SecureCode, introducidos en años recientes para detener el antiguo fraude de tarjeta no presente (CNP o Card Not Present).

La empresa de seguridad Trusteer, que se ha forjado una especialidad en la presentación de informes sobre la actividad del troyano bancario Zeus/Zbot, no dice dónde y cómo encontró el último ataque, pero informó que está dirigido a clientes de 15 bancos de EE.UU. sin nombre.

Inseguridad Bancaria

Inseguridad Bancaria

Aprovechando una vulnerabilidad de tipo intermediario (el atacante intercepta la comunicación entre el usuario y el sitio web), el ataque se produce cuando se encuentra un acceso a un banco en una PC infectada. El malware intercepta la solicitud y falsifica el proceso de inscripción a través del cual los usuarios de tarjetas se registran por primera vez para el uso de Visa y de Mastercard, empleando pantallas convincentes.

Este proceso captura una gran cantidad de información sensible que podría ser utilizada para llevar a cabo fraudes CNP, pues incluye el registro de números del código de seguridad social, número de tarjeta, clave secreta o códigos de verificación. Estos datos son enviados en tiempo real a un servidor administrado por los atacantes.

Normalmente, una vez que esta inscripción se ha establecido, el sistema solo pide una contraseña cuando se compra en línea artículos, razón por la cual los atacantes han ido tras los nuevos usuarios que se incorporan al sistema. Un usuario ya establecido no sería, presumiblemente, vulnerable a menos que ingrese la contraseña que creó cuando se registró originalmente.

«Algunos usuarios pueden comenzar a sospechar cuando se le solicita introducir información de su tarjeta de crédito / tarjeta de débito como parte del proceso de ingreso a la página de banca en línea, pero este ataque usa los conocidos programas de prevención del fraude de conocida Visa y MasterCard para hacer que la petición parezca legítima», señaló el CTO de Trusteer, Amit Klein.

«Afortunadamente, los clientes de banca en línea protegidos por Trusteer Rapport no son vulnerables a este ataque ya que éste impide la inyección de HTML y evita que Zeus presente una solicitud de inscripción fraudulenta».

Aunque probablemente el último ataque es reciente, la técnica de suplantación de pantallas de verificación ha sido reportada de forma intermitente desde el 2009.

Una preocupación importante para los usuarios afectados por cualquier fraude como resultado de este truco es cómo explicar cómo un atacante se apoderó de los datos de verificación. Es muy posible que algunos bancos denieguen la indemnización, sobre esta base, sin las pruebas correspondientes.

John F. Dunn, Techworld.com

1