Троян iceix и перенаправление телефонных вызовов

Технический директор американской компании Trusteer рассказал о новой конфигурации Ice IX (троян на базе исходников ZeuS v2), которая не только ворует конфиденциальные данные пользователей в формах онлайн-банкинга, но и позволяет впоследствии перенаправлять или блокировать телефонные вызовы, которые идут на городской телефонный номер пользователя.

Чтобы установить перенаправление на городской телефонный номер, злоумышленникам нужен номер контракта (номер счета) пользователя — приватная информация, которая обычно не хранится в цифровом виде. Поэтому при попытке авторизации в онлайн-банкинге троян Ice IX направляет пользователя на поддельную страницу для «обновления информации о телефонных номерах», и там просит ввести номер контракта.

Перенаправление вызовов нужно для того, чтобы злоумышленники могли ответить на телефонный звонок из банка о подтверждении транзакции. Вместо владельца банковского счёта транзакцию подтверждает профессиональный сотрудник call-центра, работающий на злоумышленников.

Сотрудник call-центра выдаёт себя за владельца банковского счёта и для подтверждения своей личности сообщает конфиденциальную информацию, которую уже собрал троян. У некоторых банков проверка ограничивается стандартными вопросами, так что пройти эту процедуру не составляет труда.

Кроме перенаправления вызовов, злоумышленники также блокируют уведомления по электронной почте.

Троян IceIX появился в продаже на российских форумах в августе 2011 года по цене $1800 [20].

Троян-вымогатель Reveton обзавёлся звуковыми эффектами

Вредоносные программы, которые относятся к классу ransomware (т.е. программы-вымогатели) используют методы запугивания пользователей. Цель вымогательства — заставить жертву добровольно перечислить деньги на указанный счёт. Так называемые «полицейские вымогатели» пугают пользователя преследованием со стороны правоохранительных органов, полиции или ФБР, компьютер блокируется и пользователю предлагают добровольно заплатить штраф за правонарушение. Нарушения можно найти на любом компьютере: это файлы и видео с порнографией, нелицензионные фильмы и музыка, нелицензионный софт и прочее.

Сообщалось о трояне Trojan.Gapz.1, который блокирует систему через Trojan.Winlock.7384 и пугает жертв картинками с веб-камеры. Лицо пользователя показывают непосредственно в окне с требованием оплаты, для психологического давления.

Новый вариант троянской программы Reveton (TROJ_REVETON.HM) идёт ещё дальше по степени эмоционального воздействия. В нём есть встроенный модуль для воспроизведения звуковых файлов. После блокировки компьютера или шифрования файлов он воспроизводит заранее подготовленный текст. Пользователю из Германии или США не потребуется даже переводчик с русского языка, потому что программа подгружает с удалённого сервера подходящий звуковой файл, в зависимости от страны проживания жертвы [21].

2.2 Дистанционное банковское обслуживание: проблемы функционирования в российской банковской практике

Развитые сервисы дистанционного банковского обслуживания стали неотъемлемым критерием для клиента при выборе банка, а их внедрение – серьёзным инструментом увеличения клиентской базы. Практически любой банк предоставляет своим клиентам – юридическим и физическим лицам – ряд сервисов по дистанционному управлению счетами. В условиях наращивания функциональности таких систем наблюдается активности преступных групп, целью которых является хищение денежных средств клиентов через дистанционные каналы обслуживания, в первую очередь через Интернет-банк.

В 2011 году эксперты, занимающиеся исследованиями в области информационной безопасности, отметили ажиотаж вредоносного программного обеспечения, увеличение троянских программ и таргетированных атак [22]. В 2012 году различные компании, специализирующихся на информационной безопасности убедились, что скорость разработки программ, нацеленных на извлечение персональной информации, растет, и онлайн-банкинг (интернет-банкинг) по-прежнему остается хорошей приманкой для злоумышленников. Причиной этому служит постоянное увеличение количества пользователей онлайн-банкинга как во всем мире, так и в России. По различным оценкам, потери от онлайн-преступлений в нашей стране составляют порядка 500 млн. долларов в год, а расследование таких инцидентов, как правило, заканчивается констатацией факта – «хищение средств неустановленными лицами» [22].

