Banco de Estado de Chile informa que "debido a la acción de terceros a través de un software malicioso, nuestras sucursales no estarán operativas y permanecerán cerradas hoy". El Equipo de Respuesta ante Incidentes deSeguridad Informática, CSIRTGOB, realizó un análisis a partir de múltiples fuentes del Ransomware Sodinokibi (también conocido como REvil), uno de los “vectores de ataques” que está circulando a nivel nacional en Chile. No descartando que este software pueda estar involucrado en el ataque dirigido al Banco. Se calcula que hay más de 14.000 equipos comprometidos. La vulneración que sufrió BancoEstado a nivel de ciberseguridad es sin precedentes: el Ministerio del Interior ya maneja antecedentes bajo reserva.

• Banco Estado fue atacado por un malware que obligó a cerrar las sucursales
• Este lunes 7 de septiembre no abrirán las sucursales.

Por su parte, el BancoEstado indicó en su comunicado que “no ha existido afectación alguna a los fondos” de los clientes ni al patrimonio de la institución financiera


El Equipo de Respuesta ante Incidentes de Seguridad Informática, Subsecretaria del Interior, Gobierno de Chile . CSIRT mantiene el Nivel Alto de seguridad que se activó durante este fin de semana, lo que implica que existe una amenaza que, de llegar a afectar al Estado, podría tener un impacto significativo. En consecuencia, se advierte a toda la comunidad y entidades asociadas, que CSIRT activará controles de reforzamiento remoto para monitorear y evaluar la situación.

#CSIRT comparte la siguiente información a partir del análisis de múltiples fuentes sobre uno de los vectores de ataque que están circulando en el ecosistema nacional. pic.twitter.com/QlPSXw7D1r

— CSIRT GOB CL (@CSIRTGOB) September 7, 2020

CSIRT sugiere implementar las siguientes recomendaciones a la brevedad posible:

• Aumentar el monitoreo de tráfico no usual,
• Mantener los equipos actualizados, tanto sistemas operativos como otros software instalados.
• No abrir documentos de fuentes desconocidas.
• Tener precaución en abrir documentos y seleccionar enlaces de correos electrónicos.
• Verificar y controlar los servicios de escritorio remoto (RDP).
• Bloqueo de script o servicios remotos no permitidos en la instrucción.
• Monitorear servicios SMB de forma horizontal en la red
• Mantener actualizados las protecciones perimetrales de las instituciones
• Aumentar los niveles de protección en los equipos que cumplan las funciones de AntiSpam, WebFilter y Antivirus.
• Verificar el funcionamiento, y si no es necesario, bloquear las herramientas como PsExec y Powershell.
• Mantener especial atención sobre el tráfico sospechoso que tengan conexiones a los puertos 135TCP/UDP y 445TCP/UDP
• Verificar periódicamente los indicadores de compromisos entregados por CSIRT en los informes 2CMV20.
• Segmentar las redes en base a las necesidades de sus activos, permitiendo solamente los puertos necesarios.

Información de Prensa pic.twitter.com/gupHjabSgX

— BancoEstado (@BancoEstado) September 6, 2020

Durante este fin de semana, BancoEstado detectó en sus sistemas operativos un software malicioso. Apenas fue descubierto este problema, nuestros equipos de operaciones y de ciberseguridad se desplegaron para localizar, contener y solucionar esta situación.

Si bien algunas de nuestras plataformas podrían presentar algún tipo de interferencia, hasta el momento nuestros sistemas de cara a clientes (cajeros automáticos, CajaVecina, el sitio web personas y la App) no han sido afectados y se encuentran funcionando.

Información importante sobre nuestra red de atención pic.twitter.com/CfFeb9tCzK

— BancoEstado (@BancoEstado) September 7, 2020

Queremos informar que debido a la acción de terceros a través de un software malicioso, nuestras sucursales no estarán operativas y permanecerán cerradas hoy. Estamos haciendo todos los esfuerzos para poner en funcionamiento algunas sucursales durante la jornada. En nuestros canales oficiales estaremos informando cualquier novedad.

Hemos hecho las denuncias correspondientes y llamamos a todo a quien tenga información a hacer las denuncias.

Reiteramos nuestro llamado a utilizar  nuestros canales remotos o digitales, tales como CajaVecina, Cajeros Automáticos, App y la página web.

