Ciberataques bancarios: pasado, presente y futuro

Banking Security Threats
PASADO - PRESENTE Y FUTURO DE LOS ATAQUES CIBERNÉTICOS
Alvaro Andrade &
aandrade@xxxx.xxxx.xx
@aandradex

Introducción a los ciberataques bancarios

Vectores de ataque a Entidades Financieras
Los asaltos a bancos en el pasado eran de forma presencial, solo podían tomar unos
segundos para escapar, era fácil seguirles el rastro, el monto que podían llegar a robar no
era una suma que afecte gravemente al un banco y casi siempre se los podía agarrar.

Vectores de ataque a Entidades Financieras
Los asaltos a bancos en el presente son de forma NO presencial, desde puntos
geográficamente distantes y ahora con mascaras digitales lo que dificulta seguirles el
rastro, las sumas por perdidas en ciberataques son bastante fuertes y en algunos caso
fatales para los bancos.

Como los demás piensan que es un Hacker

Recolección de información (Footprinting)
Un correo, un archivo o una dirección web que hayas subido a la web, puede decir
mucho de ti y de tu empresa.

Google no solo es la herramienta número uno de búsquedas en Internet, sino la
número uno en herramientas de ataque.
+ - OR “ “
Inurl allinurl Intitle allintitle
Filetype ext site cache
Intext allintext info

https://www.shodan.io/search?query=country%3APA
+banco+general
Los peligros de dejar las cosas por internet publicadas https://www.shodan.i
o/search?query=coun
try%3APA+banco+

“Lo que esta publico en Panamá esta publico para el mundo
entero mediante internet”
En las siguientes demostraciones han sido echas con documentos
publicados por las propias instituciones bancarias, las cuales
podrán observar que entregan demasiada información de
usuarios y de direcciones de Red, así como permisos únicamente
desde los documentos de la Web.

METADATOS:
El mejor amigo de
un atacante.
Nombres de Usuarios
Direcciones de red
internas y externas
Impresoras de red
Sistema Operativo
Aplicativos de
ofimática

Atacando infraestructuras bancarias
La realidad es que muchos de los puntos de atención a de los
bancos y sus infraestructuras de I.T. tienen altos riesgos de
infección y de ser objetivo de criminales, en estas demostración
observaremos diferentes ejemplos que existen en Panamá de los
cuales se derivan fallas de seguridad de la Información en
infraestructuras de atención al cliente.
Breaking Security by the POS

Por motivo de estas demos no vamos a revelar los nombres de los
bancos , todo lo que aquí se demuestra es netamente informativo.
“What happends in
Vegas
Stay Vegas”
“What happends in
Panamá
Never happend”

Primer Caso lo llamaremos “Verde”
• Falla de configuración de
seguridad
• Carencia de restricciones para la
atención de usuarios.

Una vez tenido acceso a los
comandos desde el teclado
procedemos a acceder a una Web
diseñada por nosotros.
Saltando Websense

En ningún caso la protección Websense bloqueo la
infección y permitió acceder y controlar como un zombi el
Punto de atención del cliente

Segundo Caso lo llamaremos “Azul”
En este Caso Azul no
desactivo la ayuda y
desde la ayuda se
pudo elevar privilegios
de un usuario normal
hasta ……

• Estar conectado a toda la Red de ATMs
• Tener todas las conexiones disponibles
• Poder acceder a todas las funciones del
sistema operativo
• Todo desde un POS con teclado restringido

Pero además un atacante puede adquirir
una terminal desde un punto de atención al
cliente mediante la Ayuda de Windows y
por si no le gusta …

Puede Cambiar el color
de la terminal para estar
mas cómodo ….

