El Noguer

Continuo la història dels sistemes de seguretat contra els virus que
tenen per objectiu robar diners. En l’article anterior es parlava
d’antivirus, tallafocs, https, contrasenyes, targetes de coordenades i
teclats virtuals. Totes aquestes mesures juntes conformen el sistema de
seguretat bàsic de la majoria de banques electròniques actuals. Però la
història no s’acaba aquí.  És hora de parlar dels virus Zeus i SpyEye.
El
Zeus i l’SpyEye són virus que apleguen totes es eines existents per a
robar informació. Els dos funcionen de manera semblant: instal·len un
sistema de control remot a l’ordinador de la víctima a partir del qual
després podran desplegar espies, phishing, motors d’injecció de codi,
…

• La pesca electrònica o phishing consisteix en conduir
  als usuaris a pàgines fraudulentes que s’assemblen a les pàgines del
  banc. Quan l’usuari introdueix les seves claus, li apareix una pantalla
  d’error, com si alguna cosa no hagués anat bé. Després el missatge
  d’error condueix l’usuari a la pàgina del banc vertadera, on finalment
  l’usuari es connecta a la B.E. correctament sense adonar-se que acaba de
  donar les claus secretes a un espia. Contra la pesca electrònica
  s’aconsella no refiar-se dels enllaços dels correus electrònics,
  twitters, facebooks. Ja que tots aquests canals no són segurs. Només són
  segurs els enllaços que apareixen una pàgina web HTTPS. 

• En
  l’article anterior parlava de les targetes de coordenades com a sistema
  de seguretat. Però de targetes de coordenades n’hi ha dos tipus: els
  sistemes que demanen una coordenada diferent cada vegada, i els que
  demanen sempre la mateixa coordenada fins que l’usuari l’encerta.

Si
sempre es demana una coordenada diferent només cal capturar una
coordenada, per exemple la 25. Un cop fet això, els delinqüents entren a
la banca electrònica i fan una operació, si per fer la operació la B.E.
demana la coordenada 25, perfecte, ja la saben. Si no demana la
coordenada 25, cancel·len l’operació i repeteixen l’operació fins que
els surt la coordenada 25.

Si sempre es demana la mateixa
coordenada fins que l’usuari l’encerta aleshores cal utilitzar un atac
de pesca electrònica. Primer el delinqüents espien l’usuari per saber
quina coordenada demana el sistema, per exemple la 25. A continuació
enganyen l’usuari perquè vagi a una pàgina fraudulenta que li demana la
coordenada en qüestió. La pàgina fraudulenta treu un missatge d’error a
l’usuari, de manera que l’usuari no torni a provar l’operació durant un
temps. El temps necessari perquè els delinqüents puguin entrar a la B.E.
i fer servir la coordenada 25 per robar diners.

Per evitar aquest tipus d’atacs, només cal demanar dues coordenades consecutives. D’aquest sistema se’n diu doble coordenada.
L’usuari primer ha d’encertar la primera coordenada per saber quina
serà la segona coordenada que ha d’introduir. Els atacats que utilitzin
la pesca electrònica podran capturar la primera coordenada.

• A partir de l’aparició de la doble coordenada, els atacants ja no
  feien amb una única coordenada. Ara els atacants necessiten conèixer
  totes les coordenades de la targeta de coordenades. La única manera de
  conèixer totes les coordenades és demanant-les totes 50 de cop. És aquí
  on es comencen a veure els primers atacs d’injecció de codi.

El virus
Zeus i l’SpyEye són capaços d’interferir amb el navegador i incloure
codi HTML i javascript a les pàgines web de la B.E. per afegir per
exemple un quadre que demani a l’usuari les 50 coordenades. Per
impossible que sembli, hi ha usuaris que introdueixen tots els codis,
fins i tot quan el text injectat està ple de faltes i falten o sobren caselles per introduir coordenades. La solució a aquest tipus d’atacs és numerar les 50 coordenades amb números saltejats.
En comptes de numerar les coordenades com a coordenada 1,2,3,…,50
utilitzar cinquanta números qualsevol entre 1 i 999, per exemple
5,18,40,63,…996.

Tweet