Банковские трояны на смартфонах

Пользователь при переводе средств получает одноразовый пароль по SMS на заранее указанное устройство. Такие номера транзакций называют mTAN или smsTAN. Эта система достаточно надежна, поскольку, чтобы получить данный номер, мошенникам помимо компьютера необходимо осуществлять еще и манипуляции с сотовым телефоном. Разработчики ZeuS настроились на этот защитный механизм и создали версию трояна для системы Symbian. Вредоносное ПО вставляет на банковскую страницу дополнительное поле для ввода телефонного номера. Жертва вводит его, получает SMS со ссылкой на загрузку, через которую троян попадает на телефон и собирает одноразовые пароли [15].

Троян Eurograbber

Группа злоумышленников, которая распространяла по сети банковский троян Eurograbber, установила новый рекорд по объёму средств, изъятых у жителей Западной Европы. По информации из отчёта, опубликованного компаниями Versafe и Check Point Software Technologies, ущерб от этой вредоносной программы оценивается в сумму около 36 миллионов евро, а количество пострадавших — примерно в 30 000 человек.

Eurograbber — один из вариантов известного трояна Zeus, а точнее — модифицированная версия трояна ZITMO (Zeusinthemobile), мобильной версии зловреда. Оптимизирован на обход двухфакторной аутентификации, которая используется в ряде банков. Это осуществляется за счёт перехвата одноразовым номеров, отправляемых банком на мобильный телефон по SMS, которые нужно вводить для подтверждения финансовых транзакций на веб-сайте онлайн-банкинга. Троян успешно проделывал это, заразив предварительно и персональный компьютер, и смартфон жертвы. После заражения персонального компьютера он никак себя не проявлял до тех пор, пока не установит аналогичного трояна (Eurograbber для телефона) на мобильное устройство.

Заражение смартфона осуществлялось через сайт онлайн-банкинга, куда троян внедрял JavaScript с сообщением о необходимости осуществить обновление безопасности устройства, запрашивал версию мобильной ОС (Android, BlackBerry, iOS, Symbian или другая) и номер телефона. Информация, собранная у всех жертв, сохранялась на предварительно взломанном веб-сайте. После этого на известный номер жертвы высылалась SMS с просьбой завершить апгрейд. Скачав и установив файл, жертва завершала процедуру установки трояна.

Eurograbber угрожал клиентам 16 банков Италии, 7 банков Испании, 6 банков Германии и 3 банков Нидерландов. Специалисты предупреждают, что иные варианты Eurograbber могли применяться и за пределами Евросоюза. Перевод средств с банковских счетов осуществлялся в автоматическом режиме, когда пользователь заходил на сайт онлайн-банкинга, суммы ущерба варьируются от 500 евро до 223 тысяч евро на одного человека [16].

Банковский троян Cridex/Dapato распространяется через WordPress-сайты

Специалисты по безопасности из M86 Security Labs обнаружили массовое заражение сотен сайтов на движке WordPress 3.2.1. Используя известную уязвимость устаревшей версии WordPress и уже опубликованные эксплойты для него, злоумышленники внедряют жертве в папку Uploads файл HTML с редиректом на страницу с набором эксплоитов Phoenix Exploit Kit. Злоумышленники используют их просто в качестве красивых URL, чтобы ссылка вызывала доверие у жертв (и чтобы проще обойти спам-фильтры) , и рассылают спам, содержащий ссылку на вышеупомянутую страницу.

После успешного выполнения эксплойта на компьютер жертвы устанавливается троянская программа Cridex (известна также под названиями Carberp и Dapato). Этот известный банковский троян, который умеет подделывать веб-формы для 137 банков разных стран. Он детектируется далеко не всеми антивирусными программами. Согласно исследованию M86 SecurityLabs, только 10 из 47 протестированных антивирусов способны его обнаружить. Антивирус Касперский распознаёт его как Trojan-Dropper.Win32.Dapato.afae.

О механизме работы Cridex рассказывалось и раньше. Можно добавить только, что управление клиентской части программы осуществляется через сеть Fast-flux ( целью fast-flux является назначение любому полнофункциональному доменному имени множества (сотен, а иногда и тысяч) IP-адресов).

Как только находится активный прокси-сервер, троян скачивает конфигурацию из ботнета Cridex. Его функциональность примерно такая же, как у Zeus и SpyEye: сбор приватной информации, логинов и паролей — и отправка на удалённый сервер.

Cridex специализируется именно на финансовых транзакциях — в мире ботнетов это своеобразный банковский центр с базой данных на 137 банков и финансовых учреждений мира. За этот функционал отвечает плагин "WORLD BANK CENTER" [17].