Вредоносный код ChewBacca атаковал розничные сети из 11 стран

За последние три месяца ряд американских ритейлеров признали, что стали жертвами хакерских атак, поразивших их системы через POS-терминалы. В США о крупных утечках данных сообщили ритейлеры Target и Neiman Marcus, потерявшие в общей сложности более 110 млн номеров банковских карт. Как показали опубликованные новые данные, ритейлеры параллельно стали жертвами еще одной, правда не столь масштабной, атаки, в которой хакерами в качестве целей также выбиралось торговое оборудование.



В пятницу стало известно о том, что ритейлеры в 11 странах стали жертвами одной и той же вредоносной программы ChewBacca, заражавшей торгово-кассовое оборудование и перехватывавшей данные из оперативной памяти платежных терминалов. Такие данные озвучили в компании RSA Security, где проанализировали вредоносное ПО и его серверную инфраструктуру, пишет cybersecurity.ru.

В компании говорят, что большая часть заражений действительно пришлась на США, однако Штаты не стали единственным местом, что софт ChewBacca успел поработать. Согласно результатам анализа RSA, кроме США данный вредонос также был выявлен на территории России, Канады и Австралии. В общей сложности следы присутствия отмечены в 11 странах. Ури Флейдер, менеджер подразделения Cybercrime Research Lab в RSA, говорит, что на данный момент присутствие вредоноса выявлено на 119 POS-терминалах у 45 разных ритейлеров, правда, две трети из них расположены в Северной Америке.

По его словам, банда, стоящая за ChewBacca, только лишь в США скомпрометировала не менее 50 000 банковских карт, причем компрометировались даже данные, зашифрованные на магнитных полосах карт. В RSA отказались называть ритейлеров, пострадавших от этой атаки, однако в компании говорят, что во всех случаях правоохранительные органы уже были поставлены в известность по фактам краж банковских данных.

Напомним, что впервые о вредоносе ChewBacca стало известно еще в декабре, когда этот код попал в поле зрения аналитиков из «Лаборатории Касперского». Одной из наиболее интересных функций ChewBacca (кроме возможности перехвата данных из RAM) является то, что этот код применяет Tor-соединения для конфиденциальности процесса общения вредоноса и контрольного сервера. После попадания на компьютер данное ПО размещает на компьютере проксирующий Tor-клиент, который подключается к серверу через .onion-адрес. Напомним, что .onion - это псевдо-домен, который нужен только для общения в рамках Tor-сети.

Вредонос пронумеровывает все процессы в зараженной системе и получает из них нужные данные, работая по заданным фильтрам. Тогда у «Лаборатории Касперского» не было данных о заражении данным вредоносом реальных систем, но уже тогда в антивирусной компании предположили, что выявленный ими вредонос имеет финансовую природу. В RSA говорят, что судя по их данным, первые заражения ChewBacca произошли 25 октября.

Сейчас в RSA говорят, что выявленные ими случаи заражения ChewBacca также указывают на наличие функционала кейлоггера, а также анализатора системных журналов, а помимо этого, здесь же присутствует файл spoolsv.exe, предназначенный для размещения ключевых элементов вредоноса в автозагрузке и постоянном присутствии кода в памяти устройства.

Со стороны сервера во вредоносе присутствует панель для анализа полученных данных, причем судя по анализу серверов, большая часть заходов операторов серверов отмечена с территории Украины. В RSA говорят, что первичный ip-адрес, по которому располагался сервер получателей, отключен с середины декабря, однако ранее в этой же ip-подсети специалисты находили и другое оборудование, обслуживающее хакерские нужды.

В RSA говорят, что сам по себе код ChewBacca является довольно простым по своей сути. В нем нет сложного защитного механизма, а то обстоятельство, что он оставался незамеченным более двух месяцев можно объяснить стечением ряда обстоятельств во главе которых стоит небрежность админов, обслуживавших ритейлеров. В RSA говорят, что для взлома POS-терминалов сложного вредоносного софта в общем-то и не требуется, а кроме того до сих пор большинство ритейлеров не применяли мощных антивредоносных решений на конечном торговом оборудовании. «До недавнего времени большинство POS-терминалов вообще были не защищены. Финансово-ориентированные хакеры до сих пор не работали в наравлении POS-терминалов, предпочитая централизованные хранилища данных или процессинговые центры», - говорит Флейдер.

Отметим, что в декабре специалисты зафиксировали еще как минимум две атаки на ритейлеров по методике перехвата данных из RAM. Так, несколько недель назад ритейлеры Target, Neiman Marcus и ряд других сообщили об атаке на их системы, а за пару недель до этого компании IntelCrawler и Arbor Networks сообщили об обнаружении ритейлового вредоноса Dexter, который также перехватывал данные из оперативной памяти POS-терминалов.

