El Grupo Skimer infecta cajeros automáticos de todo el mundo

Skimer fue el primer programa malicioso creado para atacar cajeros automáticos. Han pasado siete años desde su creación y ahora los cibercriminales están reutilizando este malware. Tanto los ciberladrones como el programa han evolucionado y esta vez suponen una amenaza mucho más grave para los bancos y sus clientes en todo el mundo.

Skimer se distribuyó ampliamente entre 2010 y 2013, periodo en el que hubo un aumento drástico del número de ciberataques contra cajeros automáticos, con un máximo de nueve familias de malware diferentes identificados por Kaspersky Lab, incluyendo la familia Tyupkin, descubierta en marzo de 2014 y que se convirtió en la más popular y extendida. Sin embargo, ahora parece que Backdoor.Win32.Skimer ha vuelto a la acción. Kaspersky Lab ha identificado 48 modificaciones de este malware, y 37 de ellas van dirigidas a cajeros automáticos. La versión más reciente se descubrió a finales del mes de abril de 2016.

Ha sido un reto localizar el inicio de esta actividad. Durante la investigación, el equipo de analistas de Kaspersky Lab descubrió la trama criminal así como rastros de una versión mejorada del malware Skimer en uno de los cajeros automáticos de un banco. El malware había entrado e instalado un comando que se podía activar en el futuro,  una forma inteligente para ocultar los rastros.

¿Cómo ataca?

Una vez que un cajero automático está infectado con Backdoor.Win32.Skimer, los ciberdelincuentes pueden llegar a retirar todos los fondos o robar los datos de las tarjetas utilizadas. Existe una gran diferencia entre estas dos operaciones: la retirada de dinero de los casetes se detecta rápidamente, mientras que el malware que roba los datos de las tarjetas puede estar activo por un periodo de tiempo muy largo. Por lo tanto la actividad no es inmediata  y son muy cuidadosos ocultando pistas: el malware puede operar en el cajero automático infectado durante varios meses sin realizar ninguna actividad.

Para activarlo, es necesario que un cibercriminal inserte una tarjeta concreta, con registros en la banda magnética. Después de leer los registros, Skimer puede ejecutar el comando codificado, o los comandos de solicitud a través de un menú especial activado por la tarjeta. La interfaz gráfica de Skimer aparece en la pantalla cuando se expulsa la tarjeta y el cibercriminal debe insertar la clave de sesión desde el datáfono en menos de 60 segundos.

Con la ayuda de este menú, el cibercriminal puede activar 21 comandos diferentes, como el de dispensar dinero (40 billetes del casete que se especifica), recogida de datos de las tarjetas insertadas, auto-borrado, actualización (desde el código de malware actualizada incorporado en el chip de la tarjeta), etc. En la mayoría de los casos, los ciberdelincuentes prefieren esperar y recoger los datos de las tarjetas con el fin de crear copias después. Con estas copias se van a un cajero automático diferente, no infectado y retiran dinero de cuentas de los clientes. De esta manera, aseguran que los cajeros automáticos infectados no serán descubiertos a corto plazo.

Cómo protegerse

Para evitar esta amenaza, Kaspersky Lab recomienda hacer análisis regulares de equipo con el antivirus y usar tecnologías de listas blancas, una buena política de gestión de dispositivos, cifrado de disco completo, proteger las BIOS de los cajeros automáticos con una contraseña que sólo permita el arranque del disco duro y el aislamiento de la red ATM de cualquier otra red interna del banco.