Na velké množství e-mailových adres byl rozeslán phishing e-mail, který se tváří jako vyúčtování od společnosti 02.

Jako adresa odesílatele je uvedena oficiální e-mailová adresa společnosti 02. V e-mailu je pak přiložen archiv ve formátu ZIP, který obsahuje spustitelný EXE soubor, který se tváří jako PDF dokument (rozuměj, prezentuje se stejnou ikonou).

Byla detekována nová verze poměrně populárního bankovního trojana Citadel.

Ten kromě VNC modulu, jež umožňuje útočníkům počítač oběti ovládat na dálku, vytváří v systému vlastní účet a s neexpirujícím heslem a přidává ho do skupiny Administrators a Remote Desktop Users, čímž si zajišťuje přístup do napadeného počítače přes RDP i poté, co byl samotný bankovní malware včetně VNC odstraněn.

Existují různé varianty bankovního malwaru, některé se šíří jen v určité zemi, a jiné po celém světě.

V zásadě jsou však používány jen dva vektory útoku. Prvním a nejčastějším vektorem útoku je phishing, kdy útočník rozešle e-mail s nakaženou přílohou nebo odkazem a pak už jen čeká, až příjemce na přílohu nebo odkaz klikne a tím si zavede malware do svého počítače.

Společnost Trend Micro detekovala phishingovou kampaň, která cílí na uživatele internetového bankovnictví po celém světě, a nazvala ji Operation Emmental.

Tento název zvolila údajně proto, že internetové bankovnictví mnoha bank obsahuje díry, podobně jako ementál, kterými útočníci úspěšně procházejí. Trochu mi to však přijde jako snaha o senzaci, protože tyhle díry resp. slabiny se nenachází v samotném internetovém bankovnictví, nýbrž v operačním systému. Přesto bych se o této kampani rád zmínil, protože zde můžeme spatřit jisté inovativní prvky.

Hned v úvodu je třeba říci, že se jedná o poměrně sofistikovaný útok na klienty japonských bank, používající méně častý vektor útoku.

Současná verze využívá jedinou zranitelnost a to ve starší verzi JAVA, která již byla dávno opravena a Internet Explorer. Vektorem útoku je pak kompromitovaný pornoserver, na kterém se příslušný exploit nachází. K zavlečení malwaru pak dochází již pouhou návštěvou této stránky. Na první pohled by se mohlo zdát, že pravděpodobnost takového nakažení jest velice nízká, jenže opak je pravdou.

V tomto příspěvku se pokusím o stručné popsání toho, jak celý útok probíhá.

Útočník nejprve provede kopii webové prezentace nějaké organizace, za kterou se rozhodl, že se bude vydávat. Za tímto účelem si registruje doménu s podobným nebo úplně stejným názvem na jiné doméně prvního řádu, a na ní pak zkopírovaný obsah umísťuje. Následně na nejrůznějších sociálních sítích a inzertních serverech zakládá inzeráty s nabídkou práce a na tuto doménu odkazuje.

Rodina bankovního malwaru se nám poměrně rychle rozrůstá, v posledních týdnech se objevilo i několik zcela nových variant a mohli jsme zaznamenat i různé formy šíření.

Do budoucna musíme počítat s tím, že se bankovní malware může i u nás začít šířit v e-mailech, které budou obsahovat jako přílohy soubory, které nebudou v sandboxu vykazovat žádné podezřelé chování a v rámci dané phishingové kampaně nebudou mít stejné charakteristiky, takže nejrůznější řešení sloužící k ochraně před pokročilým malwarem nás neochrání.

Tato řešení by měla být schopna odhalit útok ještě dříve, než začne, jenže…

Pokud se zajímáte o crimeware a speciálně pak o bankovní malware, tak jste zcela jistě zaznamenali, že již nějakou dobu jsou na trhu poměrně sofistikovaná řešení, která by měla detekovat bankovní malware na zařízeních uživatelů a pokusy o realizaci podvodných transakcí.

Tento trojan je mnohem sofistikovanější než ZeuS, Citadel, Ice IX nebo GameOver Zeus, takže se máme na co těšit.

Momentálně je na černém trhu k mání za 1500 USD nebo 2000 USD včetně pluginů. Ano, Pandemiya disponuje modulární architekturou, což umožňuje snadné rozšiřování pomocí externích pluginů, rozuměj DLL knihoven, které se prodívají za 500 USD. V další verzi by se měl také objevit plugin pro RDP nebo Facebook.

Někteří bezpečnostní experti varují před obrovskou kybernetickou bouří, ke které by mohlo dojít v důsledku rozbití peer-to-peer botnetu Gameover ZeuS (GOZ) a dávají uživatelům internetu dva týdny.

Pokud se ptáte, proč zrovna dva týdny, tak vězte, že se jedná spíš jen o takový odhad, protože stejně tak to může trvat několik málo dní, týdnů nebo i měsíců, než se podsvětí zmátoří a začne zase masivně šířit nejrůznější malware, phishing a napadat ostatní weby.