Los actores maliciosos de Corea del Norte están utilizando una variante de Linux de la familia de malware conocida como "FASTCash" para llevar a cabo campañas cibernéticas dirigidas a obtener beneficios financieros de manera rápida. Este malware es capaz de modificar mensajes de transacciones para iniciar retiros no autorizados, incluso cuando las cuentas afectadas no tienen fondos suficientes.
Antecedentes del Ataque: El Origen de FASTCash
FASTCash es un malware dirigido a redes de pago, inicialmente documentado por el gobierno de los Estados Unidos en octubre de 2018. En ese momento, este software malicioso era utilizado por actores norcoreanos en un esquema de ataque a cajeros automáticos (ATM) en bancos ubicados en África y Asia. El malware permite a los atacantes manipular las transacciones de las tarjetas de crédito y débito, retirando dinero de cajeros automáticos sin que el banco lo detecte.
Desde su detección inicial, el malware FASTCash ha sufrido dos desarrollos importantes:
- Ahora puede atacar bancos que alojan su aplicación de conmutación de pagos en Windows Server.
- Ha ampliado sus objetivos a los procesadores de pagos interbancarios, lo que aumenta el alcance de sus operaciones.
Desarrollo Reciente: El Enfoque en Linux
Las versiones anteriores de este malware se centraban en sistemas que ejecutaban Microsoft Windows y IBM AIX. Sin embargo, los descubrimientos más recientes muestran que el malware ha evolucionado para infiltrarse en sistemas Linux. Esto significa que los bancos y procesadores de pagos que usan Linux están ahora en la mira de los cibercriminales norcoreanos.
FASTCash modifica los mensajes de transacción ISO 8583 utilizados en pagos con tarjetas de crédito y débito, permitiendo la aprobación de retiros no autorizados. Incluso manipula transacciones rechazadas por falta de fondos, logrando que se aprueben para realizar retiros de liras turcas, con montos que varían entre 12,000 y 30,000 liras (aproximadamente entre $350 y $875 USD).
Técnicas del Ataque y Prevención
El informe de los investigadores señala que el malware utiliza una técnica de inyección de procesos para interceptar los mensajes de transacciones. Este tipo de comportamiento debería ser detectado por cualquier sistema de detección y respuesta de puntos finales (EDR) comercial o agente de Linux de código abierto, siempre y cuando esté configurado adecuadamente para detectar el uso de la llamada del sistema ptrace.
Además, los investigadores sugieren implementar las recomendaciones de la Agencia de Seguridad Cibernética y de Infraestructura (CISA) para proteger los sistemas financieros:
- Exigir y verificar códigos de autenticación de mensajes en las solicitudes financieras.
- Realizar una validación de criptograma de respuesta para transacciones con chip y PIN.
- Asegurar que las tarjetas de débito utilicen tecnología de chip y PIN, lo que puede ayudar a prevenir intentos de explotación similares.
Los ciberataques impulsados por el malware FASTCash siguen evolucionando, y ahora están dirigidos a sistemas Linux, lo que demuestra la adaptabilidad de los hackers norcoreanos. Con el aumento en la sofisticación de los ataques a procesadores de pagos y bancos, las entidades financieras deben asegurarse de que sus sistemas estén adecuadamente protegidos y seguir las recomendaciones de seguridad más recientes para evitar la explotación de sus redes de pago.
