LusyPOS Malware

1
WEBIMPRINTS Empresa de pruebas de penetración
Empresa de seguridad informática http//www.webim
prints.com/seguridad-informatica.html
LusyPOS Malware
2
LusyPOS Malware
Según Webimprints una empresa de pruebas de
penetración LusyPOS es el malware que se dirige a
los sistemas de puntos de venta (POS). Tras la
infección se busca en la memoria por los procesos
en ejecución por números de tarjetas bancarias.
LusyPOS utiliza la red Tor para comunicarse de
forma segura con su servidor de comando y
control, que se implementa como un servicio
oculto de Tor. Los objetivos de malware son
únicos sistemas de punto de venta y como tales se
propaga a través de spam o cualquier otro medio
de difusión.
3
Como funciona LusyPOS Malware
Según expertos de proveedor de pruebas de
penetración, que se vende en foros especializados
y se instala en los sistemas de punto de venta
comprometidos. LusyPOS se esconde en un proceso
de Internet Explorer y crea un mutex llamado
"prowin32Mutex" para evitar las infecciones
múltiples. El malware se copia en un directorio
llamado "VeriFone32" creados en la carpeta
APPDATA. Se crea otros tres archivos en a esta
carpeta ibcurl.dll, mbambservice.exe ,
zlib1.dll
4
Como funciona LusyPOS Malware
Comenta Mike Stevens profesional de empresa de
seguridad informática, para todos los procesos,
LusyPOS recupera sus datos de memoria llamando
con la API de Windows ReadProcess (). En estos
datos, luego buscó cualquier serie de dígitos
cuya longitud se correspondería con la de un
número de la tarjeta bancaria. Cuando se ha
encontrado una serie de dígitos,
LusyPOS comprueba que es un número de tarjeta
bancaria válida aprovechando el algoritmo de Luhn.
5
LusyPOS Malware

• Comenta Mike Stevens de empresas de seguridad
  informática
• que El malware periódicamente contacta con su
  servidor de comando y control a través de la red
  Tor, a fin de recibir nuevos comandos. Estos
  comandos pueden desencadenar una de las
  siguientes acciones
• Descargue y ejecute un archivo remoto.
• Actualización de sí mismo desde una ubicación
  remota.
• Eliminar su mismo y eliminar todo rastro de la
  infección.
• Cambia el intervalo de tiempo entre dos
  peticiones al servidor de comando y control

6
LusyPOS Malware

• Cambia el intervalo de tiempo entre dos
  exploraciones de memoria.
• LusyPOS comunica con su servidor a través del
  cliente Tor network. Se cambia el nombre de Tor a
  mbambservices.exe y las máquinas infectadas
  tendría este programa que escucha en el puerto
  local 9050, que es el puerto por defecto del
  cliente Tor. La mitigación de esa amenaza en
  múltiples niveles, tales como archivo, registro,
  y la URL se podría lograr en varias capas de
  productos antivirus menciono Mike Stevens de
  empresas de seguridad informática.

7
CONTACTO
www.webimprints.com

• 538 Homero 303Polanco, México D.F
  11570 MéxicoMéxico Tel [phone]
• DUBAI
• 702, Smart Heights Tower, DubaiSixth Floor,
  Aggarwal Cyber Tower 1Netaji Subhash Place,
  Delhi NCR, 110034IndiaIndia Tel [phone]
  6845