Paneles de troyano configurados por defecto

En los escenarios underground se pueden llegar a comprar muchas cosas. Desde servicios para contratar mercenarios, redes botnet, órganos, niños y como no, kits de malware para construirte tu propia botnet y empezar a ganar dinero.

El modelo de negocio ha cambiado, en el principio de los tiempos el criminal que compraba un kit, tenía que saber primero a que banco quería atacar. El developer o grupo que estuviera detrás de esa pieza de malware que estaba a la venta, te entregaba la muestra preparada para afectar al objetivo que ya hubieras decidido.

Precio aparte, podrías encontrar los WebInjects, en los que el malware se apoyaría para realizar las inyecciones que tuviera que hacer para el robo de credenciales. Hoy en día el modelo de negocio ya no es de esta manera. El criminal compra el builder y él se encarga de la distribución, etc.. Puede seguir comprando los Webinjects e incluso alquilar una red botnet o la parte de distribución si quiere.

Un ejemplo de las inyección a un banco, para que veáis un ejemplo:

Si os fijáis en la imagen, el troyano con las inyecciones, pide más datos de los normales. Estos datos nunca los pediría un banco. Los packs de malware se pueden comprar en los foros Underground:

El anuncio es explícito con lo que vende. Está claro que al final, el paquete que compra se trata de un servidor web que recibirá los datos que el troyano haya robado.

La parte del panel se instala en un servidor apache o similares, por lo que es probable que los cibercriminales no sepan configurar correctamente los permisos y que puedas encontrar información interesante.

Esto es un panel de troyano

Viendo esto, parece imposible poder llegar a hacer nada, pero si conoces los directorios que hay en el backend es posible poder llegar a  ver que hay.

Esta es la estructura que hay en el servidor web, algunos permisos están mal configurados y podemos ver cosas como:

Aquí tenemos un directory listing de las imágenes del panel de troyano.

Se han dejado también el directorio de instalación abierto.

Aquí tenemos como podemos actualizar la base de datos.

El tema de los permisos es algo muy importante ya que se puede acceder a carpetas como por ejemplo files:

Aquí tenemos el binario que es un Zbot, el cual usarán para distribuir a los usuarios que quieran infectar.

Además podemos ver que está la carpeta Webinjects que usarán para poder darle las inyecciones al troyano.

En el caso del troyano una vez analizado, podemos ver la siguiente información:

Malware family CITADEL
Version 1.3.5.1
RC4 Keystream c78bb50e2c64713af82487dd354983231229e0ef79baf6473214721d5a68e44a5907db4e46d274bb6b09fb0f94627fd8e3b7cbf684ee5b419f63d1602fb81b27034ee9c09da5a51905765868741fa4beb0c0aadee02a0ceb8fa762c84067a2e660cd09751a95ac356ee1cf94f6e5065fea912ad1013e8ff7f0caea51e6c9bf85b387f2b6a1ae7954902050118ad01728bd54ae328c9655cd976c14fe10a3751b728632ff71ad1e840656d04d00c3df82f7c892ce2bc2faed0a3b37b4c47f33040bced66347704a17f965a08afb13a3e95fa0fd209c36866b4dddd39a413477d6437e217a2e2d314c9e575d9b3c6d3b255c9bddb38193005728184cb8efafc9dc
gate.php URLs
URLs http://XX.XX.XXX.XX/webalizer/webdav/ningga.php|file=config.dll | http://XX.XX.XXX.XX/webalizer/webdav/ningga.php|file=config.dll

Esta muestra conectaría con este panel de control para el envío de datos.

Hemos podido ver con que no basta con comprar el kit de malware, sino que hace falta saber cómo configurar las cosas y no dejarlas "by default". Los criminales pueden configurarlo ellos mismos, alquilar la estructura o vulnerar un servidor como el caso de hoy.

Artículo cortesía de Marc Rivero López

@seifreed

Etiquetas: citadel , contribuciones , ecrime , exploit , malware , zeus