O pasearse por la red una vez
infectado desde cualquier punto
de atención al cliente
Y infectar otros terminales de
trabajo, o efectuar ataques
desde dentro de la red el cual
facilita la infección

Tercer Caso lo llamaremos “enlaciudad”
Puntos de atención al
cliente con sistemas
operativos sin soporte.
Facil acceso a la red en
cuestión de segundos

Tercer Caso lo llamaremos “enlaciudad”

Cuarto Caso lo llamaremos “Rojo”

Cuarto Caso lo llamaremos “Rojo”
Y para finalizar
obviamente intentar
infectarlo desde la
nube hacia la red local
mediante le aplicativo
para nuestras demos.

Cambiemos la seguridad de
comunicarnos con los clientes,
mejoremos el QrCode
un módulo útil para almacenar
información en una matriz de
puntos o un código de
barras bidimensional
PREMIO PARA QUIEN ADIVINE
EL RESULADO DEL QR

QrCode Bootnet
http://goqr.me/

En algunos casos un atacante malicioso
que este cansado detener que infectar al
banco, y desee que el banco infecte a
sus clientes por el puede usar los vectores
“QrCode”

Atacando las redes Wifi
Múltiples tipos de
ataques auto
configurables
para poner a
prueba la
seguridad de las
redes Wireless.

Ataques client side
En esta sección demostraremos ataques reales que afectan a
las entidades especialmente a los usuarios, puesto que los
ataques client-side se enfocan en atacar y engañar a los
usuarios para explotar los sistemas informáticos con poca
intervención del usuario.

Ataques Credential Stealing
Este ataque deriva de una fase de ingeniería social,
que permita al atacante poder robar las identidades
digitales o usuarios y contraseñas a accesos a
portales , correos entre otros accesos que
generalmente se almacena por defecto en los
navegadores de los trabajadores de las entidades o
de sus celulares

Phishing
Ataque de clonación no autorizada de
portales financieros esencialmente, con el
objetivo de obtener información financiera
de forma fraudulenta de las víctimas.
Este ataque se basa en dos técnicas de
ataque:
• Suplantación de identidad
• Spam

Pharming
Ataque que explota una vulnerabilidad
en los servidores DNS (Domain Name
System), o en el de los equipos de los
propios usuarios, que permite a un
atacante re direccionar un Nombre de
Dominio a otra máquina distinta.
Ejem. Vulnerabilidad Dan Kaminsky

Malware bancario
Generalmente los bancos son atacados por exploits kits
avanzados especialmente diseñados por bandas
criminales para comprometer entidades bancarias, y
infectar sus equipos.
Los propósitos por los cuales pueden ser objetivo de
estos ataques son los siguientes:
1.- Control remoto de las PC, software y Servidores.
2.- Generar un beneficio económico.
Los precios de un Exploit Kit en el mercado negro
puede rondar entre los 3,000 USD a los 15,000 USD
dependiendo de la eficiencia.

Atacando ATMs de bancos
cajero automático

Es una realidad que cada
vez mas se están
incrementando los ataque
cibernéticos mediante
Malware a los ATMs
http://www.foxbusiness.com/personal-finance/2014/04/02/financial-council-warns-banks-on-
cyber-attacks/

Caso 3 letras

Caso Mas de 3 Letras
• Sistemas operativos sin soporte, en
producción.
• Bajo nivel de seguridad en cuanto a
protecciones de binarios.
• Múltiples vulnerabilidades Remotas.
• Etc..
LAMMER

• Sistemas operativos sin soporte, en
producción.
• Bajo nivel de seguridad en cuanto a
protecciones de binarios.
• Múltiples vulnerabilidades Remotas.
• Etc..

