El crimeware ha sido adoptado por delincuentes informáticos para atentar en contra de usuarios bancarios.

Luego de la masificación de las populares botnets latinoamericanas vOlk (México) y S.A.P.Z (Perú), se suma al escenario underground de ésta región PiceBOT, cuyo costo en el mercado clandestino ronda los $140 dólares.

Al igual que otros crimeware de este estilo, su objetivo principal es la distribución de malware específico para el robo de información financiera a través ataques de pharming local (modificación arbitraria del archivo host). A pesar de su reciente aparición (menos de un mes) ya ha sido adoptada por los ciberdelincuentes de América Latina para atentar contra usuario bancarios de importantes entidades bancarias. Hasta el momento hemos registrado ataques de phishing generados y administrados a través de esta botnet para Chile, Perú, Panamá, Costa Rica y Argentina. La siguiente imagen, obtenida desde un foro underground, muestra algunos ejemplos:

blog crimeware_kaspersky

Desde el punto de vista técnico comparte muchas similitudes con los códigos maliciosos propagados a través de vOlk y S.A.P.Z. Sin embargo, aún no está claro desde qué país de Latinoamérica es, pero algunos indicios indican que podría tratarse de un crimeware de origen guatemalteco, mexicano o peruano. Otra interesante característica que se distingue respecto a los otros crimeware, es su proceso simple de autenticación que solo necesita contar con un solo factor: la contraseña de acceso al panel de administración.

Jorge Mieres_3

Además, el ciclo de propagación descarga en primera instancia un Dropper que se encargará de establecer la primera comunicación clandestina con el C2 (panel de Comando y Control) enviando a la botnet parámetros de interés para los delincuentes informáticos. Luego descargará otra pieza de malware desde la URL configurada en “url_des.txt” y modificará vía web la información contenida en el archivo hosts a través de los parámetros establecidos desde el “toma.php”.

Claro está que Latinoamérica se ha transformado en un mercado muy competitivo y muy preciado para los delincuentes informáticos de la región y fuera de ella también, debido, en parte, a la falta de madurez en materia penal.

En el particular caso de PiceBOT, en su poco tiempo de vida ha alcanzado una tasa de éxito importante entre la comunidad delictiva “regionalista” que lo adoptan por encima del crimeware desarrollado en Europa del Este. Tal vez los tres puntos más importantes que consideran los delincuentes informáticos que prefieren el uso de crimeware local sean: en primera instancia, el bajo costo comparado con los desarrollos Europeos que superan los $1,000 dólares en la mayor parte de los casos. En segundo lugar la facilidad de uso ya que solo se limitan al phishing como estrategia de ataque final y en tercero el Retorno de Inversión (ROI) casi inmediato que obtienen ya que a pesar del empleo de técnicas triviales que se potencian con maniobras de Ingeniería Social visual la tasa de infección a través de éstos códigos maliciosos es muy alta, fundamentalmente, por la falta de conciencia de los usuarios.