Новый троян атакует банки Европы

Корпорация Symantec сообщает об угрозе, связанной с банковским трояном Trojan.Neloweg. Вредоносная программа способна украсть данные пользователей, в том числе банковские реквизиты. Изучая данную угрозу, специалисты Symantec обнаружили, что программа может украсть реквизиты пользователей, в том числе банковские. На иллюстрации вы можете видеть часть списка страниц на сайтах банков, попавших под угрозу.

 

Trojan.Neloweg работает таким же образом, как и другой банковский троян, Zeus. Обе вредоносные программы определяют, на каком сайте находится пользователь и добавляют туда специальный JavaScript. Но если Zeus использует свой файл конфигурации, то Trojan.Neloweg хранит данные на вредоносном сервере. 

 

При переходе на известную страницу банка, Trojan.Neloweg маскирует часть страницы белым цветом, используя скрытый тег DIV, и запускает свой код JavaScript, расположенный на специальном сервере.

Наиболее популярными из используемых браузеров являются Firefox и Internet Explorer, которые используются большинством (более 50%) пользователей. Не удивительно, что Trojan.Neloweg атакует через них. Интересно, что он также атакует браузеры, использующие движки Trident (Internet Explorer), Gecko (Firefox), и WebKit (Chrome/Safari). Существует не так много причин для атаки через другие, не такие распространенные браузеры. Очевидно то, что злоумышленники хотят охватить как может больше целей. Вторая причина состоит в том, что некоторые люди специально используют не самые известные браузеры для онлайн банкинга, чтобы обеспечить дополнительную безопасность. Атаки на эти менее популярные браузеры повышает вероятность того, что именно они используются для работы с банковскими системами.

Следует отметить, что троян стремится украсть не только банковские реквизиты, но также другие логины и пароли. Чтобы добиться этого авторы кода придали браузерам функции ботов. 

 

Как видно на скриншоте, браузер (в данном случае Firefox) теперь может работать как бот и выполнять команды. Он может обработать контент страницы, на которой находится, перенаправить пользователя на другую страницу, украсть пароли, запустить приложение или даже уничтожить себя. К сожалению, функция самоуничтожения несколько избыточна, так она удаляет критически важные системные файлы и не дает пользователю войти в систему.

Способ интеграции в Firefox также уникален. Ранее можно было наблюдать угрозы, которые создают вредоносные дополнения браузеров. Поэтому пользователи, отключившие плагины, могли чувствовать себя в безопасности. Но с Trojan.Neloweg такие меры бесполезны. Являясь компонентом, он не отображается на панели расширений Firefox в отличие от других дополнений и плагинов. Более того, используя архитектуру Firefox, Neloweg заново себя создает или устанавливает при каждом подключении Firefox к сети Интернет. 

Anti-Malware Яндекс ДзенПодписывайтесь на канал "Anti-Malware" в Telegram, чтобы первыми узнавать о новостях и наших эксклюзивных материалах по информационной безопасности.

Автор 2500 атак с применением шифровальщика REvil присел в США на 13 лет

Два дня назад в Техасе огласили приговор по делу о вымогательстве с помощью шифровальщика REvil. Решением суда 24-летний украинец Ярослав Васинский проведет за решеткой 13 лет и 7 месяцев, а также перечислит в казну свыше $16 млн в возмещение ущерба.

Согласно свидетельским показаниям, уроженец Украины, взяв в аренду REvil/Sodinokibi, провел более 2500 атак в разных странах. Общая сумма выкупа, который он требовал за дешифратор, превысила $700 миллионов.

Плату злоумышленник взимал в цифровой валюте и публиковал данные жертв, когда те отказывались выкупать заветный ключ. Он также использовал специализированные криптосервисы (миксеры), чтобы скрыть источник доходов.

В США Васинскому инкриминировали преступный сговор, мошенничество, нанесение вреда чужим компьютерам и отмывание денег. Задержали его в Польше, затем по договору об экстрадиции переправили за океан; свою вину украинец признал по всем вмененным эпизодам.

По данному делу проходит еще один фигурант — Евгений Полянин из России; найти его пока не удалось. В расследовании и оперативно-разыскных мероприятиях помимо американской стороны принимали участие Европол, Евроюст, правоохранители семи европейских стран, Канады, Австралии и Украины. Экспертную поддержку блюстителям правопорядка оказали Microsoft, Bitdefender и McAfee.

Напомним, в России тоже открыто и рассматривается дело о REvil (в рамках ч. 2 ст. 187 и ч. 2 ст. 273 УК РФ). Ответчиками числятся восемь человек — предположительно участники и главарь ОПГ. Поскольку сотрудничество ФСБ с американскими коллегами приостановилось, весомые свидетельства преступной деятельности получить не удалось.

Anti-Malware Яндекс ДзенПодписывайтесь на канал "Anti-Malware" в Telegram, чтобы первыми узнавать о новостях и наших эксклюзивных материалах по информационной безопасности.

RSS: Новости на портале Anti-Malware.ru