Word dokumentumok veszélyeztetik a bankkártyákat

Sokat tanult a régimódi makróvírusoktól az a kártékony program, amely bank- és hitelkártya információkat igyekszik megkaparintani.
 

Mivel manapság viszonylag keveset lehet hallani a Word dokumentumokban, illetve egyéb állományokban terjesztett makróvírusokról, ezért azt gondolhatnánk, hogy teljesen kihaltak. Azonban ez koránt sincs így, hiszen közbe-közbe felbukkan egy-egy példányuk, amikkel igencsak óvatosan kell bánni. Ezt kiválóan szemlélteti a FireEye legutóbbi felfedezése is, miszerint egy olyan kártékony program indult hódító útjára, amely bankkártyák elfogadására alkalmas POS-terminálokat veszélyeztet, és azokról próbál minél több bizalmas adatot kiszivárogtatni.

Vírusterjesztés Word dokumentummal

Az új, NitlovePoS névre keresztelt kártékony program elsősorban a terjedési mechanizmusában tér el az eddig leleplezett, POS-kompatibilis kártevőktől. Az újdonsült jövevény ugyanis egy makróvírus segítségével próbál felkerülni a számítógépekre. 

Az első lépcsőben a felhasználó egy elektronikus levél mellékleteként kap egy Word dokumentumot. A fertőzött küldeménynek általában a "My Resume" vagy az "Any Openings" kifejezések szerepelnek a tárgyában. Amennyiben a címzett a csatolt dokumentumot megnyitja, akkor a Word alkalmazásban (alapértelmezett beállítások mellett) egy figyelmeztetést kap, miszerint makrókat kellett letiltani. A csalók erre az esetre is gondoltak, ugyanis a dokumentumba gondosan beleírták, hogy mit kell tennie a felhasználónak ahhoz, hogy minden tartalmat láthasson. Ha bedől a trükknek, és engedélyezi a makrókat, akkor ugyan nem fog újabb tartalmakat látni, viszont a háttérben a makró letölt a számítógépre egy kártékony fájlt általában dro.exe néven, amit aztán el is indít. A betöltődő kártékony kód kapcsolódik egy vezérlőszerverhez, amelyről további ártalmas fájlokat, illetve utasításokat fogad. E kiszolgálón a FireEye kutatói megannyi károkozó nyomára akadtak, de ez esetben arra a pos.exe nevű fájlra élezték ki a vizsgálataikat, amely a NitlovePoS-hoz kötődött.


A fertőzött Word dokumentum - Forrás: FireEye

Amikor a NitlovePoS felkerül egy rendszerre, akkor azon csak akkor indul el, ha "-" kapcsolóval hívják meg a pos.exe fájlt. Ha elmarad a "-" paraméter, akkor a trójai semmit nem tesz. Ennek azért van jelentősége, mert ezáltal a NitlovePoS képes lehet arra, hogy automatizált víruselemző megoldásokat ejtsen át azt a látszatot keltve, hogy nem is egy ártalmas kódról van szó. 

A kitaposott út esete

Az új POS-kompatibilis kártevő a betöltődését követően már nem szolgál sok újdonsággal. A "System" és a "System Idle Process" folyamatok kivételével mindent kémlel. A különféle folyamatokhoz tartozó memóriaterületeket pásztázza, hogy bank-, illetve hitelkártyákhoz tartozó (track 1 és track 2) adatokat gyűjtsön össze. Amennyiben ez sikerül számára, akkor a megkaparintott információkat kiszivárogtatja a terjesztőinek titkosított, SSL kapcsolatokon keresztül. Emellett a vezérlőszerverével való folyamatos kommunikációjával lehetőséget ad arra, hogy az adattolvajok egy központi adminisztrációs felületen keresztül nyomon kövessék a károkozó ténykedését.


A központi adminisztrációs felület - Forrás: FireEye 

A POS kompatibilis kártékony programok miatt egyre nagyobb figyelmet kell szentelni a megfelelő vírusvédelem kialakítására és a terminálok kellő mértékű izolációjára. Nem elképzelhetetlen, hogy a közeljövőben a biztonsági cégek előrukkolnak olyan termékekkel, amelyek kifejezetten a POS-terminálok védelmét lesznek hivatottak ellátni, de addig hagyományos eszközökkel kell felvenni a kesztyűt a támadókkal szemben.
 
  1. 3

    A Google ChromeOS két fontos biztonsági javítást kapott.

  2. 4

    Elérhetővé vált a Google Chrome webböngésző legújabb biztonsági frissítése.

  3. 3

    Az IBM biztonsági frissítéseket adott ki a Qradar SIEM megoldásához.

  4. 3

    A cURL fejlesztői négy biztonsági hibáról számoltak be.

  5. 4

    Az Apple egy veszélyes biztonsági hibát javított az iOS és iPadOS operációs rendszerei kapcsán.

  6. 4

    A macOS operációs rendszerhez egy fontos biztonsági frissítés vált telepíthető.

  7. 4

    A Microsoft ezúttal nyolc biztonsági rést foltozott be az Edge webböngészőben.

  8. 4

    A Mozilla fejlesztői kritikus biztonsági hibákat szüntettek meg a Firefoxban.

  9. 4

    A IBM Secure Proxy-hoz két tucat biztonsági frissítés vált elérhetővé.

  10. 3

    A Zulip Serverhez egy biztonsági hibajavítás vált elérhetővé.

Partnerhírek
Amikor a gyerekünk hangján követelnek tőlünk pénzt

Minden szülő legrosszabb rémálma felvenni egy ismeretlen számról érkező hívást, és azt hallani, hogy a gyermeke segítségért kiált.

Romantika helyett átverés Valentin-napon?

Az online társkeresés elterjedésével alapjaiban változott meg az emberek közötti kapcsolatteremtés.

hirdetés
Közösség