• Nuevos sistemas operativos
• Windows 7
• Vienen por defecto con demasiadas
• funciones, de fabrica y
• así se agreguen protecciones se
• puede seguir ejecutando código

• Nuevos sistemas operativos Windows 7
El problema futuro de los Cajero Automático residirá en
la cantidad de funciones que deben hacer y cada vez
con sistemas operativos no preparados para desarrollar
las funciones de un Cajero Automático
Cada ves es mas común encontrar ataques
cibernéticos contra los cajeros automáticos para extraer
un beneficio económico

Futuros ataques informáticos a los Bancos
En esta sección analizamos cuales son lo próximos ciber
ataques que se efectuaran contra las infraestructuras
de IT y afectaran a las instituciones bancarias
1.- Malware - APT
3.- Espectro de comunicaciones
2.- Cajeros Automaticos
TOP 4 Categorías
4.- El Usuario

Efectuando un análisis del mercado de la seguridad de
la información, los productos contra ataques de
malware se duplicaran en los próximos años y lo
desarrolladores de malware cada vez desarrollaran mas
malware que “bypass-e” esos controles de seguridad
La proliferación del malware crecerá, pero los sistemas
de protección se mantendrán unos pasos por atrás, el
cual requerirá derivar mas trabajo al área de IT y
desarrollar acercamientos de detección

Los cajeros automáticos serán objetivo de mas ataques
cuando las librerías para infectar ATMs por tarjetas de
Chip, o infección mediante audio o otros prolifere ,
haciendo mas simple la infección de Cajeros
automáticos
Cajeros automáticos:
1.- Infección mediante
Tarjeta de crédito
public void process(APDU apdu) {
// Good practice: Return 9000 on SELECT
if (selectingApplet()) {
return; }
byte[] buf = apdu.getBuffer();
switch (buf[ISO7816.OFFSET_INS]) {
case (byte) 0x00:
break;
default:
// good practice: If you don't know the INStruction, say so:
ISOException.throwIt(ISO7816.SW_INS_NOT_SUPPORTED);
}
}
1.1.- Java Card
1.2.- Linux

automáticos
2.- Infecciones Remotas

automáticos
3.- Infecciones Mediante
Dispositivos Perimetrales

automáticos
1.- Infección mediante Tarjeta de crédito
2.- Infecciones Remotas
3.- Infecciones Mediante Dispositivos Perimetrales
Sub- TOP 3

En los próximos año se agregara un nuevo vector el cual
afecta a los espectros de las telecomunicaciones y a la
privacidad de las comunicaciones entre las personas en
cuanto estos ataques sean desarrollados de forma mas
simple
1.- Infecciones de dispositivos mobiles mediante
espectro de comunicaciones GSM 4G/LTE
2.- Client site attacks a smartphones

El usuario
Seguirá siendo una de las vulnerabilidades que afectara
a las instituciones.
• La sobre confianza
• La falta de capacitación
• La facilidad de caer en engaños por los atacantes
“Capa 8 siempre será Capa 8”
'Two things are infinite: the universe and human stupidity;
and I'm not sure about the universe. – Albert Einstein

El rol de la Ing. Social en el cibercrímen bancario

XXXXXXXXXXXXXXXXXX
Soluciones Profesionales:
• Pruebas de Intrusión de Seguridad
• Auditoría y Certificación de Cajeros ATM’s
• Auditoría de aplicaciones web financieras
• Auditoría de Seguridad perimetral
• Auditoría de redes Wireless y Telco’s
• Soluciones de correlación de Log’s para ATM’s
• Soluciones de correlación de Log’s para Servidores
• Soluciones Seguras de Datos Masivos
• Investigación y Desarrollo de soluciones a medida
• Capacitaciones y Certificaciones

MUCHAS GRACIAS
Alvaro Andrade &
aandrade@xxxxxxxxxx.xxx.xx
@aandradex

Ciberataques bancarios: pasado, presente y futuro

Recomendados

Recomendados

Más contenido relacionado

La actualidad más candente

La actualidad más candente (20)

Destacado

Destacado (7)

Similar a Ciberataques bancarios: pasado, presente y futuro

Similar a Ciberataques bancarios: pasado, presente y futuro (20)

Último

Último (8)

Ciberataques bancarios: pasado, presente y futuro