Новый Unix-руткит крадёт платёжные данные из банкоматов

Новый Unix-руткит крадёт платёжные данные из банкоматов

Новый Unix-руткит крадёт платёжные данные из банкоматов

Наблюдая за активностью киберпреступной группировки LightBasin, специалисты наткнулись на ранее неизвестный Unix-руткит, который используется для кражи платёжных данных из банкоматов. С помощью этого вредоноса злоумышленники могут проводить несанкционированные транзакции.

Операторы нового руткита известны своими атаками на телекоммуникационные компании с использованием кастомных семплов зловреда. Исследователи из Mandiant, описывающие активность LightBasin в 2020 году, теперь опубликовали новый отчёт о деятельности кибергруппировки.

Руткит представляет собой модуль ядра Unix под именем «Caketap», который операторы устанавливают на серверы с операционной системой Oracle Solaris. В процессе работы Caketap маскирует интернет-соединение, процессы и файлы, параллельно устанавливая несколько хуков в системные функции.

Основная цель вредоноса — перехватить данные банковских карт и ПИН-коды, обрабатываемые банкоматом, чтобы потом осуществлять переводы и проводить транзакции. Для этого Caketap должен получить сообщения, предназначенные для аппаратной составляющей Payment Hardware Security Module (HSM).

HSM, как известно, используется в банковской сфере для генерации, управления и подтверждения криптографических ключей для ПИН-кодов и EMV-чипов. Перехватив такие сообщения, Caketap подставляет полученные данные карты и генерирует валидный ответ.

На втором этапе атаки руткит сохраняет валидные сообщения, соответствующие легитимным номерам PAN (Primary Account Numbers) и отправляет их HSM. При этом вредонос действует крайне осторожно, оставаясь незаметным.

 

«Мы считаем, что за CAKETAP стоит группа UNC2891 (LightBasin), которая развернула масштабную кампанию. Злоумышленники пытаются снять как можно больше денег в банкоматах нескольких кредитных организаций», — пишут специалисты Mandiant в отчёте.

AM LiveПодписывайтесь на канал "AM Live" в Telegram, чтобы первыми узнавать о главных событиях и предстоящих мероприятиях по информационной безопасности.

В России готовят запрет на зарубежные коммуникационные сервисы

В перечне поручений президента, опубликованном по итогам встречи с представителями бизнеса в конце мая, содержится указание на подготовку дополнительных ограничений в отношении использования в России коммуникационных сервисов и другого программного обеспечения из недружественных стран. Такие меры предлагается ввести до 1 сентября 2025 года.

Перечень поручений опубликован на официальном сайте Кремля.

В документе, в частности, говорится о необходимости разработать меры по «введению дополнительных ограничений на использование в России программного обеспечения (в том числе коммуникационных сервисов), произведенного в недружественных иностранных государствах».

О необходимости подобных ограничений 26 мая на встрече с президентом заявил генеральный директор IVA Technologies Станислав Иодаковский. Он отметил, что такие сервисы, как Zoom и Microsoft Teams, широко используются как бизнесом, так и обычными пользователями. Президент поддержал предложение, назвав его ответной мерой на ограничения со стороны других государств.

Напомним, что с 1 июля 2025 года в России введён запрет на использование зарубежных мессенджеров для деловой переписки в ряде организаций, включая банки, госорганы и телеком-компании. При этом для обычных пользователей пока сохраняется доступ, за исключением уже заблокированных Viber и Discord.

AM LiveПодписывайтесь на канал "AM Live" в Telegram, чтобы первыми узнавать о главных событиях и предстоящих мероприятиях по информационной безопасности.

RSS: Новости на портале Anti-Malware.ru