Al igual que otros crimeware de éste estilo, su objetivo principal es la distribución de malware específico para el robo de información financiera a través ataques de pharming local (modificación arbitraria del archivo host). A pesar de su reciente aparición (menos de un mes) ya ha sido adoptada por los ciberdelincuentes de LatAm para atentar contra usuario bancarios de importantes entidades bancarias. Hasta el momento hemos registrado ataques de phishing generados y administrados a través de ésta botnet para Chile, Perú, Panamá, Costa Rica y Argentina.
Desde el punto de vista técnico comparte muchas similitudes con los códigos maliciosos propagados a través de vOlk y S.A.P.Z, que iremos compartiendo en los próximos días. Sin embargo, aún no está claro desde qué país de Latinoamérica es, pero algunos indicios indican que podría tratarse de un crimeware de origen guatemalteco, mexicano o peruano. Otra interesante característica que se distingue respecto a los otros crimeware de LatAm es su proceso simple de autenticación que solo necesita contar con un solo factor: la contraseña de acceso al panel de administración.
Además, el ciclo de propagación descarga en primera instancia un Dropper que se encargará de establecer la primera comunicación clandestina con el C2 (panel de Comando y Control) enviando a la botnet parámetros de interés para los delincuentes informáticos. Luego descargará otra pieza de malware desde la URL configurada en “url_des.txt” y modificará vía web la información contenida en el archivo hosts a través de los parámetros establecidos desde el “toma.php”.
Hasta el momento hemos detectado al menos un par de docenas de variantes del malware gestionado a través de PiceBOT que son detectadas por Kaspersky Lab de forma genérica como Trojan-Dropper.Win32.Injector y su distribución geográfica se concentra, por el momento, en los países anteriormente mencionados.
Claro está que Latinoamérica se ha transformado en un mercado muy competitivo y muy preciado para los delincuentes informáticos de la región y fuera de ella también, debido, en parte, a la falta de madurez en materia penal.
En el particular caso de PiceBOT, en su poco tiempo de vida ha alcanzado una tasa de éxito importante entre la comunidad delictiva “regionalista” que lo adoptan por encima del crimeware desarrollado en Europa del Este. Tal vez los tres puntos más importantes que consideran los delincuentes informáticos que prefieren el uso de crimeware local sean: en primera instancia, el bajo costo comparado con los desarrollos Europeos que superan los 1,000 dólares estadounidenses en la mayor parte de los casos.
En segundo lugar la facilidad de uso ya que solo se limitan al phishing como estrategia de ataque final y en tercero el Retorno de Inversión (ROI) casi inmediato que obtienen ya que a pesar del empleo de técnicas triviales que se potencian con maniobras de Ingeniería Social visual la tasa de infección a través de éstos códigos maliciosos es muy alta, fundamentalmente, por la falta de conciencia de los usuarios.
Nosotros seguimos investigando esta y otras amenazas de similares característica por lo que seguramente en breve podremos proporcionar información más detallada sobre este nuevo crimeware de la escena ciberdelictiva de América Latina.