Tiny Banker Trojan , también llamado Tinba , es un programa de malware que ataca a los sitios web de instituciones financieras. Es una forma modificada de una forma más antigua de virus conocida como troyanos bancarios, pero es mucho más pequeño y más poderoso. Funciona estableciendo ataques de tipo man-in-the-browser y rastreando la red. Desde su descubrimiento, se ha descubierto que ha infectado a más de dos docenas de instituciones bancarias importantes en los Estados Unidos, entre ellas TD Bank, Chase, HSBC, Wells Fargo, PNC y Bank of America. [1] Está diseñado para robar datos confidenciales de los usuarios, como información de inicio de sesión de cuentas y códigos bancarios.
Tiny Banker fue descubierto por primera vez en 2012, cuando se descubrió que había infectado miles de computadoras en Turquía. Después de su descubrimiento, el código fuente original del malware se filtró en línea y comenzó a sufrir revisiones individuales, lo que dificultó el proceso de detección para las instituciones. [2] Es una versión muy modificada del troyano Zeus , que tenía un método de ataque muy similar para obtener la misma información. Sin embargo, se descubrió que Tinba era mucho más pequeño. El tamaño más pequeño hace que el malware sea más difícil de detectar. Con solo 20 KB, Tinba es mucho más pequeño que cualquier otro troyano conocido. Como referencia, el tamaño de archivo promedio de un sitio web de escritorio es de alrededor de 1966 KB. [3]
Tinba opera mediante el rastreo de paquetes , un método de lectura del tráfico de red, para determinar cuándo un usuario navega a un sitio web bancario. El malware puede lanzar una de dos acciones diferentes, según la variación. En su forma más popular, Tinba capturará la página web y provocará un ataque de intermediario . El troyano utiliza la captura de formularios para capturar las pulsaciones de teclas antes de que puedan cifrarse mediante HTTPS. Luego, Tinba envía las pulsaciones de teclas a un comando y control . Este proceso, a su vez, hace que se robe la información de un usuario.
El segundo método que ha utilizado Tinba es permitir al usuario iniciar sesión en la página web. Una vez que el usuario está dentro, el malware utilizará la información de la página para extraer el logotipo de la empresa y el formato del sitio. A continuación, creará una página emergente que informa al usuario de las actualizaciones del sistema y solicita información adicional, como números de seguridad social. [4] La mayoría de las instituciones bancarias informan a sus usuarios de que nunca solicitarán esta información como forma de defenderse de este tipo de ataques. Tinba ha sido modificado para abordar esta defensa y ha comenzado a solicitar a los usuarios el tipo de información que se solicita como preguntas de seguridad, como el apellido de soltera de la madre del usuario, en un intento de que el atacante use esta información para restablecer la contraseña en un momento posterior. [5]
Tinba también se inyecta en otros procesos del sistema, en un intento de convertir la máquina anfitriona en un zombi, un miembro involuntario de una botnet. Para mantener la conexión en la botnet, Tinba está codificado con cuatro dominios, de modo que si uno falla o pierde la comunicación, el troyano puede buscar uno de los otros inmediatamente. [6]
El troyano Tiny Banker ha sido utilizado por los centros de llamadas internacionales de soporte técnico como pretexto para conectarse a la computadora de la víctima y realizar cargos fraudulentos. [7] Los estafadores afirmarán que la cuenta bancaria de la víctima ha sido pirateada con el troyano Tiny Banker y, para asegurar los fondos bancarios, la víctima será presionada para comprar tarjetas de regalo, hacer una transferencia bancaria o Zelle , o comprar bitcoins . [8]