Похищающий информацию кейлоггер распространяется через спам

Похищающий информацию кейлоггер распространяется через спам

Похищающий информацию кейлоггер распространяется через спам

В недавно обнаруженной спам-кампании злоумышленники используют замаскированные под банковские переводы вредоносные электронные письма для распространения вредоносной программы, которая крадет информацию, хранящуюся в браузерах, логирует нажатие клавиш и похищает крипто-валюту Bitcoin из кошельков.

Обнаруженная исследователями в области безопасности Cyren, атака полагается на поддельные электронные письма, которые пытается выдать за банковские переводы. Эти письма сообщают пользователю о том, что он якобы получил депозит или утверждается, что в них содержится информация, относящаяся к другим банковским операциям.

На самом же деле, эти письма преследуют цель установить на компьютер жертвы кейлоггер (программное обеспечение, регистрирующее различные действия пользователя — нажатия клавиш на клавиатуре компьютера, движения и нажатия клавиш мыши и т. д.).

Вредоносные письма отправляются ботами, находящимися в Соединенных Штатах и Сингапуре, при этом используется брендинг различных банков, чтобы скрыть вредоносные намерения писем. Об этом пишут в своем блоге специалисты Cyren.

Каждое спам-письмо содержит вложение, содержащее в имени «Swift», например, swift copy_pdf.ace, swift copy.zip, swift_copy.pdf.gz. Это явная отсылка к SWIFT-кодам, использующимся для однозначной идентификации банков и финансовых учреждений по всему миру.

На самом же деле, вложение является исполняемым файлом, который сохраняет файл с именем filename.vbs на скомпрометированной машине в папку автозагрузки Windows. Этот скрипт предназначен для запуска вредоносной программы, которая находится в подпапке AppData\Local\Temp\ под именем filename.exe. После запуска вложение удаляет себя.

После того, как вредоносная программа укрепится в системе, она начинает поиск конфиденциальной информации. В основном, вредонос ищет эту информацию в программном обеспечении для доступа к FTP-серверам, браузерах и других приложениях, где она может потенциально храниться.

«Вредоносная программа собирает информацию, находящуюся во всех веб-браузерах на компьютере (сохраненные пароли и имена пользователей, историю посещений, куки, кэш и т.д.) и клиентов электронной почты. Также она ищет доступ к бумажникам крипто-валюты» - отмечает Cyren.

Банки начнут блокировать переводы при обнаружении вредоносов на устройствах

С 1 марта российские банки расширят список причин для остановки денежных переводов. Если на смартфоне или компьютере клиента обнаружится зловредный код, платёж поставят на паузу, сообщил глава комитета Госдумы по финансовому рынку Анатолий Аксаков.

После блокировки банк должен будет связаться с клиентом и запросить подтверждение операции.

Иными словами, если устройство выглядит заражённым, отправить деньги одним нажатием уже не получится: сначала придётся доказать, что переводит сам владелец счёта, а не поселившийся в телефоне цифровой паразит.

Проверять устройства без спроса банки не смогут. По словам Аксакова, для выявления зловредов им потребуется согласие клиента. Договоры с действующими пользователями необходимо переоформить до 1 сентября 2027 года.

Новые требования дополнят перечень признаков переводов, совершённых без добровольного согласия клиента или под влиянием мошенников. С января в России действует 12 таких критериев.

Подозрения, например, вызовет схема, при которой человек переводит через Систему быстрых платежей не менее 200 тыс. рублей между собственными счетами в разных банках, а затем в течение суток отправляет деньги третьему лицу. Ещё одним тревожным сигналом считается попытка внести наличные на чужой счёт через банкомат с использованием цифровой карты.

Таким образом, банки будут оценивать не только параметры самого перевода, но и состояние устройства, с которого его отправляют. Защита становится плотнее, однако вместе с ней появляется новый вопрос: насколько внимательно клиенты прочитают обновлённый договор, прежде чем разрешить банку искать зловреды в своём смартфоне.

RSS: Новости на портале Anti-Malware.ru