Вредоносный код ChewBacca атаковал розничные сети из 11 стран

Вредоносный код ChewBacca атаковал розничные сети из 11 стран

За последние три месяца ряд американских ритейлеров признали, что стали жертвами хакерских атак, поразивших их системы через POS-терминалы. В США о крупных утечках данных сообщили ритейлеры Target и Neiman Marcus, потерявшие в общей сложности более 110 млн номеров банковских карт. Как показали опубликованные новые данные, ритейлеры параллельно стали жертвами еще одной, правда не столь масштабной, атаки, в которой хакерами в качестве целей также выбиралось торговое оборудование.



В пятницу стало известно о том, что ритейлеры в 11 странах стали жертвами одной и той же вредоносной программы ChewBacca, заражавшей торгово-кассовое оборудование и перехватывавшей данные из оперативной памяти платежных терминалов. Такие данные озвучили в компании RSA Security, где проанализировали вредоносное ПО и его серверную инфраструктуру, пишет cybersecurity.ru.

В компании говорят, что большая часть заражений действительно пришлась на США, однако Штаты не стали единственным местом, что софт ChewBacca успел поработать. Согласно результатам анализа RSA, кроме США данный вредонос также был выявлен на территории России, Канады и Австралии. В общей сложности следы присутствия отмечены в 11 странах. Ури Флейдер, менеджер подразделения Cybercrime Research Lab в RSA, говорит, что на данный момент присутствие вредоноса выявлено на 119 POS-терминалах у 45 разных ритейлеров, правда, две трети из них расположены в Северной Америке.

По его словам, банда, стоящая за ChewBacca, только лишь в США скомпрометировала не менее 50 000 банковских карт, причем компрометировались даже данные, зашифрованные на магнитных полосах карт. В RSA отказались называть ритейлеров, пострадавших от этой атаки, однако в компании говорят, что во всех случаях правоохранительные органы уже были поставлены в известность по фактам краж банковских данных.

Напомним, что впервые о вредоносе ChewBacca стало известно еще в декабре, когда этот код попал в поле зрения аналитиков из «Лаборатории Касперского». Одной из наиболее интересных функций ChewBacca (кроме возможности перехвата данных из RAM) является то, что этот код применяет Tor-соединения для конфиденциальности процесса общения вредоноса и контрольного сервера. После попадания на компьютер данное ПО размещает на компьютере проксирующий Tor-клиент, который подключается к серверу через .onion-адрес. Напомним, что .onion - это псевдо-домен, который нужен только для общения в рамках Tor-сети.

Вредонос пронумеровывает все процессы в зараженной системе и получает из них нужные данные, работая по заданным фильтрам. Тогда у «Лаборатории Касперского» не было данных о заражении данным вредоносом реальных систем, но уже тогда в антивирусной компании предположили, что выявленный ими вредонос имеет финансовую природу. В RSA говорят, что судя по их данным, первые заражения ChewBacca произошли 25 октября.

Сейчас в RSA говорят, что выявленные ими случаи заражения ChewBacca также указывают на наличие функционала кейлоггера, а также анализатора системных журналов, а помимо этого, здесь же присутствует файл spoolsv.exe, предназначенный для размещения ключевых элементов вредоноса в автозагрузке и постоянном присутствии кода в памяти устройства.

Со стороны сервера во вредоносе присутствует панель для анализа полученных данных, причем судя по анализу серверов, большая часть заходов операторов серверов отмечена с территории Украины. В RSA говорят, что первичный ip-адрес, по которому располагался сервер получателей, отключен с середины декабря, однако ранее в этой же ip-подсети специалисты находили и другое оборудование, обслуживающее хакерские нужды.

В RSA говорят, что сам по себе код ChewBacca является довольно простым по своей сути. В нем нет сложного защитного механизма, а то обстоятельство, что он оставался незамеченным более двух месяцев можно объяснить стечением ряда обстоятельств во главе которых стоит небрежность админов, обслуживавших ритейлеров. В RSA говорят, что для взлома POS-терминалов сложного вредоносного софта в общем-то и не требуется, а кроме того до сих пор большинство ритейлеров не применяли мощных антивредоносных решений на конечном торговом оборудовании. «До недавнего времени большинство POS-терминалов вообще были не защищены. Финансово-ориентированные хакеры до сих пор не работали в наравлении POS-терминалов, предпочитая централизованные хранилища данных или процессинговые центры», - говорит Флейдер.

Отметим, что в декабре специалисты зафиксировали еще как минимум две атаки на ритейлеров по методике перехвата данных из RAM. Так, несколько недель назад ритейлеры Target, Neiman Marcus и ряд других сообщили об атаке на их системы, а за пару недель до этого компании IntelCrawler и Arbor Networks сообщили об обнаружении ритейлового вредоноса Dexter, который также перехватывал данные из оперативной памяти POS-терминалов.

