Este nuevo troyano destaca básicamente por afectar, entre otras, a un elevado número de entidades españolas y latinoamericanas, además de combinar eficazmente la técnica keylogger con un método optimizado para capturar los datos introducidos a través de los teclados virtuales.
A diferencia del troyano bancario que capturaba vídeo, este nuevo troyano realiza pequeñas capturas de un área de pantalla alrededor del cursor del ratón cada vez que el usuario hace click. Esta función se activa cuando se encuentra en alguna de las páginas webs de entidades financieras que monitoriza.
Además, el troyano incluye en la captura de pantalla una pequeña cruz roja, a modo de señal, que indica el punto exacto donde el usuario pinchó con el ratón. A efectos prácticos, el atacante recibe varias capturas de pantalla donde puede ver claramente que teclas del teclado virtual ha pulsado el usuario afectado.
Esta técnica supone una ventaja frente a la del vídeo en lo que respecta a rendimiento y consumo de ancho de banda, ya que en vez de tener que realizar una captura continua de vídeo para generar un AVI sólo se activa cuando el usuario hace click en el ratón para generar un JPG, además de que el tamaño de los gráficos generados que envía al atacante es muy inferior al del vídeo.
La combinación de este método y la función de keylogger tradicional le permite atacar con igual efectividad a las entidades de manera independiente a si utilizan teclados virtuales o no.
Podéis ver como funciona el troyano en su vertiente keylogger en el siguiente vídeo/flash:
http://www.hispasec.com/laboratorio/troyano_captura_banesto.htmEn este otro vídeo/flash se puede ver como funciona con un teclado virtual:
http://www.hispasec.com/laboratorio/troyano_captura_cajamurcia.htmPara acceder a todos los detalles sobre el troyano, incluyendo una lista completa de entidades afectadas según país (Argentina, Bolivia, Brasil, Cabo Verde, España, Estados Unidos, Paraguay, Portugal, Uruguay y Venezuela), consultar el informe en PDF:
http://www.hispasec.com/laboratorio/troyano_spain_latino.pdfCreative Commons 2005-2006. Reconocimiento-NoComercial 2.5
http://blog.hispasec.com/laboratorio/159#comments
