Descubrimos una banda de malware brasileña que opera desde hace tiempo

Nuestros investigadores le siguen la pista desde hace más de ocho años a una organización que se centra en los usuarios de internet brasileños y roba sus credenciales bancarias, realiza transacciones no autorizadas y transfiere fondos de las cuentas de las víctimas a sus propias cuentas. Aquí tienes la historia resumida.

¿Un ISP responsable que se vuelve malicioso?

En 2015, mientras Mark Zuckerberg anunciaba que Facebook había superado los mil millones de usuarios, SoftLayer, una empresa de IBM, experimentaba enormes incrementos en el número de inclusiones en las listas de Spamhaus.

Hasta ese momento, SoftLayer se consideraba un proveedor de servicios de internet (ISP) responsable. No obstante, hacia finales de ese año, había alcanzado el dudoso honor de ocupar la primera posición en la lista de Spamhaus de los 10 ISP con mayor abuso.

Vamos a explicar qué queremos decir con «enormes incrementos»: en ese entonces, los ISP responsables variaban entre 20 y 200 inclusiones como mucho, y cualquier número superior a este convertía al ISP en una red poco responsable. En el siguiente gráfico, podemos ver que el número de inclusiones de SoftLayer superó las 12 000 en su momento álgido. En ese punto, nuestros investigadores lo consideraron algo insólito. ¿Qué estaba sucediendo con SoftLayer? ¿Por qué un ISP responsable se había convertido en malicioso?

Gráfico 1. Número de IP incluidas en blocklists, incluidas entradas y salidas entre julio y octubre de 2015

Descubrimiento de los entresijos de una banda dedicada al malware

Los investigadores de Spamhaus hicieron su trabajo y descubrieron que este incremento de inclusiones se debía a la siguiente actividad:

• Alguien estaba usando las IP de SoftLayer para enviar montones de malspam.
• Los correos electrónicos utilizados en estas campañas de spam se habían sustraído de usuarios en todo el mundo, pero…
• El objetivo de estas campañas eran específicamente los usuarios brasileños.
• Las campañas trataban de engañar a las víctimas brasileñas para descargar e instalar malware.

En cuanto nuestros investigadores determinaban los nombres de las empresas asignadas a los rangos de IP explotados, volvían a aparecer, pero eran utilizadas por una empresa diferente. No obstante, en realidad no era una empresa diferente; eran las mismas personas, quienes enviaban el mismo malware. Esto sucedía a diario. En ocasiones, los nombres de estas empresas brasileñas, falsos pero creíbles, cambiaban varias veces al día.

SoftLayer respondió con premura a los informes de abuso de Spamhaus, pero, en cuanto el ISP solucionaba las direcciones IP notificadas, volvían a asignarse rápidamente al mismo operador malicioso. La situación estaba convirtiéndose rápidamente en un frenético juego del gato y el ratón.

El círculo rojo en el gráfico anterior indica el momento en que SoftLayer pensaba que tenía la situación bajo control, cuando las inclusiones empezaron a descender, antes de volver a aumentar otra vez. Entonces, Spamhaus decidió dejar de eliminar las inclusiones hasta que SoftLayer tomara medidas para asegurarse de que la situación no volviera a repetirse.

¿Qué medidas se tomaron?

 Bloquear el puerto 25.

Spamhaus lleva años recomendando a los ISP que deshabiliten el puerto 25 en los enrutadores y firewalls. Hacerlo no impide que el software de correo electrónico funcione con normalidad, pero sí evita que las conexiones maliciosas salgan de la red del ISP. Encontrarás más información en este artículo [[https://www.spamhaus.org/faq/section/Hacked…%20Here%27s%20help#537]

Hace algunos años, Spamhaus colaboró con Amazon, que tenía problemas para controlar los abusos en su red, y solucionó el problema bloqueando el puerto 25.

Cuando SoftLayer tomó esta medida, el número de inclusiones disminuyó notablemente, como puede verse en el gráfico anterior. No podemos saber con seguridad por qué este ISP se convirtió de repente en el lugar preferido de esta organización para alojar sus operaciones de malspam. No obstante, sospechamos que se debió a una relajación en sus procedimientos de evaluación (lo que en la mayoría de los casos constituye la razón de los registros fraudulentos). Tal vez SoftLayer intentaba expandirse con rapidez en el mercado brasileño.

¿La historia tuvo un final feliz?

Por desgracia, no. Aunque SoftLayer no ha vuelto a experimentar otra crisis de inclusiones, la organización responsable sigue activa y continúa centrándose en los usuarios brasileños.

Aunque su nivel de actividad es variable, algo que sucede a menudo con los individuos poco confiable, su modus operandi se ha mantenido inalterado: utilizar troyanos bancarios en combinación con tácticas de phishing para obtener las credenciales bancarias de usuarios brasileños.

Formas de operar

Normalmente, esta organización envía malware desde IP específicas usando dominios desechables para los nombres de servidor. Recientemente hemos observado una serie de campañas que utilizaban nombres de servidor en recursos de DNS dinámico, como DynDNS, por ejemplo.

Esta organización de malware toma la precaución de asegurarse de que el DNS inverso (rDNS) coincida con el nombre de servidor que utiliza para realizar envíos. En el caso de los recursos DynDNS, la resolución de DNS directa para el nombre de servidor solo se mantiene mientras dura la campaña: cuando esta finaliza, el nombre de servidor también desaparece. Esto complica la identificación de los recursos antes de que comience el envío y motiva que la defensa contra estos operadores sea únicamente reactiva.

El impacto humano

Esta organización de malware (en general) crea hábilmente contenidos que parecen legítimos, como facturas, multas e incluso documentos judiciales, utilizando intencionalmente comunicaciones que susciten la preocupación del destinatario y le empujen a abrir el contenido. Estas tácticas hacen que resulte extraordinariamente difícil para cualquier persona que no sea un experto informático distinguir los contenidos legítimos de los fraudulentos.

Las consecuencias económicas de un troyano bancario pueden resultar ruinosas para la víctima. En el peor de los casos, los cibercriminales pueden obtener pleno acceso a las cuentas bancarias y al dinero de las víctimas. Para la mayoría de los bancos en Europa y los Estados Unidos, si eres víctima de un troyano, tú eres el responsable y el banco no se hará cargo.

Por desgracia, las operaciones de esta banda de malware no muestran señales de abatimiento.