Yandex Zen AMПодписывайтесь на канал "Anti-Malware" в Yandex Zen, чтобы узнавать о новостях и эксклюзивных материалах по информационной безопасности в своей персональной ленте.

Лаборатории Касперского открыла первый Центр прозрачности в Цюрихе

Сегодня, 13 ноября, «Лаборатория Касперского» начала обработку вредоносных и подозрительных файлов, поступающих от европейских пользователей продуктов компании, в Цюрихе, где также открыла свой первый Центр прозрачности. Это важные шаги в реализации глобальной инициативы по информационной открытости – масштабного проекта «Лаборатории Касперского», анонсированного в октябре 2017 года. Он нацелен на то, чтобы повысить устойчивость IT-инфраструктуры компании даже к гипотетическим рискам и сделать все её процессы ещё более прозрачными для текущих и будущих клиентов и широкой общественности.

Пользователи «Лаборатории Касперского» могут добровольно согласиться делиться данными с облачной инфраструктурой Kaspersky Security Network (KSN). С 13 ноября 2018 года часть этих данных, а именно подозрительные или ранее неизвестные вредоносные файлы, а также соответствующие метаданные для автоматического анализа, получаемые компанией от европейских пользователей, начнут обрабатываться в двух ЦОДах в Швейцарии. Процесс создания дополнительной инфраструктуры по обработке данных, как ожидается, полностью завершится к концу 2019 года. Другие сведения, включая обезличенную статистику угроз, начнут обрабатываться в Цюрихе на следующих этапах реализации глобальной инициативы по информационной открытости.

Кроме того, 13 ноября «Лаборатории Касперского» открыла свой первый Центр прозрачности в Цюрихе. В рамках этой структуры доверенным партнёрам и правительственным организациям предлагается возможность проверить исходный код продуктов компании. Кроме этого, они смогут получить доступ к базам данным вирусных сигнатур, обновлениям ПО, документации по безопасной разработке ПО и другим важным материалам. Центр прозрачности позволит проводить внешний аудит и оценку исходного кода компании, а также изучать техническую документацию в безопасной и удобной среде, специально созданной для этого.

Вслед за запуском Центра прозрачности и центра обработки данных для европейских пользователей «Лаборатория Касперского» планирует создание дополнительных ЦОДов для пользователей из других регионов, а также запуск в Цюрихе инфраструктуры, позволяющей проводить компиляцию ПО (создание «конвейера для сборки ПО») для пользователей из Европы, США и других стран. 

Согласно независимым рейтингам, Швейцария входит в число мировых лидеров по количеству доступных защищённых интернет-серверов. IT-инфраструктура этой страны, её ЦОДы имеют самую высокую репутацию на глобальном уровне. Находясь в сердце Европы и при этом не являясь членом Европейского союза, Швейцария сформировала собственную политику регулирования конфиденциальных данных, которая гарантируется Конституцией государства и федеральными законами. Кроме того, в стране действуют строгие правила, регулирующие процедуры обработки запросов на получение электронных данных, поступающих от органов власти.

«Стремление к транспарентности становится новой нормой в IT-индустрии и в частности в индустрии кибербезопасности. Мы гордимся тем, что находимся на передовой линии этого процесса, и серьёзно относимся к защите данных наших пользователей и надёжности наших продуктов. Создание в Швейцарии дополнительной инфраструктуры по разработке ПО и обработке пользовательских данных – яркое тому подтверждение. Обещания, данные нами в рамках глобальной инициативы по информационной открытости, уже успешно реализуются. Мы приглашаем экспертное сообщество и правительственные организации ознакомиться с нашими продуктами (исходным кодом, программными обновлениями и прочей технической документацией) в нашем новом Центре прозрачности в Цюрихе. Считаем, что подобные шаги – это только начало как для компании, так и для индустрии в целом. Необходимость подтверждать надёжность продуктов скоро станет отраслевым стандартом», – подчеркнул Евгений Касперский, генеральный директор «Лаборатории Касперского».

«Создание Центра прозрачности «Лаборатории Касперского» в Швейцарии подтверждает, что наша страна стала глобальным центром инноваций и технологий с сильным кластером кибербезопасности. Она предоставляет передовую и безопасную цифровую инфраструктуру, которая привлекает всё больше технологических лидеров», – отметил Лив Миндер (Liv Minder), директор по привлечению инвестиций Switzerland Global Enterprise.

Yandex Zen AMПодписывайтесь на канал "Anti-Malware" в Yandex Zen, чтобы узнавать о новостях и эксклюзивных материалах по информационной безопасности в своей персональной ленте.

RSS: Новости на портале Anti-Malware.ru