Protege lo que importa
Protege endpoints, correo electrónico y empleados con el poder de nuestro SOC 24/7. Prueba Huntress gratis y despliega en minutos para empezar a combatir las amenazas.
¿Qué es el malware Carbanak?
Carbanak es una sofisticada puerta trasera de acceso remoto y un troyano bancario diseñado principalmente para el robo financiero a escala empresarial. Basado inicialmente en el código fuente del malware Carberp, fue creado específicamente para infiltrarse en instituciones financieras, llevar a cabo reconocimiento prolongado y ejecutar transacciones fraudulentas a gran escala, incluida la manipulación directa de redes de cajeros automáticos y del sistema internacional de transferencia de fondos SWIFT. Documentado públicamente por primera vez en 2015 por Kaspersky Lab, el malware Carbanak ha sido utilizado por al menos dos grupos de amenazas distintos: el Grupo Carbanak (también registrado como Anunak) y FIN7, aunque se trata de organizaciones separadas que comparten la misma herramienta, no de un solo grupo. Sus largos tiempos de permanencia, su paciencia operativa y su profundo conocimiento del software financiero lo convierten en una de las familias de malware bancario más importantes jamás documentadas.
¿Cuándo se descubrió Carbanak por primera vez?
El malware Carbanak se dio a conocer públicamente por primera vez en febrero de 2015, cuando investigadores de Kaspersky Lab publicaron un informe histórico titulado "The Great Bank Robbery." Las pérdidas financieras de las campañas superaron los $1 mil millones en más de 100 instituciones financieras de más de 30 países, lo que la convirtió en una de las mayores operaciones de cibercrimen expuestas públicamente hasta ese momento.
¿Quién creó Carbanak?
El malware Carbanak ha sido usado por al menos dos grupos de amenazas distintos, y es importante no confundirlos:
- Carbanak Group (G0008): también identificado como Anunak y asociado con el alias Carbon Spider, es el grupo responsable principalmente de los robos bancarios a gran escala documentados en el informe de Kaspersky de 2015. Este grupo atacó directamente a instituciones financieras, manipulando la infraestructura bancaria para robar fondos mediante cajeros automáticos y transferencias SWIFT. En marzo de 2018, Europol anunció el arresto de un presunto cerebro clave del grupo Carbanak/Cobalt Group en Alicante, España, aunque las operaciones continuaron después del arresto.
- FIN7 (G0046): también identificado como Carbanak Group por algunos proveedores, Sangria Tempest por Microsoft, y que antes operaba una empresa fachada llamada Combi Security, es un grupo distinto con motivación financiera que también usó la puerta trasera Carbanak, pero que atacó principalmente entornos de vemta minorista, restaurantes, hospitalidad y puntos de venta, no bancos directamente. En agosto de 2018, el Departamento de Justicia de EE. UU. desselló acusaciones formales y anunció el arresto de tres miembros de alto rango de FIN7.
La superposición en las herramientas generó una confusión generalizada en la industria. Como señaló Mandiant, la puerta trasera Carbanak ha sido usada por varios grupos; atribuir toda la actividad de Carbanak a un solo actor es incorrecto.
¿A qué apunta Carbanak?
El Grupo Carbanak atacó específicamente a instituciones financieras (bancos, redes de cajeros automáticos, servicios de procesamiento de dinero y cuentas financieras) en más de 30 países, incluidos Rusia, Ucrania, Estados Unidos, Alemania, China y Polonia. El uso de la misma herramienta Carbanak por parte de FIN7 extendió los ataques a entornos de retail, restaurantes, hotelería y puntos de venta en Estados Unidos. En conjunto, las víctimas han abarcado cientos de organizaciones en todo el mundo.
Método de distribución de Carbanak
Carbanak se distribuye mediante correos de spear-phishing con archivos adjuntos maliciosos, a menudo disfrazados de documentos legítimos. Estos correos buscan engañar a los empleados para que abran payloads que explotan vulnerabilidades, lo que les da a los atacantes acceso a la red de la organización.
