Ursnif Trojan fue resucitado y ahora se dirige a sus contraseñas

Algunas veces ciertas infecciones no desaparecen por décadas. Los ciberdelincuentes logran personalizar sus códigos maliciosos y usarlos para robar información y dinero una y otra vez. Hoy nos gustaría llamar su atención sobre una vieja infección de troyano bancario que se ha actualizado y ahora está dando vueltas por todo el mundo cibernético. Ursnif Trojan está de regreso nuevamente, y exige una mayor precaución de los usuarios corporativos e individuales porque nunca se puede saber cuándo esta infección podría irrumpir en su sistema. Nuestro objetivo principal con esta publicación de blog es aumentar su conocimiento de tales ciber infecciones peligrosas.

¿Qué es el troyano Ursnif?

Quizás se pregunte por qué estamos hablando de un troyano bancario cuando nuestro principal alcance de experiencia son las contraseñas y la seguridad de la información personal. Bueno, la verdad es que este troyano bancario apunta a sus contraseñas, por lo que creemos que es nuestro deber informarle sobre esto, a pesar de que los usuarios habituales pueden no estar demasiado ansiosos por descubrir cómo eliminar un virus troyano porque eso es algo que debe hacerse con una herramienta antispyware con licencia.

Sin embargo, aquí hay información básica sobre el troyano Ursnif que creemos que debe saber. Según la Célula de integración de ciberseguridad y comunicaciones de Nueva Jersey (NJCCIC), el troyano Ursnif es una de las versiones más activas del malware Gozi. También puede encontrarlo archivado con el nombre Dreambot. Normalmente, este troyano bancario se propaga a través de kits de exploits, archivos adjuntos de correo electrónico no deseado y enlaces maliciosos.

El troyano en sí se remonta a 2007, pero no estuvo ampliamente disponible hasta 2010, cuando se filtró el código fuente del malware Gozi. Como resultado, los delincuentes cibernéticos que podrían obtener el código podrían personalizar fácilmente el código malicioso, lo que condujo a la aparición de muchos troyanos bancarios diferentes. Estos troyanos bancarios se dirigieron a varios bancos, y la amenaza sigue ahí, más de 12 años después de que este malware se haya criado por primera vez.

La última ola de infecciones por troyanos Ursnif

Cisco Talos Intelligence Group detectó el último episodio de infecciones. El grupo había declarado en su blog que habían rastreado al ladrón de información cuando su propio motor de prevención de exploits los alertó sobre estas infecciones.

El tipo más nuevo de este troyano bancario se distribuye a través de correos electrónicos de phishing. Obviamente, esto muestra que los usuarios permiten que esta infección maliciosa ingrese a sus computadoras, y luego buscan desesperadamente métodos para eliminar un virus troyano.

Estos correos electrónicos de phishing vienen con archivos adjuntos que se parecen a los documentos de Microsoft Word. No es necesario decir que es difícil imaginar algo menos inocente que un simple archivo de MS Word, y por lo tanto, los usuarios no perciben nada peligroso al respecto. Cuando los usuarios seleccionados abren este documento, ven una imagen que les pide que habiliten macros. Esto ya es una gran señal de alerta porque las macros habilitadas a menudo son explotadas por troyanos bancarios y otro malware para infectar las computadoras objetivo.

Las macros habilitadas inician un código ofuscado que ejecuta varias funciones matemáticas y finalmente ejecuta PowerShell. Este comando se conecta al centro de control y comando malicioso a través de un servidor remoto y descarga Unsnif en el sistema de destino. Como resultado, el troyano se instala en la computadora de destino. Después de eso, Ursnif comienza a buscar en el sistema información bancaria, detalles de inicio de sesión, etc.

Dado que el archivo de instalación real no se distribuye por correo electrónico de phishing, es mucho más difícil registrar y rastrear la actividad maliciosa. También puede decir que es fácil evitar infectarse con este troyano bancario porque todo lo que tiene que hacer es abstenerse de abrir el archivo malicioso de MS Word.

Sin embargo, si pensamos un poco en un sistema corporativo y en la cantidad de correos electrónicos que los empleados de las grandes empresas tienen que abrir diariamente; podría ser más fácil entender cómo Ursnif logra ingresar a múltiples sistemas en todo el mundo. Si abrir archivos adjuntos es una rutina, es menos probable que un empleado preste atención a los aspectos sospechosos de un correo electrónico recién recibido.

Por lo tanto, para evitar atormentar su cerebro sobre cómo eliminar un virus troyano, sería mucho más eficiente educar a sus empleados sobre la prevención de malware. Algunas prácticas de seguridad también recomiendan aplicar una política de contraseña.

Si tiene contraseñas complejas, puede ser difícil para un troyano bancario descifrar archivos de contraseña en su computadora. Aunque no puede evitar el daño de una infección de malware al 100%, aún puede limitarlo una vez que su sistema se vea comprometido. Una de las mejores formas de crear y emplear contraseñas complejas es mediante el uso de un administrador de contraseñas . Un administrador de contraseñas puede ayudarlo a generar contraseñas seguras y almacenarlas en su bóveda de contraseñas. También es una buena idea emplear un firewall para bloquear las conexiones entrantes que intentan conectarse a servicios que no deberían estar disponibles públicamente. Siempre puede revisar una lista de verificación de las medidas de seguridad que puede emplear para evitar un troyano bancario en cualquier sitio web que se ocupe de la seguridad cibernética.

La conclusión es que este troyano bancario favorece la persistencia "sin archivos". Esto dificulta que los servicios antivirus lo detecten en el tráfico normal de Internet. Ni siquiera podemos esperar que un usuario normal pueda invertir en medidas de seguridad que puedan filtrar el tráfico malicioso del flujo de información habitual. Los expertos en seguridad coinciden en que es realmente difícil evitar que el troyano Ursnif se instale en el sistema de destino una vez que se ha iniciado el proceso de descarga.

Si está ejecutando una gran red de sistemas informáticos, es posible que desee dirigirse a técnicos profesionales para obtener recomendaciones más detalladas. Entendemos que a veces las empresas más pequeñas no tienen los fondos para invertir en seguridad cibernética, pero incluso entonces debe considerar educar a sus empleados sobre las posibles amenazas cibernéticas como este troyano bancario que puede estar a solo un clic de distancia. Es mucho mejor aplicar una serie de medidas de prevención que luchar para buscar formas de eliminar una infección de Troya más adelante.