PoS-терминалы под прицелом

PoS-терминалы под прицелом

Эксперты Seculert обнаружили специализированную вредоносную программу, ворующую реквизиты банковских карт из торговых терминалов под ОС Windows. Зловред, нареченный Dexter, внедряется в системный процесс iexplore.exe, обеспечивая его повторный запуск при отключении вручную, составляет перечень активных процессов, для каждого определяет доступные пространства памяти, производит считывание в локальный буфер, используя функцию ReadProcessMemory, и подвергает дампы разбору (парсингу), отыскивая информацию, подлежащую копированию и отсылке.

По свидетельству экспертов, Dexter интересуют данные треков 1 и 2 пластиковой карты: имя владельца, срок годности и номер карты, включающий код эмитента, класс и тип карты, номер счета, иногда ― код страны. Этой информации достаточно, чтобы изготовить подделку.

Украденные данные шифруются и отправляются через HTTP POST на удаленный C&C сервер. Ответы с этого сервера, включая обновления и команду на самоудаление, зловред получает в виде шифрованного cookie-файла. Система шифрования, используемая Dexter, подробно рассмотрена в блоге Trustwave. Обращения к командному серверу осуществляются по заданному списку из 7 доменных имен, привязанных к зоне .com. По свидетельству Verizon, 6 из них зарегистрированы на сервисе, гарантирующем конфиденциальность, и разрешаются в один и тот же IP-адрес, хорошо известный исследователям ZeuS. В более ранних, тестовых версиях Dexter вместо доменов был указан IP-адрес и единственный путь. Этот адрес, как и соответствующая AS-система (AS58001), имеют плохую репутацию. Эксперты Verizon усмотрели также некоторое сходство в поведении ZeuS и Dexter и отметили, что некоторые антивирусы списка Virus Total детектируют нового PoS-зловреда как ZeuS, пишет securelist.com.

Насколько известно, Dexter существует в интернете несколько месяцев и успел поразить сотни PoS-систем в широко известных сетях розничной торговли, отелей, ресторанов, а также на частных парковках. Seculert обнаружила его присутствие в 40 странах, причем 30% заражений ― на территории США, 19% в Великобритании. Способ распространения Dexter пока не определен, известно лишь, что половина жертв используют Windows XP, свыше 30% ― серверные ОС.

AM LiveПодписывайтесь на канал "AM Live" в Telegram, чтобы первыми узнавать о главных событиях и предстоящих мероприятиях по информационной безопасности.

В Таиланде задержан россиянин, которого назвали хакером мирового уровня

Бюро расследования киберпреступлений (БРК) Таиланда задержало 35-летнего россиянина на Пхукете. В ведомстве его назвали «хакером мирового уровня», причастным к атакам на государственные учреждения Европы и США. Арест был произведён по запросу американских властей, сообщил глава БРК Сурапон Прембут.

По его словам, в ближайшее время будет запущена процедура экстрадиции.

Подозреваемый, чьё имя не раскрывается, прибыл в Таиланд 30 октября. О задержании стало известно 12 ноября, хотя, по данным англоязычного издания Khaosod English, его арестовали примерно на неделю раньше.

Как пишет русскоязычная газета «Новости Пхукета» со ссылкой на материалы следствия, ордер на арест был выдан прокуратурой королевства по запросу ФБР. Сотрудники ФБР лично наблюдали за действиями тайских киберполицейских.

«Тайская киберполиция указала, что агенты ФБР следили за ходом дела, а сама операция направлена на укрепление сотрудничества между Таиландом и США в борьбе с преступностью. Формальная процедура экстрадиции неназванного гражданина России в США должна быть начата в ближайшее время», — отмечает издание.

Согласно информации Khaosod English, анализ изъятых у задержанного устройств показал его причастность к кражам криптовалюты на сумму около 100 тыс. USDT (432 тыс. долларов США), включая средства граждан Таиланда.

Других подробностей, включая имя подозреваемого, власти Таиланда пока не раскрывают.

AM LiveПодписывайтесь на канал "AM Live" в Telegram, чтобы первыми узнавать о главных событиях и предстоящих мероприятиях по информационной безопасности.

RSS: Новости на портале Anti-Malware.ru