TIME LINE de un Ataque de malware Banking. By, Javier Leon

Tamaño: px

Comenzar la demostración a partir de la página:

Download "TIME LINE de un Ataque de malware Banking. By, Javier Leon Cabrera, @jleonc"

Víctor Cano Rey
hace 8 años
Vistas:

1 TIME LINE de un Ataque de malware Banking. By, Javier Leon

2 Ing. Javier León Cabrera Ingeniero en Sistemas, Especialista en Computación forense y respuesta a incidentes de seguridad Abogado, perito Informático, Consultor Capacitador en temas Afines Certificado ENCE, ACE Coordinador de la Red Latinoamericana de Informática forense Javier@jleonconsultores.com jleonc@hotmail.com

Capacitador en temas Afines Certificado ENCE, ACE Coordinador de la Red

3 TIME LINE de un Ataque de malware Banking.

5 Respondemos a un llamado de investigación de una entidad financiera, en la cual se han transferido a diferentes cuentas bancarias mas de dólares que han sido retirados. Los funcionarios de auditoria han detectado las diferentes cuentas de destino del dinero, de igual forma que usuario realizo las mismas, siendo separado de puesto de trabajado hasta realizar las investigaciones pertinentes.

Los funcionarios de auditoria han detectado las diferentes cuentas de destino del dinero, de igual

6 Identificación del Caso Fecha de las transferencias 10 de abril del :00-19:01

7 n í L r a ener G m e i t e ea d a i v e r po P e s n e r en fo r a r a p re P y g a.o S m I o i r r a ra n e e n c s e G le e r a t ar a e l t s p n. em. Co a e r é a f w a t f C o S ucho e m s r n a e r r a fo s i s Prep i l á n a l e r a i c i In

8 Registro del sistema & usuario (NTUser. Eventos de seguridad dat) Búsquedas indexadas con palabras claves y por fechas Archivos de navegación de internet Carpetas del sistema (system32 temp, etc)

9 HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Run

10 C:\ Windows\temp

11 C:\ Windows\temp\dll32.vbs Son archivos de texto que contienen contiene instrucciones. Utiliza VBScript es un lenguaje de scripting activo basado en Visual Basic creado por Microsoft Al hacer doble clic en un archivo VBS, se ejecuta sobre la marcha usando wscript.exe Se ha encontrado en varios ataques a entidades bancarias, este tipo de archivos.

Microsoft Al hacer doble clic en un archivo VBS, se ejecuta sobre la marcha usando

12 C:\ Windows\temp\dll32.vbs

13 C:\ Windows\temp\dll32.vbs

14 C:\ Windows\temp\svchosl.exe

17 Teniendo que el ataque fue el Y Constatando la ejecución del scripting y del malware Realizamos una búsqueda de los eventos y archivos en una ventana de tiempo de 30 días antes y 5 días después

22 Mucha Evidencia Como llego al equipo el archivo Como se ejecuto el archivo Como se ejecutaron otros archivos de malware

23 Teníamos el archivo dll33.vbs

26 HKCU\Software\Microsoft\Windows\CurrentVersion\Explorer\ComDlg32\OpenSaveMRU\*

27 Hora Transferencias - 18:50-20:00

29 Verificando Log de Firewall de servidores del Banco

30 TIMELINE- Línea de tiempo de Investigación 25/03/2015 Llega coreo a cuenca ccastro con archivo adjunto documentos dll33.vbs 27/03/2015 De la Ip se descargan los archivos cupo. bat, powerkeylogger 26/03/2015 Se ejecuta el archivo dll33.vbs permitiendo la conexión a la IP externa /03/2015 Se crea en el sistema el archivo dll32.vbs 31/03/2015 Se ejecuta el archivo cupo.bat y ejecuta a persist. reg- genera al registro al archivo dll32.vbs a que inicie con el sistema 4/04/2015 Accede Por ultima vez al archivo Powe_Keylogg er.txt 1/04/2015 Se crea la conexión externa generada por el archivos svchol.exe a la IP 200,100,237,71 10/04/2015 Se consolida el ataque

32 @jleonc

Documentos relacionados

MANUAL DE USUARIO SIIDJ MÓDULO DE SEGURIDAD CAPÍTULO II ADMINISTRADOR DE SEGURIDAD DEL CLIENTE ÍNDICE

MANUAL DE USUARIO SIIDJ MÓDULO Código: MU-GT-IS-015 Versión: 3,3 Fecha: 02 Jul 2013 CAPÍTULO II ADMINISTRADOR DEL CLIENTE ÍNDICE 1 OBJETIVO... 2 2 ALCANCE... 2 3 INTRODUCCIÓN... 2 4 INGRESO AL MÓDULO...