Ao invés de capturar as credenciais do Internet Banking ou direcionar os usuários para páginas de phishing, os cibercriminosos estão agora roubando dinheiro das contas bancárias usando o próprio computador das vítimas, de maneira automatizada, copiando funções presentes em trojans bancários mais antigos e complexos, como o Zeus e o Carberp. Em 2009, algumas versões do trojan Zeus utilizava uma técnica chamada URLZone onde, após a infecção, uma transação não autorizada é feita a partir da máquina da vítima, ao invés de ser feita no computador do cibercriminoso. Para isso o malware calculava automaticamente o saldo da vítima e quanto poderia roubar. O objetivo dos ladrões, ao usar essa técnica é evitar a detecção de sistemas anti-fraudes utilizados por alguns bancos. Nos dias de hoje outro trojan conhecido como Carberp possui funções semelhantes.
Desde meados do ano passado, a Kaspersky Lab tem encontrado diversos trojans bancários brasileiros usando essa técnica, geralmente instalados em ataques de drive-by-download e se utilizando de plug-ins no navegador infectado. Eles estão programados para pagar contas ou realizar transferências de grandes valores de dinheiro. Alguns novos trojans possuem comandos para realizar todas as operações bancárias possíveis via internet banking. Basta a vítima estar logada na página de internet banking, o trojan ativo na máquina irá fazer as operações de roubo, em segundo-plano. Essa técnica é conhecida entre os coders brasileiros como "automação".
Mesmo os bancos brasileiros que utilizam a função "cadastramento de computadores", no qual detalhes específicos sobre a máquina do cliente são registrados pelo banco, tais como o número de série do HD ou o MAC address, estão em perigo. Normalmente, se uma transação é gerada a partir de uma máquina ou IP diferente, a operação será cancelada ou considerada suspeita pelo banco. Com esta técnica, o cibercriminoso pode gerar uma operação ilegal sem levantar suspeitas.
Com o aumento desse número de trojans nos últimos meses, alguns bancos no Brasil começaram a exigir a digitação de CAPTCHAS para validar algumas operações, numa tentativa de bloquear essas transações automatizadas. Logo após a adoção dessas medidas, a Kaspersky Lab encontrou versões dos trojans com as funções para quebrar os CAPTCHAS. Em alguns fóruns, já é possível ver a venda de kits específicos para a quebra dessas proteções. Esta é uma evolução natural dos trojans bancários brasileiros, numa tentativa de manter os roubos de contas bancárias pela internet, e assim continuar o jogo de gato e rato entre bancos e ladrões.
Mais informações sobre o golpes, acesse o post do Fabio Assolini, analista de malware da Kaspersky Lab no Brasil, em
http://brazil.kaspersky.com/sobre-a-kaspersky/centro-de-imprensa/blog-da-kaspersky/urlzone.
