Aunque Prilex sea un malware que ya lleva entre nosotros desde el año 2015, es ahora cuando más incidencia está teniendo, según ha descubierto Kaspersky, empresa de referencia en ciberseguridad en el mundo.

Prilex fue descubierto por primera vez en Brasil y posteriormente se ha ido extendiendo a otros países de América Latina y Europa con nuevas variantes.

¿Cómo afecta el malware Prilex?

El malware Prilex se infiltra en los sistemas de los cajeros automáticos mediante técnicas de ingeniería social y explotación de vulnerabilidades en el software o hardware. Una vez instalado en el sistema, Prilex es capaz de interceptar y recopilar información de las tarjetas de crédito y débito que se utilizan en la máquina, como el número de la tarjeta, la fecha de vencimiento, el código de seguridad y la información personal del titular de la tarjeta.

Además de la información de las tarjetas de crédito y débito, Prilex también puede recopilar datos de los sistemas operativos y de los programas instalados en los dispositivos infectados, lo que permite a los atacantes obtener acceso a información confidencial adicional. Una vez que los datos de las tarjetas de crédito y débito son recopilados, los atacantes pueden utilizarlos para realizar transacciones fraudulentas o venderlos en el mercado negro.

Este tipo de ataques han sido identificados por los expertos de Kaspersky como ataques Ghost para acceder a la información de las tarjetas de crédito, pero la empresa de seguridad digital asegura que el impacto de Prilex ha ido más allá y ahora también se ha extendido a las operaciones de pago sin contacto, muy habituales en el mundo por el gran número de dispositivos que incorporan la tecnología NFC y por la comodidad que supone esta modalidad de pagos.

Prilex y el pago contactless

Tras un incidente causado por Prilex, los especialistas observaron que el malware había realizado tres modificaciones en los sistemas para capturar datos en las tarjetas de crédito con tecnología contactless. Hay que tener en cuenta que el pago sin contacto ha crecido notablemente en los últimos años a consecuencia de la pandemia y la preferencia de los consumidores.

Tarjetas o dispositivos como relojes y teléfonos inteligentes tienen la tecnología NFC de serie y, además, las operaciones están respaldadas por aplicaciones como Samsung Pay, Apple Pay, Google Play, Fitbit Pay y aplicaciones. En la otra parte, la gran mayoría de los comercios en el mundo disponen de terminales de punto de venta en los que se puede pagar por esta vía por cualquier de los dispositivos anteriores.

Lo que hace Prilex en estas fuentes obliga a la víctima a usar la tarjeta insertándola en el TPV para capturar los datos de la transacción. Una de las características encontradas en las últimas muestras de Prilex es la posibilidad de diferenciar el tipo de tarjeta. Por ejemplo, pueden bloquear operaciones NFC y capturar datos únicamente de tarjetas sin límite de gasto o corporativas, más atractivas para los ciberdelincuentes que las tradicionales.

“Los pagos contactless son parte de nuestra vida. Las estadísticas muestran que el sector del retail es muy proclive a este tipo de operaciones, con más del 59% del montante de las mismas en 2021. Son transacciones muy seguras, por lo que los ciberdelincuentes crean malware para que se bloqueen los sistemas NFC”, asegura Sabio Assolini, responsable del Equipo de Investigación y Análisis Global de Kaspersky en Latinoamérica (GReAT).

El momento que nos puede hacer dudar

Hay un indicativo de Prilex que nos puede hacer dudar y es el síntoma del que nos avisa Kaspersky. Cuando estemos pagando algo con nuestra tarjeta por vía contactless, Prilex puede interrumpir el proceso y un mensaje en el TPV del comercio no dirá que ha habido un error en la lectura de la tarjeta y que la insertemos físicamente al terminal para poder procesar la operación. “Los datos de transacción de los pagos contactless no son útiles para los ciberdelincuentes, por eso Prilex empuja a las víctimas a insertar la tarjeta en el TPV infectado”, explica Assolini.

Es ahí, cuando introducimos la tarjeta, cuando Prilex captura los datos de la transacción. Una de las características encontradas en las últimas muestras de Prilex es la posibilidad de diferenciar el tipo de tarjeta. Por ejemplo, pueden bloquear operaciones NFC y capturar datos únicamente de tarjetas sin límite de gasto o corporativas, más atractivas para los ciberdelincuentes que las tradicionales.

¿Qué se puede hacer para protegerse de Prilex?

Los métodos de protección no están en nuestras manos, sino más bien en la de los negocios, puesto que son ellos los que tienen que implementar medidas en sus terminales o puestos de punto de venta. Según Kaspersky, esto es lo que pueden hacer las tiendas:

• Utilizar una solución de seguridad multicapa para tener el mejor nivel de protección en diferentes dispositivos y escenarios.
• Implementar Kaspersky SDK en los módulos TPV para prevenir la manipulación en las transacciones.
• Asegurar los equipos antiguos con una protección actualizada para que puedan trabajar con versiones antiguas de Windows. Esto permite tener soporte en cualquier momento y actualizar los equipos cuando sea necesario.
• Instalar una solución de seguridad como Kaspersky Embedded Systems Security para proteger los dispositivos de diferentes tipos de ataque. El software puede defender también equipos con especificaciones de sistema débiles mediante el bloqueo automático de aplicaciones.
• Para las entidades financieras que sufren este fraude, Kaspersky recomienda usar Threat Attribution Engine, que permite detectar Prilex, así como una gran variedad de malware.

Los robos de Prilex

Como se decía, Primex lleva presente en América Latina desde hace muchos años, incluso mucho antes del inicio de la pandemia y el boom de los pagos contactless. Por ello, se cree que este malware es responsables de robos importantes en la región. Según aporta Kasperesky, durante el carnaval de Río de Janeiro en 2016, pudo clonar más de 28.000 tarjetas de crédito y vaciar 1.000 cajeros automáticos de bancos brasileños.

Tras su expansión a otros países, en 2019 se detectó en Alemania, cuando una banda cibercriminal clonó tarjetas de débito de Mastercard emitidas por la entidad financiera OLB, retirando más de 1,5 millones de euros de cuentas de unos 2.000 clientes.