Banking security threats_abp_2014

1. Banking Security Threats PASADO - PRESENTE Y FUTURO DE LOS ATAQUES CIBERNTICOS Alvaro Andrade & [email protected] @aandradex

2. Introduccin a los ciberataques bancarios

5. Medidas de Seguridad

6. Vectores de ataque a Entidades Financieras Los asaltos a bancos en el pasado eran de forma presencial, solo podan tomar unos segundos para escapar, era fcil seguirles el rastro, el monto que podan llegar a robar no era una suma que afecte gravemente al un banco y casi siempre se los poda agarrar.

7. Vectores de ataque a Entidades Financieras Los asaltos a bancos en el presente son de forma NO presencial, desde puntos geogrficamente distantes y ahora con mascaras digitales lo que dificulta seguirles el rastro, las sumas por perdidas en ciberataques son bastante fuertes y en algunos caso fatales para los bancos.

8. Como los dems piensan que es un Hacker

9. Como realmente es un Hacker

10. Atacando estas tecnologas

11. Recoleccin de informacin (Footprinting) Un correo, un archivo o una direccin web que hayas subido a la web, puede decir mucho de ti y de tu empresa.

12. Recoleccin de informacin (Footprinting) Google no solo es la herramienta nmero uno de bsquedas en Internet, sino la nmero uno en herramientas de ataque. + - OR Inurl allinurl Intitle allintitle Filetype ext site cache Intext allintext info

13. https://www.shodan.io/search?query=country%3APA +banco+general Los peligros de dejar las cosas por internet publicadas https://www.shodan.i o/search?query=coun try%3APA+banco+ Recoleccin de informacin (Footprinting)

14. https://www.shodan.io/search?query=country%3APA +banco+general Los peligros de dejar las cosas por internet publicadas https://www.shodan.i o/search?query=coun try%3APA+banco+ Recoleccin de informacin (Footprinting)

15. Lo que esta publico en Panam esta publico para el mundo entero mediante internet En las siguientes demostraciones han sido echas con documentos publicados por las propias instituciones bancarias, las cuales podrn observar que entregan demasiada informacin de usuarios y de direcciones de Red, as como permisos nicamente desde los documentos de la Web. Recoleccin de informacin (Footprinting)

16. Recoleccin de informacin (Footprinting) METADATOS: El mejor amigo de un atacante. Nombres de Usuarios Direcciones de red internas y externas Impresoras de red Sistema Operativo Aplicativos de ofimtica

17. Atacando las Aplicaciones Web

22. Atacando infraestructuras bancarias La realidad es que muchos de los puntos de atencin a de los bancos y sus infraestructuras de I.T. tienen altos riesgos de infeccin y de ser objetivo de criminales, en estas demostracin observaremos diferentes ejemplos que existen en Panam de los cuales se derivan fallas de seguridad de la Informacin en infraestructuras de atencin al cliente. Breaking Security by the POS

23. Atacando infraestructuras bancarias Por motivo de estas demos no vamos a revelar los nombres de los bancos , todo lo que aqu se demuestra es netamente informativo. What happends in Vegas Stay Vegas What happends in Panam Never happend

24. Atacando infraestructuras bancarias Primer Caso lo llamaremos Verde Falla de configuracin de seguridad Carencia de restricciones para la atencin de usuarios.

25. Atacando infraestructuras bancarias Primer Caso lo llamaremos Verde Una vez tenido acceso a los comandos desde el teclado procedemos a acceder a una Web diseada por nosotros. Saltando Websense

26. Atacando infraestructuras bancarias Primer Caso lo llamaremos Verde En ningn caso la proteccin Websense bloqueo la infeccin y permiti acceder y controlar como un zombi el Punto de atencin del cliente

27. Atacando infraestructuras bancarias Segundo Caso lo llamaremos Azul En este Caso Azul no desactivo la ayuda y desde la ayuda se pudo elevar privilegios de un usuario normal hasta

28. Atacando infraestructuras bancarias Segundo Caso lo llamaremos Azul Estar conectado a toda la Red de ATMs Tener todas las conexiones disponibles Poder acceder a todas las funciones del sistema operativo Todo desde un POS con teclado restringido

29. Atacando infraestructuras bancarias Segundo Caso lo llamaremos Azul Pero adems un atacante puede adquirir una terminal desde un punto de atencin al cliente mediante la Ayuda de Windows y por si no le gusta

30. Atacando infraestructuras bancarias Segundo Caso lo llamaremos Azul Puede Cambiar el color de la terminal para estar mas cmodo .

31. Atacando infraestructuras bancarias Segundo Caso lo llamaremos Azul O pasearse por la red una vez infectado desde cualquier punto de atencin al cliente Y infectar otros terminales de trabajo, o efectuar ataques desde dentro de la red el cual facilita la infeccin

32. Atacando infraestructuras bancarias Tercer Caso lo llamaremos enlaciudad Puntos de atencin al cliente con sistemas operativos sin soporte. Facil acceso a la red en cuestin de segundos

33. Atacando infraestructuras bancarias Tercer Caso lo llamaremos enlaciudad

34. Atacando infraestructuras bancarias Tercer Caso lo llamaremos enlaciudad

35. Atacando infraestructuras bancarias Cuarto Caso lo llamaremos Rojo

38. Atacando infraestructuras bancarias Cuarto Caso lo llamaremos Rojo Y para finalizar obviamente intentar infectarlo desde la nube hacia la red local mediante le aplicativo para nuestras demos.

39. Atacando infraestructuras bancarias Cambiemos la seguridad de comunicarnos con los clientes, mejoremos el QrCode un mdulo til para almacenar informacin en una matriz de puntos o un cdigo de barras bidimensional PREMIO PARA QUIEN ADIVINE EL RESULADO DEL QR

40. Atacando infraestructuras bancarias QrCode Bootnet http://goqr.me/

41. Atacando infraestructuras bancarias En algunos casos un atacante malicioso que este cansado detener que infectar al banco, y desee que el banco infecte a sus clientes por el puede usar los vectores QrCode

42. Atacando las redes Wifi Mltiples tipos de ataques auto configurables para poner a prueba la seguridad de las redes Wireless.

43. Atacando las redes Wifi

44. Ataques client side En esta seccin demostraremos ataques reales que afectan a las entidades especialmente a los usuarios, puesto que los ataques client-side se enfocan en atacar y engaar a los usuarios para explotar los sistemas informticos con poca intervencin del usuario.

45. Ataques Credential Stealing Este ataque deriva de una fase de ingeniera social, que permita al atacante poder robar las identidades digitales o usuarios y contraseas a accesos a portales , correos entre otros accesos que generalmente se almacena por defecto en los navegadores de los trabajadores de las entidades o de sus celulares

46. Phishing Ataque de clonacin no autorizada de portales financieros esencialmente, con el objetivo de obtener informacin financiera de forma fraudulenta de las vctimas. Este ataque se basa en dos tcnicas de ataque: Suplantacin de identidad Spam

47. Pharming Ataque que explota una vulnerabilidad en los servidores DNS (Domain Name System), o en el de los equipos de los propios usuarios, que permite a un atacante re direccionar un Nombre de Dominio a otra mquina distinta. Ejem. Vulnerabilidad Dan Kaminsky

48. Malware bancario Generalmente los bancos son atacados por exploits kits avanzados especialmente diseados por bandas criminales para comprometer entidades bancarias, y infectar sus equipos. Los propsitos por los cuales pueden ser objetivo de estos ataques son los siguientes: 1.- Control remoto de las PC, software y Servidores. 2.- Generar un beneficio econmico. Los precios de un Exploit Kit en el mercado negro puede rondar entre los 3,000 USD a los 15,000 USD dependiendo de la eficiencia.

49. Malware bancario

52. Atacando ATMs de bancos cajero automtico

53. Atacando ATMs de bancos Es una realidad que cada vez mas se estn incrementando los ataque cibernticos mediante Malware a los ATMs http://www.foxbusiness.com/personal-finance/2014/04/02/financial-council-warns-banks-on- cyber-attacks/

54. Atacando ATMs de bancos Caso 3 letras

55. Atacando ATMs de bancos Caso Mas de 3 Letras Sistemas operativos sin soporte, en produccin. Bajo nivel de seguridad en cuanto a protecciones de binarios. Mltiples vulnerabilidades Remotas. Etc.. LAMMER

56. Atacando ATMs de bancos Caso Mas de 3 Letras Sistemas operativos sin soporte, en produccin. Bajo nivel de seguridad en cuanto a protecciones de binarios. Mltiples vulnerabilidades Remotas. Etc..

