Féreg fertőzi a POS terminálokat

A Floki Intruder névre keresztelt kártékony program egy cég összes POS terminálják automatikusan képes megfertőzni, majd szorgosan szivárogtatja ki a bank- és hitelkártya adatokat.
 

A bank- és hitelkártyák elfogadására alkalmas POS terminálokkal kompatibilis kártékony programok száma is folyamatosan emelkedik. Ezek közös jellemzője, hogy miután felkerülnek egy számukra megfelelő rendszerre, akkor a memória folyamatos monitorozásával igyekeznek minél több kártyaadatot gyűjteni, majd kiszivárogtatni. Ezen nemkívánatos szerzemények közé sorolható az a FighterPOS program is, amely tavaly jelent meg először, és kezdetben leginkább a brazil felhasználók adatait veszélyeztette. 

A Trend Micro megfigyelései szerint a károkozó legalább 100 brazil cég, illetve intézmény hálózatába jutott be, és több mint 22 ezer bank-, illetve hitelkártyával kapcsolatos adatot juttatott a vírusterjesztők kezébe. Aztán ahogy jelentek meg az újabb és újabb változatai, az internetes feketepiacon is megvásárolhatóvá vált, körülbelül 5000 dollárnak megfelelő Bitcoinért. Idővel pedig a kódjába feltárható portugál nyelvű megjegyzések angolul is feltűntek, ami előrevetítette, hogy a csalók terjeszkedni akarnak. A FighterPOS meg is jelent az USA-ban, igaz a fertőzések több mint 90 százaléka még mindig brazil rendszerekhez köthető.

Féreggé alakult át

A FighterPOS korábbi változatai nem rendelkeztek olyan összetevőkkel, amelyek révén a kártékony program képes lett volna önállóan, a POS terminálok között terjedni. Így leginkább akkor tudott fertőzni, amikor a felhasználó - legtöbbször akaratlanul, tudtán kívül - feljuttatta azt egy rendszerre. A Trend Micro biztonsági hálóin azonban a napokban egy olyan variáns akadt fent, amely nem bíz semmit a véletlenre. Ezt a károkozót a kutatók Floki Intruder névvel illették.

Hasonlóan a korábbi változatokhoz, a Floki Intruder is képes kiiktatni a Windows néhány védelmi mechanizmusát, beleértve az UAC-ot (User Account Control) is. Emellett feltérképezi a WMI-t (Windows Management Instrumentation) használó biztonsági alkalmazásokat. Amint ezzel végez, akkor elkezdi figyelni a futó folyamtokhoz tartozó memóriaterületeket, és bank-, illetve hitelkártya adatokat keres. Az értékes adatokat kigyűjti, majd feltölti a támadók szervereire. 

A Floki Intruder igazi újdonságát az a komponense adja, amely automatikus terjedést tesz lehetővé a helyi hálózatokban. Vagyis amikor a károkozó bejut egy hálózatba, és feltelepül egy POS terminálra, akkor további terminálokat kezd keresni. Ha talál POS készülékeket, akkor a megosztott meghajtókra felmásolja a saját állományát, valamint egy autorun.inf nevű fájlt. Ezzel egyúttal azt is biztosítja, hogy a terminálokon a lehető legkevesebb felhasználói közreműködés nélkül tudjon elindulni.

Nehezebb vírusirtás

"Elég gyakori, hogy POS terminálok hálózatba kötötten működnek. A károkozóba épített összetevő nem kizárólag arra ad lehetőséget a támadók számára, hogy kis erőfeszítéssel terminálokat fertőzzenek meg. Jóval nehezebbé teszi a vírusirtást, mivel a visszafertőzés veszélye mindaddig fennáll, amíg nem sikerül minden rendszerről eltávolítani a férget" - vélekedtek a Trend Micro biztonsági kutatói.

A védekezés kapcsán fontos megjegyezni, hogy a Floki Intruder is leginkább kártékony weboldalakon keresztül juthat be egy hálózatba. Ezért a biztonságtudatos internethasználat, a POS terminálok kellő szintű izolációja, és felügyelete, valamint a naprakészen tartott vírusvédelem használata elengedhetetlen a kockázatok csökkentéséhez.