No início deste ano, um parceiro da Kaspersky Lab forneceu a um de nossos investigadores uma amostra maliciosa desconhecida, supostamente criada para infectar computadores e que funcionavam em caixas ATM. Os investigadores ficaram curiosos em saber se esse malware ou algum software relacionado estaria disponível para compra em fóruns clandestinos tendo sido descoberto a sua comercialização num anúncio. O anúncio descrevia o produto como uma linhagem de malware dirigido às caixas electrónicas revelando que a amostra original pertencia a um kit de malware comercial completo, criado para roubar caixas multibanco. Um post público feito pelo vendedor do malware apresentava, além da descrição do malware ,as instruções de como poderia ser obtido, manual de utilização do kit de malware para realizar ataques e tutoriais em vídeo.
Como referimos, a investigação concluiu que o kit de ferramentas do malware consiste em três elementos:
• Software Cutlet Maker, que atua como módulo principal, responsável pela comunicação com o distribuidor do ATM.
• Programa c0decalc, criado para gerar uma password para executar o aplicação Cutlet Maker e protegê-lo contra a utilização não autorizada.
• Aplicativo Stimulator, que poupa o tempo dos criminosos, identificando o status atual das gavetas de dinheiro dos ATMs. Ao instalar a aplicação, o invasor recebe informações precisas sobre a moeda, o valor e o número de notas em cada gaveta e, assim, pode escolher aquele que contém o maior valor, em vez de sacar o dinheiro aleatoriamente de cada um deles.
Para iniciar o roubo, os criminosos precisam ter acesso direto ao interior da caixa ATM, de modo que possam ligar um dispositivo USB que contém o kit de ferramentas do software à porta correspondente para carregar o malware. Na primeira etapa, é instalado o Cutlet Maker. Como este é protegido por password, é utilizado o programa c0decalc instalado num outro dispositivo, como um computador portatil ou tablet. Isso funciona como algo do género de um software de proteção de “direitos de autor” instalada pelos criadores do Cutlet Maker com o intuito evitar que outros criminosos o utilizem gratuitamente. Depois do código gerado, os criminosos colocam a password na interface do Cutlet Maker para iniciar o processo de retirada do dinheiro.
O Cutlet Maker está à venda desde 27 de março de 2017, mas os pesquisadores descobriram que a primeira amostra conhecida, apareceu nos radares da comunidade de segurança em junho de 2016. Naquela época, ele foi enviado a um serviço público de verificação múltipla localizado na Ucrânia, tendo também sido enviadas copias deste malware para outros países.
Não se sabe quem está por trás desse malware. Em relação aos possíveis vendedores do kit de ferramentas, os erros de linguagem, gramática e estilo apontam para criadores pouco familiarizados com a língua inglesa.
“O Cutlet Maker praticamente não exige que o criminoso tenha conhecimentos avançados ou habilidades profissionais em informática, transformando a invasão de caixas multibanco, que costumava ser uma sofisticada operação cibernética de ataque, numa nova forma ilegal de ganhar dinheiro, disponível para praticamente qualquer pessoa que tenha milhares de dólares para comprar o produto. Isto pode-se tornar uma ameaça perigosa às organizações financeiras. Mas, o mais importante é que, durante a sua operação, o Cutlet Maker interage com o software e hardware das caixas multibanco, que quase não têm barreiras de segurança. Deveríamos mudar isso, reforçando os computadores dos caixas”, diz Konstantin Zykov, investigador de segurança da Kaspersky Lab.
Para proteger as ATMs de ataques baseados em ferramentas maliciosas como o Cutlet Maker, os especialistas da Kaspersky Lab recomendam às equipas de segurança informática de empresas ligadas às áreas financeiras que devem ser implementadas políticas rígidas de negação padrão quem impeçam que softwares não autorizados sejam executados noa caixas electrónicas, que sejam ativados mecanismos de controle de dispositivos que restrinjam a ligação de qualquer dispositivo não autorizado com os sistemas e que sejam usadas soluções de segurança adaptada para proteger as caixas multibanco de ataques semelhantes ao do malware Cutlet Maker.
A Kaspersky indica ainda que possui no seu leque de produtos soluções de segurança capazes de bloquear este malware.
