BackSwap, el banker que simula ser un usuario

A pesar de que los bankers están perdiendo popularidad, en favor de los malware de minado de criptomonedas, los investigadores de ESET han descubierto una nueva familia de malware bancario que simula las pulsaciones de un usuario para evitar ser detectado.

El malware simplifica el proceso de inyección monitorizando el bucle de mensajes del sistema de ventanas de Windows e inyectando el código en la consola JavaScript del navegador cuando se detecta que el usuario se conecta a la página del banco.

El malware se distribuye mediante campañas de spam dirigidas principalmente a usuarios Polacos, en donde el gancho suele ser la actualización de una aplicación legítima, como TPVCGateway, SQLMon, DbgView, WinRAR Uninstaller, 7Zip, OllyDbg o FileZilla Server.

Estas aplicaciones están modificadas para ejecutar el código malicioso contenido en la función _initterm(), que es la que inicializa los punteros y variables antes de la ejecución del 'main()'. Esto dificulta la detección, al no verse ningún comportamiento anómalo al inicio de la ejecución del programa.

Ejecución del código malicioso. Fuente: http://bit.ly/2spNNci

Pero la novedad que introduce esta nueva familia es el procedimiento de inyección, que no utiliza complejos procesos de inyección, ni implementaciones específicas para los distintos navegadores. En lugar de esto, el malware utiliza el bucle de mensajes de Windows para detectar si la víctima está accediendo a la banca electrónica y cargar el código JavaScript malicioso en el navegador. Para ello el troyano guarda en el portapapeles el código y lo pega en la consola JavaScript del navegador simulando las pulsaciones de las teclas CTRL+SHIFT+J (para abrir la consola) CTRL+V y ENTER (para pegar y ejecutar el código) y finalmente la combinación para cerrarla, todo ello sin que la víctima perciba nada más que un pequeño cuelgue del navegador.

En nuevas versiones el malware utiliza la barra de direcciones para inyectar el código malicioso. Simulando también las pulsaciones de un usuario para evitar los mecanismos de seguridad. 

Hasta el momento las muestras encontradas están dirigidas a bancos Polacos, pero como siempre, desde Hispasec recomendamos no abrir correos con adjuntos no solicitados o no confiables.

Algunos IOCs:

• 5349a0c06823fa285faa31381b5566b2a3d8990f6a5b6775288471caa35f8516 
• 2223a93521b261715767f00f0d1ae4e692bd593202be40f3508cb4fd5e21712b 
• f51336e862b891f78f2682505c3d38ea7de5b0673d6ef7a3b0907c0996887c22 
• 16fe4de2235850a7d947e4517a667a9bfcca3aee17b5022b02c68cc584aa6548 
• 538fc0332ae0d9721c816cfb2245a6f3f47fe391a4503da3a33839a83ecf1c12 

Francisco Salido
fsalido@hispasec.com

Más información:

BackSwap malware finds innovative ways to empty bank accounts
https://www.welivesecurity.com/2018/05/25/backswap-malware-empty-bank-accounts/

---

☛ El artículo completo original de noreply@blogger.com (Francisco Salido) lo puedes ver aquí