Por Caique Barqueta: O Brasil faz parte dos países que mais sofrem ataques cibernéticos no mundo, cenário este que tem se agravado após a pandemia e o momento mundial relacionado ao conflito armado entre Ucrânia e Rússia.

Estar atualizado sobre as principais ameaças no Brasil torna-se cada vez mais importante e pode permitir estar passo à frente de potenciais ataques, além de agir com maior rapidez e eficiência com o intuito de detectar tais ameaças e evitar impactos e incidentes que poderão resultar em danos e percas.

Abaixo, listamos principais ameaças cibernéticas mais recorrentes identificadas pelo time de Inteligência da ISH, o Heimdall.  

Cobalt Strike

Detectamos 1768 servidores fazendo uso malicioso do Cobalt Strike. Eles utilizam kit de ferramentas que permite que invasores implantem “beacons” em dispositivos comprometidos para realizar vigilância remota de rede ou executar comandos.

Abaixo, é possível ver a distribuição no mapa:

SSH Brute Force

Detectamos, no mesmo período, 2180 ameaças do tipo SSH Brute Force. O SSH é usado para logins remotos, execução e comandos, transferências de arquivos e outros. O ataque de força bruta SSH é realizado por um agente de ameaça que tenta realizar o login com nome de usuário e senha comum em diversos servidores, até que tenha obtido o resultado positivo.  

Abaixo, é possível ver a distribuição no mapa:

Endereços de IP

Outro principal rastro que os agentes de ameaças deixam e que auxiliam a identificar é o endereço de IP, o qual é considerado uma informação muito valiosa para rastrear e estudar os agentes de ameaças, visando se proteger do domínio e endereço de IP considerado malicioso.

A ISH coleta e analisa diariamente a atividade maliciosa desses principais ofensores de acordo com o print abaixo, onde do dia 01/10 a 01/11 coletamos e analisamos 52,667 endereços de IP maliciosos que foram prontamente compartilhados com os clientes via MISP.  

Após apresentarmos as principais ameaças, vulnerabilidades e endereços maliciosos, nós da ISH vamos abordar sobre mais uma ameaça que retornou, desta vez como malware do tipo pós pagamento: o Prilex.

Malware Prilex

Os agentes de ameaças conhecidos como Prilex estão ativos desde meados de 2014, cujas amostras e artefatos maliciosos visavam realizar fraudes em cartões de créditos. Porém, em 2016, foi identificada e vinculada a campanha direcionada a caixas eletrônicos aqui no Brasil.

No ano de 2017, este agente de ameaça alterou seus ataques de caixas eletrônicos para ataques em dispositivos de Pontos de Venda (PoS), ou seja, as máquinas utilizadas para realizar o recebimento de pagamentos via cartões de crédito e débito.  

Principais notícias

A primeira campanha identificada dos agentes foi em 2014, quando atingiram centenas de caixas eletrônicos em todo o Brasil. Os agentes utilizaram um dispositivo de blackbox configurado com um modem USB 4G para controlar remotamente a máquina. Esta caixa preta foi fisicamente anexada ao caixa eletrônico e sua real finalidade era servir como um backdoor com um intuito de sequestrar a conexão sem fio da máquina e direcionar os outros caixas eletrônicos que estavam no mesmo segmento de rede.

Já em 2017, foi identificada outra campanha, desta vez não era realizadas em caixas eletrônicos, mas sim em sistemas de pontos de venda. Os agentes interceptaram transações para capturar o criptograma usado na transação EMV e realizar um ataque de repetição. O malware foi capaz de capturar dados da Faixa 2 e detalhes de cartões que posteriormente foram encaminhados aos servidores C2 do grupo.

Em meados de julho de 2020, outra campanha do grupo foi localizada visando fornecer o software POS malicioso para outros agentes maliciosos, os quais compraram o malware e utilizaram como espécie de MaaS (Malware-as-a-Service).

Como opera o grupo

Com relação ao modus operandi do Prilex para os dispositivos do tipo ATM, foi identificada a utilização de uma “blackbox” conectado à rede que permitia que o invasor instalasse o malware nos computadores remotamente. Neste tipo de ataque, os agentes conheciam as credenciais de login de administrador, sugerindo um possível “Insider” dentro das instituições financeiras afetadas.

Já com o novo método de ataque, utilizando-se de software malicioso de pós-pagamento (PoS), os agentes maliciosos entram em contato com as empresas que utilizam determinado serviço afirmando serem suporte de software e solicitam às vítimas que instalem uma atualização crítica no sistema.

A atualização instalada é um software de conexão/administração remota, como por exemplo o Team Viewer ou o AnyDesk, auxiliando o agente malicioso na capacidade de controlar remotamente o sistema.

Após isto, eles realizam a utilização de funções hooking utilizado por softwares responsáveis para gerenciar transações de cartões para capturar e modificar os dados que estão sendo transferidos entre o software e o pinpad. Este tipo de ataque possui duas versões com diferentes métodos de fraude:

• Coletar o criptograma de transação para realizar ataques de repetição.
• Gerar novos criptogramas de cartão que serão usados posteriormente pelos invasores.

Os afiliados deste agente de ameaça, após realizarem a coleta das informações, recebem as informações por meio de uma ferramenta de aplicação denominada “Daphne”, utilizada para clonar cartões, recebendo ainda um acesso a um banco de dados contendo números de cartões.

Os agentes de ameaças possuem um site para realizar a venda do malware na Deep Web, conforme imagem abaixo do site.

Na descrição dos malwares oferecidos pelo grupo, estes afirmam que o desenvolvido pelos agentes pode realizar a clonagem de cartões, os quais podem ser utilizados para saques em dinheiro e compras diversas.

Outro tipo de ameaça divulgada pelo grupo é a venda de Máquinas POS comprometidas, ou seja, utilizadas para leitura de cartões de crédito e débito inseridas por meio de “shimmers”, o qual são inseridos nas máquinas. Eles possuem um microchip embutido que acaba por roubar e armazenar dados de cartão de crédito e débito toda vez que uma pessoa usa seu cartão para fazer um pagamento ou sacar dinheiro.

Os dados do chip do cartão são armazenados no dispositivo e, em sequência, é realizado o envio dos dados diretamente via SMS, podendo, assim, serem controlados remotamente.

Serviço de ataque DDoS

O agente de ameaça Prilex, oferece ainda em seu site a disponibilização e venda de serviço de ataque DDoS, ou seja, o usuário poderá comprar a ordem de ataques DDoS (Distributed Denial of Service), onde é necessário realizar o contato com os agentes para utilização do serviço.

Como funcionam os dispositivos “POS”

Um dispositivo POS está conectado a um computador – que pode ser um computador comum ou um que possui um sistema operacional específico para POS, e tem um software do POS instalado nele, que pode ser do fornecedor que criou o dispositivo. O software da máquina pode ler as informações do cartão de pagamento passado no dispositivo POS, conseguindo extrair informações como número do cartão, validade e assim por diante, e pode até validar o cartão conectando-se ao servidor de processamento de pagamento.

Com isso, as informações são armazenadas em nossos cartões de pagamento de uma maneira específica. O cartão de pagamento possui uma faixa magnética dividida em três: 1, 2 e 3. Estas faixas contêm vários tipos de informações, como principal número da conta, nome do titular do cartão, data de validade e outros dados necessários para realizar a forma de pagamento.  

Por exemplo, a faixa 1 do cartão possui o formato ilustrado abaixo:

Para melhor entendimento, criamos uma tabela para que possa ser possível identificar os dados repassados: