FASTCash: una nuova variante colpisce i sistemi Linux per prelevare denaro dagli sportelli

FASTCash, un malware attribuito a gruppi nord-coreani, è tornato a colpire con una nuova variante specifica per i sistemi Linux. Il malware viene installato negli switch di pagamento all’interno di reti compromesse per consentire agli attaccanti di prelevare denaro contante senza autorizzazione dagli sportelli bancomat.

Questo malware è stato individuato per la prima volta nel 2019 e colpiva esclusivamente i sistemi IBM AIX e Windows; la variante Linux è stata scoperta dal ricercatore di sicurezza haxrob a giugno 2023 ma è stata resa nota al pubblico solo ora. Secondo il ricercatori, sia la variante Linux che Windows colpiscono la stessa infrastruttura di pagamento o comunque infrastrutture simili nello stesso Paese.

“La variante Linux ha funzionalità leggermente ridotte rispetto al suo predecessore Windows, anche se mantiene comunque una funzionalità chiave: intercettare i messaggi di transazioni rifiutate (a strisciata magnetica) per un elenco predefinito di numeri di conto dei titolari di carte e quindi autorizzare la transazione con un importo casuale di fondi nella valuta della Lira turca” ha spiegato il ricercato.

FASTCash è implementato in forma di una libreria condivisa che viene iniettata in un processo in esecuzione sullo switch Linux di pagamento, cioè l’intermediario tra lo sportello e il sistema centrale della banca. L’obiettivo è intercettare i pacchetti originati dalle transazioni, in particolare quelli che comunicano il rifiuto del pagamento a causa di fondi insufficienti, e sostituirli con un messaggio di approvazione.

A questo punto, dopo aver inserito nel messaggio di approvazione anche la somma di denaro da prelevare (generalmente tra le 12.000 e le 30.000 Lire turche), gli attaccanti prelevano il denaro con successo dallo sportello.

Haxrob ha sottolineato che, al momento della scoperta della variante, non c’erano avvisi del malware su VirusTotal. “La scoperta della variante Linux sottolinea ulteriormente la necessità di adeguate capacità di rilevamento che spesso mancano negli ambienti server Linux“.

La CISA ha fornito contestualmente delle indicazioni per prevenire questi attacchi, le quali comprendono l’implementazione di requisiti di chip e PIN per le carte di debito, la verifica dei codici di autenticazione dei possessori di carte e l’uso del crittogramma per validare la risposta di autorizzazione dell’operazione.