El sector bancario ha sido blanco de nuevos ataques cibernéticos que emplean técnicas sofisticadas y software de código abierto. Los expertos en ciberseguridad han alertado sobre esta amenaza, destacando la publicación del informe realizado por Checkmarx.
Ataques a la cadena de suministro
Los ataques a la cadena de suministro son estrategias maliciosas que buscan comprometer una organización mediante la manipulación de su proceso de producción, distribución y entrega. Los atacantes emplean métodos como la focalización en componentes específicos del sitio web objetivo, incorporando funcionalidades maliciosas.
Engaño mediante perfiles falsos
Para aumentar su credibilidad, los atacantes crearon perfiles falsos en LinkedIn y desarrollaron servidores de comando y control (C2) personalizados para cada objetivo. En abril de 2023, un ataque se llevó a cabo donde el autor del malware se hizo pasar por un empleado del banco objetivo.
Uso de npm y Azure
Subió dos paquetes al registro npm que contenían un script de preinstalación activando la secuencia de infección. Además, creó una página falsa en LinkedIn para respaldar su engaño. El script utilizado determinó el sistema operativo del host y descargó un malware desde un servidor remoto, utilizando un subdominio en Azure que incluía el nombre del banco afectado.
Malware Havoc
Esta técnica permitió entregar la carga de manera eficiente, evitando los métodos tradicionales de detección debido al estatus legítimo de Azure. El malware, llamado Havoc, es un comando y control (C2) de código abierto que ha llamado la atención de actores maliciosos por su capacidad para eludir la detección de herramientas de seguridad bien conocidas.
Ataques a bancos en febrero
En febrero de 2023, se detectó otro ataque dirigido a un banco. Los atacantes subieron a npm un paquete meticulosamente diseñado para integrarse en el sitio web de la víctima y permanecer inactivo hasta nueva orden. El objetivo era interceptar secretamente los datos de inicio de sesión y enviarlos a una infraestructura controlada por los atacantes.
Grupo RedCurl
El grupo cibercriminal RedCurl, con sede en Rusia, ha comprometido con éxito un importante banco ruso y una empresa australiana. Su objetivo era obtener secretos corporativos e información de empleados mediante una sofisticada campaña de phishing.
Historial del grupo RedCurl
Este grupo ha llevado a cabo al menos 34 ataques durante los últimos cuatro años y medio, afectando a empresas en diferentes países, incluidos el Reino Unido, Alemania, Canadá, Noruega, Ucrania y Australia. Entre las víctimas se encuentran empresas de diversos sectores, como construcción, finanzas, consultorías, minoristas, bancos, compañías de seguros y firmas legales.
Ataques con drIBAN
Las instituciones financieras también han sido blanco de ataques que utilizan una herramienta de inyección web conocida como drIBAN. Esta herramienta permite realizar transacciones no autorizadas desde el ordenador de la víctima, evitando la verificación de identidad y los mecanismos antifraude de los bancos.
Funcionalidad de drIBAN
Según el análisis realizado por los investigadores de Cleafy, «la funcionalidad principal de drIB/N es el motor ATS (Sistema de Transferencia Automática)».