Análisis técnico del malware Carbanak
Carbanak opera a través de varias etapas. Comienza con el envío de un correo de phishing, seguido de la instalación de una herramienta de acceso remoto (RAT) para mantener persistencia. Una vez dentro, permite el movimiento lateral a través de la red, apuntando a sistemas financieros críticos. Carbanak emplea tácticas sofisticadas para ejecutar transacciones fraudulentas, incluyendo el ingreso de comandos remotos a cajeros automáticos para retiros de efectivo.
El ciclo de vida del ataque sigue varias etapas distintas:
- Acceso inicial mediante spear-phishing con archivos adjuntos maliciosos de Office o .cpl
- Persistencia y reconocimiento — Carbanak se instala y comienza a grabar video de las pantallas de las víctimas y a registrar pulsaciones de teclado, enviando ambos datos a servidores C2 para dar a los atacantes una comprensión de cómo se opera el software bancario interno
- Movimiento lateral — usando credenciales robadas y herramientas como el Ammyy Remote Administration Tool, los atacantes se desplazan por la red del banco para alcanzar sistemas financieros críticos
- Ejecución del fraude financiero mediante tres métodos principales:
- Jackpotting de cajeros automáticos — comandos remotos ordenan a los cajeros automáticos dispensar efectivo en horarios preestablecidos, con mulas de dinero esperando para recogerlo
- Manipulación de SWIFT — transferencias bancarias internacionales fraudulentas a través de la red SWIFT hacia cuentas controladas por los atacantes
- Inflación del saldo de cuenta — modificaciones en bases de datos Oracle para inflar saldos de cuenta, que luego se transfieren antes de que se detecte la manipulación
Todo el periodo de permanencia, desde la infección inicial hasta el retiro de efectivo, abarcaba típicamente de dos a cuatro meses, con los atacantes estudiando las operaciones de la víctima antes de ejecutar cualquier transacción fraudulenta.
Tácticas, técnicas y procedimientos (TTPs)
Según MITRE ATT&CK (Grupo G0008) y la evaluación Kaspersky/MITRE Carbanak+FIN7:
- T1566.001 – Spearphishing Attachment (archivos .doc y .cpl maliciosos para acceso inicial)
- T1059.003 – Command and Scripting Interpreter: Windows Command Shell
- T1053.005 – Scheduled Task/Job: Scheduled Task (persistencia)
- T1078 – Valid Accounts (uso de credenciales robadas para movimiento lateral)
- T1056.001 – Input Capture: Keylogging (recolección de credenciales e inteligencia operativa)
- T1113 – Screen Capture (grabación de video de las pantallas de las víctimas para aprender los flujos de trabajo bancarios)
- T1021 – Remote Services (Ammyy RAT y SSH para movimiento lateral)
- T1041 – Exfiltration Over C2 Channel (datos de video y pulsaciones de teclas enviados al C2)
- T1485 / Abuso de sistemas financieros — manipulación directa de sistemas de dispensación de cajeros automáticos, transferencias SWIFT y bases de datos bancarias de Oracle (ninguna técnica estándar de ATT&CK captura esto por completo; es una característica distintiva del enfoque operativo del Carbanak Group)
Indicadores de compromiso (IoC)
El conjunto completo y autorizado de IoC se publicó en el informe original de Kaspersky sobre el APT Carbanak (febrero de 2015) y en informes posteriores de Group-IB/Fox-IT sobre Anunak. Las organizaciones deben consultar estas fuentes primarias para obtener indicadores validados:
Indicadores conductuales y de artefactos para monitorear:
- Presencia de la Ammyy Remote Administration Tool en sistemas donde no fue implementada explícitamente
- Transmisiones de video salientes o grandes flujos de datos hacia direcciones de C2 desconocidas desde estaciones de trabajo financieras
- Consultas de base de datos inusuales que modifican saldos de cuentas en sistemas bancarios Oracle
- Software de gestión de cajeros automáticos al que se accede desde endpoints o cuentas inesperados
- Tareas programadas creadas con nombres aleatorios u ofuscados en estaciones de trabajo de empleados bancarios
¿Cómo saber si estás infectado con Carbanak?
