Recém-descoberta, ameaça foi elaborada para colher e exfiltrar informações de cartão de crédito de sistemas PoS
Os sistemas de ponto de venda (PoS, do inglês Point of Sale) continuam a ser um alvo tentador para cibercriminosos. Enquanto as corporações e outras grandes organizações podem pagar equipes particulares de segurança de TI para monitorar dados de pagamento, muitas pequenas empresas não podem. Os sistemas PoS geralmente enviam dados de cartão de crédito para computadores simples, que executam versões básicas do Windows ou Linux, aumentando sua atratividade para os criminosos.
O UDPoS é uma família de malware de ponto de venda (PoS) recém-descoberta, elaborada para colher e exfiltrar informações de cartão de crédito de sistemas PoS usando o tunelamento de DNS. Essa nova família utiliza vários truques de ilusão, à medida que tenta disfarçar-se como uma atualização do pacote do serviço LogMeIn, além de fazer conexões de rede para um URL que se mascara como um domínio LogMeIn legítimo.
A equipe de Orientação de Ameaças da Cylance, empresa de cibersegurança, realizou recentemente uma análise detalhada do UDPoS. Os testes começaram com o dropper do malware, um arquivo auto-extraível de 7-zip chamado update.exe. O arquivo contém um serviço de malware e payload. Quando o dropper é executado, o payload do malware, logmeinumon.exe, é extraído para o disco. O serviço LogmeinServicePack_5.115.22.001.exe é então executado pelo recurso RunProgram do 7-zip. A escolha do nome do LogMeIn é provavelmente uma tentativa dos cibercriminosos de camuflar o malware como software legítimo de protocolo de desktop remoto (RDP, do inglês remote desktop protocol).
O dropper se auto-exclui após a execução, deixando o serviço de malware livre para criar um mecanismo de persistência no host. Os locais do sistema usados pelo UDPoS para armazenar os componentes maliciosos de persistência dependem dos direitos do usuário executando o malware. Uma vez que a persistência foi estabelecida, o serviço de malware renuncia ao controle do payload.
O payload do UDPoS carrega-se na memória e, em seguida, executa uma verificação das soluções antivírus existentes (AV). Esta verificação contém código de buggy que identifica com sucesso apenas uma das quatro bibliotecas de AV. O malware então cria um arquivo ID, hdwid.dat, para armazenar dados roubados. O UDPoS então lança cinco segmentos que fazem o trabalho pesado do malware:
Segmento 1 – reúne informações do sistema
Segmento 2 – inicializa a comunicação de comando e controle (C2) e obtém o endereço IP externo da vítima
Segmento 3 – sistematicamente “pinga” com o servidor C2
Segmento 4 – raspa a memória dos processos em execução para extrair as faixas 1 e 2 dos dados do cartão de crédito
Segmento 5 – envia os dados exfiltrados para o servidor C2 via tunelamento de DNS
Para uma análise aprofundada de como funciona o UDPoS, leia este post no blog da Cylance.
Qualquer pessoa que aceite pagamentos com cartão de crédito através de um sistema PoS deve se preocupar em manter os dados de seus clientes seguros. UDPoS rouba os dados das faixas 1 e 2 do cartão de crédito. Os dados da faixa 1 incluem informações do cliente, número do cartão e código CVV2 de três dígitos. Os dados da faixa 2 contêm informações da faixa magnética próprias para criar clones físicos de cartões comprometidos.
A perda de dados do cartão de crédito dos clientes mostrou-se excepcionalmente prejudicial para a reputação e as finanças de grandes varejistas. É improvável que pequenas empresas possam sobreviver aos custos do roubo de dados do cartão de crédito de seus clientes via UDPoS.
Embora a exfiltração baseada no tunelamento DNS no malware PoS não seja nada novo, deve-se lembrar que, além de executar soluções antivírus e EDR, as organizações devem colocar mais ênfase na análise do tráfego de DNS por características duvidosas ou atípicas.
Apesar de malwares PoS gerarem grandes manchetes no passado – como a grande violação de 2013 da rede de lojas americana Target – os varejistas, hotéis e semelhantes pilares da indústria permanecem vulneráveis devido à dependência contínua de infraestrutura antiga, a adoção lenta da tecnologia de EVM (também conhecido como “chip and pin”) e da falta de recursos avançados de detecção, como antivírus da próxima geração, EDR (endpoint detection and response) e monitoramento de rede.