Одной из причин, по которым происходят мошенничества через системы ДБО, выделяют проблемы в обеспечении доверенности среды исполнения банковских приложений. При этом банки, имея необходимые средства и специалистов, оказываются достаточно защищенными, тогда как на стороне клиента очень часто возникают трудности.

Зачастую клиенты банка используют один компьютер для повседневной деятельности и для осуществления банковских операций через Интернет-банкинг, а также для доступа к различным ресурсам сети Интернет. Таким образом, создается высокий риск заражения компьютера вредоносными программами, осуществляющими атаку систем ДБО. Но даже зная это, клиенты пренебрегают защитой своего компьютера и либо совсем не используют антивирусные программы, либо устанавливают такое программное обеспечение от сомнительных производителей, бесплатные варианты с низкой функциональностью.

Также «тонким» местом любой системы ДБО является аутентификация: клиент должен быть уверен, что он работает в данный момент с банком, а банк, соответственно, должен быть уверен, что к нему обратился клиент. Простые средства аутентификации типа «логин-пароль» на данный момент уже не актуальны, так как успешная атака таких вариантов защиты осуществляется мошенниками очень легко и потеря средств практически гарантирована. Минимум, который банк должен предложить клиенту для использования систем ДБО, – двухфакторная аутентификация. Средством осуществления двухфакторной аутентификации может использоваться USB-токены (или смарт-карты), в которых хранение ключей и сертификатов, необходимых к доступу к системе Интернет-банка, реализовано на аппаратном уровне в не извлекаемом виде. Весной 2010 года мошенниками в ответ на переход банков к использованию смарт-карт и USB-токенов внедрили вредоносные программы и, пользуясь тем, что некоторые клиенты оставляли свои USB-токены с секретными ключами электронной подписи, постоянно подключенными к компьютеру, создавали и подписывали ложные платежные поручения, дистанционно управляя компьютером клиента. Поэтому желательно иметь не просто двухфакторную, а многофакторную аутентификацию[22].

За счет увеличения числа людей, использующих онлайн-банкинг через мобильные телефоны, смартфоны, планшеты и iPad, растет риск мошенничества на базе Android. 2011 год считается рекордным с точки зрения активности вредоносных программ не только в целом, но и на мобильных устройствах.

По данным отчета компании McAfee одной из самых популярных форм мошенничества за отчетный период стали так называемые «троянские кони» для рассылки SMS-сообщений, занимающихся сбором персональной информации. Еще одним способом кражи информации пользователя стало использование вредоносного программного обеспечения, которое записывает телефонные разговоры и пересылает их злоумышленникам. Примерами таких программ являются Android/Nicki-Spy.A и Android/GoldenEagle.A. Незащищенные «рабочие» смартфоны и прочие мобильные устройства представителей компаний являются особенно привлекательными для мошенников, так как их оснащенность настолько велика, что они могут получить не только корпоративную информацию о функционировании конкретной компании, но и доступ в корпоративную сеть, если, к примеру, смартфон работника подключен к офисному Wi-Fi.

Кроме этого одним из приемов мошенников также являются таргетированные или фишинговые атаки клиентов банка. При фишинге совершается массовые рассылки электронных писем от имени популярных брендов, а также личных сообщений внутри различных сервисов, например, от имени банков, сервисов. В письме часто содержится прямая ссылка на сайт, внешне неотличимый от настоящего, либо на сайт с редиректом (редирект используют для перенаправления посетителей сайта с одной страницы на другую). После того, как пользователь попадает на поддельную страницу, мошенники пытаются различными психологическими приёмами побудить пользователя ввести на поддельной странице свои логин и пароль, которые он использует для доступа к определенному сайту, что позволяет мошенникам получить доступ к банковским счетам.

Для реализации защиты от финансового мошенничества в сфере использования систем ДБО требуются высокий уровень инвестиций и продуманный подход к информационной безопасности со стороны банков. Иначе трудно ожидать стабильного дохода от приобретающей массовый характер услуги – интернет-банкинга из-за репутационных и прямых финансовых потерь банка, колоссальных убытков клиентов и снижения доверия к самой системе ДБО [22].