57. Atacando ATMs de bancos Caso Mas de 3 Letras Nuevos sistemas operativos Windows 7 Vienen por defecto con demasiadas funciones, de fabrica y as se agreguen protecciones se puede seguir ejecutando cdigo

58. Atacando ATMs de bancos Nuevos sistemas operativos Windows 7 El problema futuro de los Cajero Automtico residir en la cantidad de funciones que deben hacer y cada vez con sistemas operativos no preparados para desarrollar las funciones de un Cajero Automtico Cada ves es mas comn encontrar ataques cibernticos contra los cajeros automticos para extraer un beneficio econmico

59. Futuros ataques informticos a los Bancos En esta seccin analizamos cuales son lo prximos ciber ataques que se efectuaran contra las infraestructuras de IT y afectaran a las instituciones bancarias 1.- Malware - APT 3.- Espectro de comunicaciones 2.- Cajeros Automaticos TOP 4 Categoras 4.- El Usuario

60. Futuros ataques informticos a los Bancos Efectuando un anlisis del mercado de la seguridad de la informacin, los productos contra ataques de malware se duplicaran en los prximos aos y lo desarrolladores de malware cada vez desarrollaran mas malware que bypass-e esos controles de seguridad La proliferacin del malware crecer, pero los sistemas de proteccin se mantendrn unos pasos por atrs, el cual requerir derivar mas trabajo al rea de IT y desarrollar acercamientos de deteccin

61. Futuros ataques informticos a los Bancos Los cajeros automticos sern objetivo de mas ataques cuando las libreras para infectar ATMs por tarjetas de Chip, o infeccin mediante audio o otros prolifere , haciendo mas simple la infeccin de Cajeros automticos Cajeros automticos: 1.- Infeccin mediante Tarjeta de crdito public void process(APDU apdu) { // Good practice: Return 9000 on SELECT if (selectingApplet()) { return; } byte[] buf = apdu.getBuffer(); switch (buf[ISO7816.OFFSET_INS]) { case (byte) 0x00: break; default: // good practice: If you don't know the INStruction, say so: ISOException.throwIt(ISO7816.SW_INS_NOT_SUPPORTED); } } 1.1.- Java Card 1.2.- Linux

62. Futuros ataques informticos a los Bancos Los cajeros automticos sern objetivo de mas ataques cuando las libreras para infectar ATMs por tarjetas de Chip, o infeccin mediante audio o otros prolifere , haciendo mas simple la infeccin de Cajeros automticos Cajeros automticos: 2.- Infecciones Remotas

63. Futuros ataques informticos a los Bancos Los cajeros automticos sern objetivo de mas ataques cuando las libreras para infectar ATMs por tarjetas de Chip, o infeccin mediante audio o otros prolifere , haciendo mas simple la infeccin de Cajeros automticos Cajeros automticos: 3.- Infecciones Mediante Dispositivos Perimetrales

64. Futuros ataques informticos a los Bancos Los cajeros automticos sern objetivo de mas ataques cuando las libreras para infectar ATMs por tarjetas de Chip, o infeccin mediante audio o otros prolifere , haciendo mas simple la infeccin de Cajeros automticos Cajeros automticos: 1.- Infeccin mediante Tarjeta de crdito 2.- Infecciones Remotas 3.- Infecciones Mediante Dispositivos Perimetrales Sub- TOP 3

65. Futuros ataques informticos a los Bancos En los prximos ao se agregara un nuevo vector el cual afecta a los espectros de las telecomunicaciones y a la privacidad de las comunicaciones entre las personas en cuanto estos ataques sean desarrollados de forma mas simple Cajeros automticos: 1.- Infecciones de dispositivos mobiles mediante espectro de comunicaciones GSM 4G/LTE 2.- Client site attacks a smartphones

66. Futuros ataques informticos a los Bancos El usuario Seguir siendo una de las vulnerabilidades que afectara a las instituciones. La sobre confianza La falta de capacitacin La facilidad de caer en engaos por los atacantes Capa 8 siempre ser Capa 8 'Two things are infinite: the universe and human stupidity; and I'm not sure about the universe. Albert Einstein

67. El rol de la Ing. Social en el cibercrmen bancario

68. XXXXXXXXXXXXXXXXXX Soluciones Profesionales: Pruebas de Intrusin de Seguridad Auditora y Certificacin de Cajeros ATMs Auditora de aplicaciones web financieras Auditora de Seguridad perimetral Auditora de redes Wireless y Telcos Soluciones de correlacin de Logs para ATMs Soluciones de correlacin de Logs para Servidores Soluciones Seguras de Datos Masivos Investigacin y Desarrollo de soluciones a medida Capacitaciones y Certificaciones

69. MUCHAS GRACIAS Alvaro Andrade & [email protected] @aandradex

Banking security threats_abp_2014

Internet

Transcript of Banking security threats_abp_2014