VISA advierte de ciberataques en sistemas PoS de bombas de gas
Los sistemas de punto de venta (POS) de los comerciantes de dispensadores de combustible de América del Norte están bajo una amenaza cada vez mayor de ser atacados por un ataque coordinado por grupos de delitos informáticos de acuerdo con una alerta de seguridad publicada por VISA
Durante el verano de 2019, se observaron tres ataques dirigidos a organizaciones en este tipo de ataque con el objetivo final de raspar los datos de la tarjeta de pago, de acuerdo con la Interrupción por Fraude de Pago de Visa (PFD).
Esta alerta sigue a una advertencia previa de noviembre que también menciona que esos comerciantes son un objetivo cada vez más atractivo para los grupos de amenazas "debido a la falta de tecnología de aceptación segura (por ejemplo, chip EMV, cifrado punto a punto, tokenización, etc.) y no -cumplimiento con PCI DSS ".
Ataques contra comerciantes de dispensadores de combustible
PFD dice que en el primer incidente que identificó, los atacantes desconocidos pudieron comprometer su objetivo utilizando un correo electrónico de phishing que les permitió infectar uno de los sistemas de la red con un troyano de acceso remoto (RAT).
Esto les proporcionó acceso directo a la red, lo que permitió obtener credenciales con permisos suficientes para moverse lateralmente a través de la red y comprometer el sistema POS de la compañía ya que "también había una falta de segmentación de la red entre el Entorno de datos del titular de la tarjeta (CDE) y la red corporativa ".
La última etapa del ataque vio a los actores desplegar un raspador de RAM que los ayudó a recopilar y filtrar los datos de la tarjeta de pago del cliente.
Durante el segundo y tercer incidentes, PFD afirma que los actores de la amenaza utilizaron herramientas maliciosas y TTP (Tácticas, Técnicas y Procedimientos) atribuibles al grupo de ciberdelincuencia FIN8 motivado financieramente .
Como parte del segundo ataque, los atacantes usaron un vector desconocido para obtener acceso a la red e infectar el entorno de POS con una carga maliciosa de raspador de RAM que se dirigió específicamente a transacciones de banda magnética.
"El malware utilizado en el ataque también creó un archivo de salida temporal, wmsetup.tmp, que se utilizó para almacenar los datos de pago eliminados", dice VISA . "Este archivo se identificó previamente en ataques atribuidos a FIN8 y malware asociado a FIN8".
Sin embargo, también detectaron nuevo malware basado en la variante RM3 de Ursnif (también conocido como Gozi / Gozi-ISFB), un malware bancario modular que generalmente se entrega a través de ataques de phishing y kits de exploits.
"Si bien el malware utilizado en este ataque no se identificó en los ataques contra los comerciantes de dispensadores de combustible, es posible que FIN8 use este malware en futuras operaciones dirigidas a comerciantes de dispensadores de combustible", agrega VISA.
Sistemas POS de banda magnética bajo mayor amenaza
En base a los recientes ataques que comprometieron los sistemas POS en los comerciantes de dispensadores de combustible detectados por PFD, los grupos de amenazas los tienen en la lista corta de objetivos atractivos.
"Es importante tener en cuenta que este vector de ataque difiere significativamente del desnatado en las bombas de combustible, ya que el objetivo de los sistemas POS requiere que los actores de la amenaza accedan a la red interna del comerciante y requiere más destreza técnica que los ataques de desnatado", dice VISA PFD.
"Los comerciantes de dispensadores de combustible deben tomar nota de esta actividad e implementar dispositivos que admitan chips siempre que sea posible, ya que esto reducirá significativamente la probabilidad de estos ataques".
VISA proporciona a los comerciantes y compradores una serie de medidas diseñadas para mitigar este tipo de amenazas:
- Emplee los IOC contenidos en este informe para detectar, remediar y prevenir ataques utilizando la variante de malware POS.
- Asegure el acceso remoto con contraseñas seguras, asegúrese de que solo las personas necesarias tengan permiso para el acceso remoto, desactive el acceso remoto cuando no esté en uso y use la autenticación de dos factores para las sesiones remotas.
- Habilite las tecnologías EMV para pagos seguros en persona (chip, sin contacto, móvil y QRcode).
- Proporcione a cada usuario administrador sus propias credenciales de usuario. Las cuentas de usuario también solo deben contar con los permisos vitales para las responsabilidades laborales.
- Active la heurística (análisis de comportamiento) en antimalware para buscar comportamientos sospechosos y actualice las aplicaciones antimalware.
- Monitoree el tráfico de red en busca de conexiones sospechosas y registre el sistema y los eventos de red.
- Implemente la segmentación de red, cuando sea posible, para evitar la propagación de software malicioso y limitar el punto de apoyo de un atacante.
- Mantenga un programa de administración de parches y actualice todo el firmware de software y hardware a la versión más reciente para limitar la superficie de ataque para vulnerabilidades de día cero.
- En caso de incumplimiento confirmado o sospechado, consulte Qué hacer si está comprometido (WTDIC) de Visa , publicado en octubre de 2019.
¿Te es util este articulo?. ¿Tienes una opinion relacionada con este articulo?. ¿Te has entretenido con nosotros?.
Si la respuesta es afirmativa, dejanos un comentario :) y como no Gracias por vernos