Estamos haciendo todos nuestros esfuerzos para contener y revertir esta acción maliciosa de personas que buscan afectar la acción cotidiana de millones de chilenos que utilizan diariamente BancoEstado. Seguimos trabajando para restablecer en su totalidad los sistemas operativos afectados.


Es importante    reafirmar    que    no    ha existido    afectación alguna    a    los    fondos    de    nuestros    clientes    o    al patrimonio de BancoEstado.

Lamentamos los inconvenientes que está situación pudiese causar e invitamos a nuestros clientes a utilizar los canales digitales.

Durante todo el fin de semana han aparecido errores al intentar realizar operaciones Banca en línea, como transferencias, compras o pagos por internet . Errores del tipo: ''Transferencia Fallida''. También para empresas.bancoestado.cl después de ingresar el Rut


La App tampoco funciona:


Sodinokibi, es un programa distribuido con un modelo de negocio Ransomware-as-a-Service, detectado por primera vez en una campaña en el 2019. El malware intenta obtener privilegios explotando algunas vulnerabilidades, después de esta etapa el malware recopila datos básicos del sistema y del usuario, para luego generar el cifrado de datos.

Algunos métodos de propagación son a través de campañas de phishing que contengan archivos adjuntos maliciosos, tratando de engañar a los usuarios para que abran los archivos adjuntos. Estos archivos suelen ser documentos Microsoft Office, archivos como ZIP, RAR, JavaScript, ficheros PDF, ejecutables (.exe), entre otros. Una vez abiertos, descargan otros tipos de malware tipo troyano para propagarse por la red atacada y generar infecciones en cadena.

• Banco de Chile sufrió un robo por 10 millones de dólares tras ataque informático en Mayo de 2018

No es la primera que ocurre un grave ataque informático en bancos de Chile- En junio de 2018, ciberdelincuentes informáticos vinculados a Corea del Norte atacaron otro banco en Chile, el Banco de Chile infectando su sistema con un malware como KillDisk (KillMBR)


“Encontramos algunas transacciones extrañas en el sistema SWIFT (donde los bancos a nivel internacional remesan sus transacciones a distintos países). Ahí nos dimos cuenta de que el virus no era necesariamente el tema de fondo, sino que al parece querían defraudar al banco”

Los piratas informáticos han utilizado un malware de limpieza de discos para sabotear cientos de computadoras en un banco en Chile para distraer al personal mientras intentaban robar dinero a través del sistema de transferencia de dinero SWIFT del banco.


Inicialmente, el banco se negó a calificarlo de incidente de seguridad, pero en un anuncio posterior el 28 de mayo, el Banco de Chile admitió haber sido afectado por "un virus".

Sin embargo, ese virus no era un malware cualquiera. Según las imágenes publicadas en línea por los empleados del banco, el malware bloqueó las PC infectadas, dejándolas en un estado no arrancable, lo que sugiere que estaba afectando los registros de arranque maestro (MBR) de los discos duros a la NotPetya.

Según una captura de pantalla de conversaciones privadas de mensajería instantánea publicadas en un foro chileno, el supuesto "virus" se propagó en más de 9.000 computadoras y más de 500 servidores.

Según una alerta de seguridad enviada por otra empresa de TI tras el hackeo del Banco de Chile, el virus fue identificado con varios nombres, incluido KillMBR, un término utilizado anteriormente por los expertos de Trend Micro para el limpiador de disco KillDisk y el ransomware falso.

El malware KillDisk es una amenaza bien conocida que se ha utilizado en el pasado en ataques dirigidos a bancos e instituciones financieras. Su principal funcionalidad es borrar el disco —después de destruir los datos forenses— y luego hacerse pasar por una infección de ransomware mostrando una nota de rescate en la pantalla del usuario.

Esta nueva variante de KillDisk no se molestó en mostrar una nota de rescate y simplemente borró los MBR de la computadora, dejándolos en un estado no arrancable, similar a la imagen compartida en línea que muestra las computadoras del Banco de Chile.

"Nuestro análisis indica que el ataque fue utilizado sólo como una distracción", dijo Trend Micro sobre el incidente reciente (probablemente Banco de Chile). "El objetivo final era acceder a los sistemas conectados a la red SWIFT local del banco".




Fuentes:
https://www.trendtic.cl/2020/09/banco-estado-ransomware-sodinokibi-seria-el-responsable-del-cierre-de-sucursales-y-csirt-del-gobierno-mantiene-alerta-cibernetica-alta/