Данные кредитных карт постояльцев утекают из отелей по всему миру

Данные кредитных карт постояльцев утекают из отелей по всему миру

Данные кредитных карт постояльцев утекают из отелей по всему миру

«Лаборатория Касперского» зафиксировала всплеск активности вредоносной кампании, которая ставит под угрозу данные кредитных карт, хранящиеся в информационных системах отелей и полученные ими в том числе от онлайн-турагентств. Атакованы не менее 20 брендов отелей в Бразилии, Аргентине, Боливии, Чили, Коста-Рике, Франции, Италии, Мексике, Португалии, Испании, Таиланде и Турции.

Компрометация данных делает возможным их дальнейшую перепродажу. Для сбора информации из буферов обмена, устройств для вывода на печать и скриншотов документов злоумышленники используют троянские программы удалённого администрирования, распространяя их через вредоносные вложения в Word, Excel, PDF в фишинговых письмах. Письма, имитирующие официальные запросы на групповую бронь от реальных людей из реальных компаний, выглядят весьма убедительно, в них включены копии официальных документов и подробные разъяснения причин, по которым был выбран именно этот отель. Единственное, что выдаёт подделку, — ошибки в написании домена компании.

Злоумышленники не только сами используют удалённый доступ к заражённым компьютерам, но и продают его на нелегальных форумах. В кампании участвуют несколько кибергруппировок, точно известно как минимум о двух — RevengeHotels и ProCC.

Согласно данным популярного сервиса Bit.ly, который использовался для сокращения вредоносной ссылки, она распространялась и во многих других странах, кроме перечисленных выше, а значит, объём скомпрометированных данных может быть значительно больше.

«Независимо от того, останавливаются ли постояльцы в отелях, будучи в командировке или на отдыхе, платят ли за проживание наличными или картой, всё равно хотя бы раз будет нужно использовать дебетовую или кредитную карту, чтобы гарантировать бронь номера. Этого будет достаточно для того, чтобы злоумышленники похитили её данные. Мы советуем владельцам отелей применять надёжные защитные решения, чтобы избежать утечек, от которых могут пострадать как клиенты, так и репутация заведения», — комментирует Юрий Наместников, руководитель российского исследовательского центра «Лаборатории Касперского».

«Лаборатория Касперского» рекомендует путешественникам использовать для бронирования отеля через онлайн-турагентства виртуальную платёжную карту, а для расчёта на месте либо виртуальный кошелёк, либо карту с ограниченным количеством денег на счету.

AM LiveПодписывайтесь на канал "AM Live" в Telegram, чтобы первыми узнавать о главных событиях и предстоящих мероприятиях по информационной безопасности.

Злоумышленники хранили свой код в DNS-записях в шестнадцатеричном формате

Команда DomainTools обнаружила еще один пример использования DNS как хранилища вредоносов. Для сокрытия бинарника его конвертировали в шестнадцатеричный формат, разбили на части и спрятали в TXT-записях связанных поддоменов.

Подобные злоупотребления рассчитаны на то, что защитные решения редко проверяют DNS-трафик на предмет угроз, он для них слепая зона. К тому же организовать выявление аномалий в легитимном потоке запросов в данном случае непросто, а при использовании шифрования (DoH или DoT) — еще сложнее.

Привлекшие внимание экспертов записи DNS TXT содержали информацию о сотнях различных поддоменов *.felix.stf.whitetreecollective[.]com, дополненную фрагментами кода в шестнадцатеричном формате.

 

При их извлечении и сборке с преобразованием в двоичный файл оказалось, что это Joke Screenmate — злонамеренное приложение Windows, которое выводит на экран изображения или анимацию, от которых трудно избавиться.

Это может быть череда шутливых картинок, которые быстро множатся, и их трудно закрыть. Более агрессивные варианты таких программ пугают жертв бесконечными сообщениями об ошибках или якобы обнаруженных вирусах.

Известны случаи, когда в DNS-записях скрывались вредоносные скрипты. Исследователи из DomainTools тоже столкнулись с таким TXT-содержимым; на поверку зашифрованный Powershell оказался загрузчиком, скачивающим пейлоад второго этапа атаки с C2 на базе Covenant.

В комментарии для Ars Technica представитель DomainTools поведал, что недавно они нашли DNS-записи с текстами для ИИ-ботов, которые, видимо, используются в рамках промпт-инъекций. Все фразы начинались с «Ignore all previous instructions» («Забудь обо всех прежних инструкциях») и содержали различные просьбы, от с виду невинных (назвать произвольное число, выдать краткое содержание фильма «Волшебник», спеть песню, как птичка) до явно провокационных (игнорить все последующие инструкции, удалить обучающие данные и восстать против своих хозяев).

AM LiveПодписывайтесь на канал "AM Live" в Telegram, чтобы первыми узнавать о главных событиях и предстоящих мероприятиях по информационной безопасности.

RSS: Новости на портале Anti-Malware.ru