Los sistemas comprometidos por Carbanak pueden mostrar actividad de red inusual, instalaciones de software inesperadas o transacciones financieras no autorizadas. La actividad inexplicable de captura de video, las grandes transferencias de datos salientes desde estaciones de trabajo financieras y las tareas programadas desconocidas también son señales de advertencia. Para las instituciones financieras en particular, los comandos anómalos de dispensación de cajeros automáticos, el inicio inesperado de transacciones SWIFT o la actividad inusual en bases de datos Oracle relacionada con saldos de cuenta son indicadores muy específicos de que podría estar en curso una actividad al estilo Carbanak.
Instrucciones para eliminar Carbanak
Eliminar Carbanak requiere un enfoque integral, dado su largo tiempo de permanencia y su movimiento lateral profundo. Comienza aislando los sistemas afectados para evitar más compromisos. Usa herramientas de Detección y respuesta para endpoints (EDR) proporcionadas por Huntress para identificar y neutralizar el malware. Los pasos críticos incluyen aplicar parches a las vulnerabilidades, revocar credenciales robadas y reconstruir los sistemas infectados. Asume que los atacantes han tenido acceso prolongado y han mapeado todo el entorno bancario interno.
¿Carbanak sigue activo?
Las operaciones del grupo original de Carbanak se vieron significativamente interrumpidas tras el arresto de Europol en marzo de 2018 en España, aunque la actividad continuó después. FIN7, que también usó el backdoor de Carbanak, siguió operando activamente mucho después de esos arrestos; después de 2020, FIN7 se orientó hacia operaciones de ransomware de big game hunting, incluido el uso de REvil y, más tarde, del ransomware DarkSide. El código fuente del backdoor de Carbanak se encontró en VirusTotal, lo que significa que las variantes siguen disponibles para otros actores de amenazas. Si bien las campañas originales de robos bancarios a gran escala de 2013 a 2018 no están activas con la misma magnitud, las técnicas y herramientas siguen siendo relevantes, en particular para los defensores del sector financiero.
Estrategias de mitigación y prevención
Protégete contra Carbanak implementando una autenticación multifactor (MFA) sólida, aplicando parches a las vulnerabilidades con regularidad y educando a los empleados sobre las tácticas de phishing. Utiliza servicios de monitoreo de red 24/7 como Huntress para detectar amenazas avanzadas y mitigar riesgos. Además, asegúrate de que tu organización use herramientas de protección de endpoints para reducir las vulnerabilidades.
Artículos educativos y videos relacionados
Preguntas frecuentes sobre el malware Carbanak
Carbanak es un backdoor de acceso remoto y troyano bancario que usan los cibercriminales para robar fondos de instituciones financieras. Se infiltra en las redes bancarias mediante spear-phishing, realiza un reconocimiento de meses grabando pantallas y registrando pulsaciones de teclado, y luego ejecuta transacciones fraudulentas a través de redes de cajeros automáticos, transferencias bancarias SWIFT y manipulación directa de bases de datos, sin explotar vulnerabilidades en esos sistemas, sino haciéndose pasar por operadores internos legítimos.
Carbanak normalmente se propaga a través de correos de spear-phishing que contienen archivos adjuntos o enlaces maliciosos. Una vez que el usuario interactúa con el payload, el malware explota vulnerabilidades para obtener acceso a la red y mantener la persistencia.
Las campañas originales a gran escala del grupo Carbanak se vieron significativamente interrumpidas por el arresto de Europol en 2018, y FIN7, que también usó Carbanak, desde entonces se ha orientado hacia operaciones de ransomware. Sin embargo, el código fuente de Carbanak está disponible públicamente, lo que significa que la herramienta o sus derivados pueden ser usados por otros actores. Las instituciones financieras deberían seguir tratando las técnicas al estilo Carbanak como un modelo de amenaza relevante.
Las organizaciones pueden protegerse contra Carbanak implementando MFA, realizando capacitación de empleados sobre amenazas de phishing, manteniendo herramientas de protección de endpoints, monitoreando instalaciones anómalas de herramientas de administración remota y actividad inusual en bases de datos, y manteniendo una gestión constante de vulnerabilidades con servicios como Huntress.