ИТ-отрасль выступила против ковровых блокировок, предлагает точечные

Участники круглого стола «Замедление интернет-сервисов и сохранение цифровой экономики: взгляд отрасли», прошедшего 15 апреля в пресс-центре ТАСС, предложили комплекс мер, который, по их мнению, необходим для сохранения качества цифровых услуг для граждан и защиты бизнеса от экономических потерь.

Круглый стол организовали Ассоциация «Руссофт» и АНО Союз «Цифровой мир». В обсуждении также принял участие депутат Государственной Думы, первый заместитель председателя комитета по контролю Дмитрий Гусев.

Дмитрий Гусев отдельно подчеркнул, что даже в период вынужденных ограничений должны бесперебойно работать государственные платформы, включая «Госуслуги» и системы межведомственного взаимодействия. При этом, по его словам, важно сохранить для граждан привычный цифровой комфорт:

«При этом важно рационально распределять сетевые ресурсы: предотвращать перегрузки каналов, но одновременно сохранять доступ к базовым цифровым сервисам, от которых зависит повседневная жизнь людей. Операторы связи обязаны приоритезировать трафик критически важных государственных ресурсов, параллельно развивая резервные маршруты и автономные сегменты инфраструктуры».

Одним из таких механизмов остаются так называемые «белые списки». Ведущий аналитик Mobile Research Group Эльдар Муртазин назвал их лучшим из худших решений, которые удалось предложить в сложившейся ситуации. По его оценке, они обеспечивают доступ к базовому набору цифровых сервисов, на который приходится около трети всего трафика.

В то же время, отметил он, у этого механизма немало недостатков. Прежде всего, «белые списки» усиливают позиции крупных платформ. Кроме того, порядок их формирования остаётся непубличным и непрозрачным, и эту ситуацию, по мнению эксперта, необходимо менять. В целом же, по оценкам Эльдара Муртазина, потери российского бизнеса из-за ограничений интернета достигают десятков миллиардов рублей в месяц.

Председатель правления Ассоциации «Руссофт» Сергей Вотяков призвал расширить «белые списки» за счёт доверенных облачных и онлайн-сервисов. По его мнению, это могло бы дать дополнительный импульс их развитию. Однако пока многим ИТ-компаниям трудно строить планы, поскольку остаётся неясным, как будет работать интернет в ближайшей перспективе.

Участники дискуссии также призвали с осторожностью подходить к блокировке VPN. Как напомнил председатель совета директоров «Базальт СПО» Алексей Смирнов, VPN — один из базовых инструментов интернета, основное назначение которого заключается в обеспечении безопасной связи через публичные сети. Возможность обхода блокировок он назвал лишь побочным эффектом. Тотальную блокировку VPN он сравнил с полным запретом автомобильного движения ради соблюдения правил дорожного движения.

Председатель АНО Союз «Цифровой мир» Валерий Корнеев, в свою очередь, предложил ввести мораторий на запуск новых сервисов, требующих массового сбора персональных данных:

«Мы предлагаем ввести немедленный мораторий на запуск новых сервисов, критически зависящих от бесперебойной мобильной связи и надёжной удалённой идентификации. К ним, в частности, относятся инициативы по легализации онлайн-продаж алкоголя, энергетиков и табачных изделий, требующих сверки данных в режиме реального времени. В текущих условиях, когда для обеспечения безопасности граждан ограничены возможности мобильного доступа к сети интернет, приоритетом должно стать не наращивание трафика и нагрузки на инфраструктуру, а обеспечение устойчивости и защищённости уже работающих критически важных сервисов. Запуск высоконагруженных систем в такой обстановке создаёт неприемлемые риски для национальной безопасности».

Участники мероприятия выступили против «ковровых блокировок» и запрета целых платформ, которыми пользуется широкая аудитория и от которых нередко зависит работа бизнеса — как малого, так и крупного. По их мнению, ограничительные меры должны применяться точечно и затрагивать только конкретных нарушителей и контент, нарушающий законодательство.

В целом по итогам дискуссии были сформулированы пять основных предложений, направленных в правительство:

  1. Регуляторное воздействие должно быть точечным и распространяться только на явно вредоносный трафик.
  2. Необходимо обеспечить цифровой комфорт для граждан. Отчасти эту задачу решают «белые списки», однако механизм включения в них новых сервисов должен стать более публичным и прозрачным.
  3. Тотальный запрет VPN недопустим. Следует чётко разграничивать средства обхода блокировок и инструменты, предназначенные для безопасной передачи данных через публичные сети.
  4. Необходимо обеспечить доступ как минимум аккредитованных российских ИТ-компаний к международным сервисам — репозиториям кода, библиотекам и другим инфраструктурным ресурсам.
  5. Следует ввести мораторий на запуск новых систем, требующих массового сбора персональных данных и их сверки в режиме реального времени. Такие сервисы критически зависят от работы мобильного интернета, который в ряде регионов уже ограничен.

RSS: Новости на портале Anti-Malware.ru