Troyanos bancarios y la sesión vigilada

Un ladrón de credenciales llega, recolecta lo que hay guardado y se va. Un troyano bancario se queda y trabaja durante la sesión. Lleva una lista de entidades; observa en qué ventana está el usuario; cuando reconoce una de la lista, actúa sobre esa sesión: muestra un formulario propio encima de la ventana real o toca lo que el cliente ve y envía. Roba la sesión mientras el cliente la usa, y por eso a veces el banco no ve nada raro en la clave: el cliente la tecleó él mismo.

Desde la defensa esto cambia dónde se mira. El informe del programa dice a quién apunta (la lista) y cómo actúa (la sesión observada); el banco ve qué pasó en las cuentas: dispositivos, beneficiarios e importes.

La lista de objetivos es el primer dato útil para un banco: dice si sus clientes, o los de bancos vecinos, están en la mira. Cada fila trae la entidad, su país, su dominio y la cadena del título de ventana que el programa reconoce. Una familia suele apuntar a varios países a la vez, y por eso el equipo de fraude lee la lista por país antes de decidir a quién avisar.

Abre informe/objetivos.csv y cuenta las entidades del país en que opera Banco Pitirre.

En la sesión de prueba el informe anota cada cambio de ventana y marca el momento en que el programa reconoce una de la lista. Para saber de qué entidad se trata hay que cruzar la cadena de ventana que quedó marcada con la columna cadena_de_ventana de los objetivos. El detalle importa: la entidad vigilada en esa sesión no es siempre la propia, y no por eso deja de ser un dato útil para la red de alertas entre bancos.

Lee informe/sesion-observada.csv y cruza con informe/objetivos.csv.

Del lado del banco, el troyano no deja una firma en la clave. Lo que deja es una combinación de señales en la transferencia: un dispositivo que la cuenta nunca usó y un beneficiario que nunca había recibido dinero de ese cliente. Cada señal sola es común y no prueba nada; las dos juntas son lo que la política del banco manda retener.

Abre banco/politica-de-senales.txt y revisa banco/transferencias.csv. Hay filas con una sola señal, que se siguen sin detener, y una que cumple las dos.

La política también dice cómo se trata al cliente, y es parte de la respuesta. Detrás de la operación hay una persona cuyo equipo probablemente está comprometido, y el canal más seguro para hablarle no es el que el programa podría estar vigilando. Se retiene la operación, se llama al cliente por el teléfono que el banco ya tenía, y se le dice cómo revisar su equipo; el banco no le pide que limpie ni reinstale nada por su cuenta.