Word dokumentumok veszélyeztetik a bankkártyákat
Sokat tanult a régimódi makróvírusoktól az a kártékony program, amely bank- és hitelkártya információkat igyekszik megkaparintani.Mivel manapság viszonylag keveset lehet hallani a Word dokumentumokban, illetve egyéb állományokban terjesztett makróvírusokról, ezért azt gondolhatnánk, hogy teljesen kihaltak. Azonban ez koránt sincs így, hiszen közbe-közbe felbukkan egy-egy példányuk, amikkel igencsak óvatosan kell bánni. Ezt kiválóan szemlélteti a FireEye legutóbbi felfedezése is, miszerint egy olyan kártékony program indult hódító útjára, amely bankkártyák elfogadására alkalmas POS-terminálokat veszélyeztet, és azokról próbál minél több bizalmas adatot kiszivárogtatni.
Vírusterjesztés Word dokumentummal
Az új, NitlovePoS névre keresztelt kártékony program elsősorban a terjedési mechanizmusában tér el az eddig leleplezett, POS-kompatibilis kártevőktől. Az újdonsült jövevény ugyanis egy makróvírus segítségével próbál felkerülni a számítógépekre.
Az első lépcsőben a felhasználó egy elektronikus levél mellékleteként kap egy Word dokumentumot. A fertőzött küldeménynek általában a "My Resume" vagy az "Any Openings" kifejezések szerepelnek a tárgyában. Amennyiben a címzett a csatolt dokumentumot megnyitja, akkor a Word alkalmazásban (alapértelmezett beállítások mellett) egy figyelmeztetést kap, miszerint makrókat kellett letiltani. A csalók erre az esetre is gondoltak, ugyanis a dokumentumba gondosan beleírták, hogy mit kell tennie a felhasználónak ahhoz, hogy minden tartalmat láthasson. Ha bedől a trükknek, és engedélyezi a makrókat, akkor ugyan nem fog újabb tartalmakat látni, viszont a háttérben a makró letölt a számítógépre egy kártékony fájlt általában dro.exe néven, amit aztán el is indít. A betöltődő kártékony kód kapcsolódik egy vezérlőszerverhez, amelyről további ártalmas fájlokat, illetve utasításokat fogad. E kiszolgálón a FireEye kutatói megannyi károkozó nyomára akadtak, de ez esetben arra a pos.exe nevű fájlra élezték ki a vizsgálataikat, amely a NitlovePoS-hoz kötődött.
A fertőzött Word dokumentum - Forrás: FireEye
Amikor a NitlovePoS felkerül egy rendszerre, akkor azon csak akkor indul el, ha "-" kapcsolóval hívják meg a pos.exe fájlt. Ha elmarad a "-" paraméter, akkor a trójai semmit nem tesz. Ennek azért van jelentősége, mert ezáltal a NitlovePoS képes lehet arra, hogy automatizált víruselemző megoldásokat ejtsen át azt a látszatot keltve, hogy nem is egy ártalmas kódról van szó.
A kitaposott út esete
Az új POS-kompatibilis kártevő a betöltődését követően már nem szolgál sok újdonsággal. A "System" és a "System Idle Process" folyamatok kivételével mindent kémlel. A különféle folyamatokhoz tartozó memóriaterületeket pásztázza, hogy bank-, illetve hitelkártyákhoz tartozó (track 1 és track 2) adatokat gyűjtsön össze. Amennyiben ez sikerül számára, akkor a megkaparintott információkat kiszivárogtatja a terjesztőinek titkosított, SSL kapcsolatokon keresztül. Emellett a vezérlőszerverével való folyamatos kommunikációjával lehetőséget ad arra, hogy az adattolvajok egy központi adminisztrációs felületen keresztül nyomon kövessék a károkozó ténykedését.
A központi adminisztrációs felület - Forrás: FireEye
A POS kompatibilis kártékony programok miatt egyre nagyobb figyelmet kell szentelni a megfelelő vírusvédelem kialakítására és a terminálok kellő mértékű izolációjára. Nem elképzelhetetlen, hogy a közeljövőben a biztonsági cégek előrukkolnak olyan termékekkel, amelyek kifejezetten a POS-terminálok védelmét lesznek hivatottak ellátni, de addig hagyományos eszközökkel kell felvenni a kesztyűt a támadókkal szemben.
-
A Google ChromeOS két fontos biztonsági javítást kapott.
-
Elérhetővé vált a Google Chrome webböngésző legújabb biztonsági frissítése.
-
Az IBM biztonsági frissítéseket adott ki a Qradar SIEM megoldásához.
-
A cURL fejlesztői négy biztonsági hibáról számoltak be.
-
Az Apple egy veszélyes biztonsági hibát javított az iOS és iPadOS operációs rendszerei kapcsán.
-
A macOS operációs rendszerhez egy fontos biztonsági frissítés vált telepíthető.
-
A Microsoft ezúttal nyolc biztonsági rést foltozott be az Edge webböngészőben.
-
A Mozilla fejlesztői kritikus biztonsági hibákat szüntettek meg a Firefoxban.
-
A IBM Secure Proxy-hoz két tucat biztonsági frissítés vált elérhetővé.
-
A Zulip Serverhez egy biztonsági hibajavítás vált elérhetővé.
Minden szülő legrosszabb rémálma felvenni egy ismeretlen számról érkező hívást, és azt hallani, hogy a gyermeke segítségért kiált.
Az online társkeresés elterjedésével alapjaiban változott meg az emberek közötti kapcsolatteremtés.