PLOUTUSD UN MALWARE PARA CAJEROS AUTOMTICOS GABRIELA NICOLAO

PLOUTUS-D, UN MALWARE PARA CAJEROS AUTOMÁTICOS GABRIELA NICOLAO

WHOAMI üIngeniera y docente de la UTN. üEspecialista de la Facultad del Ejercito. üTrabajo en el área de seguridad hace 5 años, en Deloitte. üEntre otras tareas, realizo análisis de piezas de Malware (software malicioso). @rove 4 ever

FORMAS DE OBTENER DINERO DE UN CAJERO üRobando el cajero. üSkimming (dispositivos físicos instalados en el cajero). üSecuestrando a la víctima. üJackspotting (o “logical attacks”) Ploutus-D. üReverse ATM attack. üAccediendo a la red del cajero a través del a red del banco.

FORMAS DE OBTENER DINERO DE UN CAJERO

HISTORIA DE PLOUTUS üDescubierto en Mexico en 2013. üVariantes: § Septiembre 2013: Backdoor. Ploutus § Octubre 2013: Backdoor. Ploutus. B § Octubre 2016: Ploutus. C § Noviembre 2016: Ploutus-D

FICHA DE PLOUTUS-D üPropagación: CDs de booteo o dispositivo en puerto USB. üObjetivos: Cajeros Diebold. üCaracterísticas: § § § Recibe comandos por teclado o SMS. Desarrollado en. NET. Modular üMuestras utilizadas en el análisis: § 7 fd 109532 f 1 e 49 cf 074 be 541 df 38 e 0 ce 190497847 fdb 5588 767 ca 35 b 9620 a 6 c 2 (Diebold. exe, el launcher) § E 75 e 13 d 3 b 7 a 581014 edcc 2 a 397 eaffbf 91 c 3 e 5094 d 4 afd 8 1632 d 9 ad 872 f 935 f 4 (Agilis. Configuration. Utility. exe, el core)

DESOFUSCANDO PLOUTUS-D • Ofuscador: . NET Reactor (http: //www. eziriz. com/dotnet_reactor. ht m) • Se aplico un programa desofuscador (de 4 dot), obteniendo los siguientes archivos: • 53 f 223 fbbeaf 18 fe 70 e 0686 aef 7 b 9 b 6 c 10 b 7 b 003779 ddfab 9 ffa 0 f 50688 adfae (Diebold. exe) • 628 c 9 d 4906 ff 88 a 6 ec 61 bf 388086 fed 6 dcf 703 e 4 fef 03 b 2 c 66267 eb 0 f 82250 ff (Agilis. Configuration. Utility. exe)

LAUNCHER - DIEBOLD. EXE

LAUNCHER - DIEBOLD. EXE • Configuración

LAUNCHER - DIEBOLD. EXE • Servicio: DIEBOLDP

LAUNCHER - DIEBOLD. EXE • Mutex: DIEBOLDPL, Ploutos

LAUNCHER - DIEBOLD. EXE • Persistencia • HKLMSYSTEMCurrent. Control. SetServices

LAUNCHER - DIEBOLD. EXE • Persistencia • HKEY_LOCAL_MACHINESOFTWAREMicrosoftWindows NTCurrent. VersionWinlogon

LAUNCHER - DIEBOLD. EXE • Comandos interpretados por el Launcher

LAUNCHER - DIEBOLD. EXE • Comandos interpretados por el Combinacion Launcherde teclas Posible significado F 8 F 1 F 1 Muestra el mensaje TEST OK en los dos monitores del cajero F 8 F 2 F 2 Inicializa Agilis. Shell. Start. exe que se encuentra en C: Program FilesDieboldAgilis Startup F 8 F 3 F 3 Ejecuta y cierra XFSConsole. exe con usuario Manage_ATM contraseña maracaibo F 8 F 1 F 2 F 3 F 4 Ejecuta y cierra Agilis. Configuration. Utility. exe (Ploutus core) con usuario Manage_ATM contraseña maracaibo F 8 F 4 F 5 Cierra el proceso Agilis. Configuration. Utility. exe (Ploutus) y lo vuelve a ejecutar con el parámetro “P” F 8 F 4 F 4 Rebootea el sistema operativo (cmd. exe “/C wmic os where primary='true' reboot”)

LAUNCHER - DIEBOLD. EXE • Control remoto

LAUNCHER - DIEBOLD. EXE • Creación de archivos de Log

LAUNCHER - DIEBOLD. EXE • Intenta correr como usuario Privilegiado • Archivo Journal: edclocal. dat

CORE – AGILISCONFIGURATIONUTILIT Y. EXE

CORE - AGILISCONFIGURATIONUTILITY. EXE • Archivos de log: Log. txt y Log 2. txt

CORE - AGILISCONFIGURATIONUTILITY. EXE • Verificación de tiempo

CORE - AGILISCONFIGURATIONUTILITY. EXE • Errores Gramaticales

CORE - AGILISCONFIGURATIONUTILITY. EXE • Archivo P. bin

CORE - AGILISCONFIGURATIONUTILITY. EXE • Comandos interpretados por Ploutus-D Tecla Significado F 1 Genera ID del cajero automático F 2 F 3 Activa ID del cajero automático Provee el dinero F 4 F 5 Desactiva la ventana de Ploutus Tecla de control arriba F 6 Tecla de control abajo F 7 Tecla de control siguiente F 8 Muestra en la pantalla del cajero la ventana de interacción de Ploutus para recibir comandos. También se puede usar como tecla de control atrás.

CONCLUSIONES üLos criminales deben tener acceso físico o a la red del cajero para infectarlo y vaciarlo. üLos criminales son cada vez mas creativos a la hora de obtener dinero. üLos criminales posiblemente serían personas de habla hispana: § § Se encontraron cadenas de palabras escritas en español. § Si bien se abrió la superficie de ataque, en un principio los países atacados eran latinos. Se encontró la cadena “PLOUTUS-MADE-IN-LATIN-AMERICA-XD”. Se encontraron malas implementaciones de ciertas palabras de idioma inglés. La mayoría de las muestras de Ploutus-D que fueron subidas a Virus. Total, inclusive las usadas en este análisis, fueron subidas desde países latinos. üLos cajeros son altamente vulnerables (al día de hoy muchos siguen usando Windows XP).