Dridex – un alt troian ce vizează clienții băncilor din România

dianadragu — Sat, 31 Oct 2015 10:05:14 +0000

Bitdefender a adus în atenția publică o nouă campanie complexă de distribuție a troianului Dridex, prin mesaje de tip spam, ce vizează utilizatorii de servicii online oferite de două bănci din România. Aproape 90% din toate sistemele infectate se regăsesc în România, conform telemetriei realizate de Bitdefender.

Descriere

Evoluat din malware-ul Cridex, care la rândul său este succesorul cunoscutului troian Zeus, Dridex și-a făcut apariția la finalul anului 2014, fiecare campanie de propagare concentrându-se pe o anumită regiune a lumii.

Fiecare campanie Dridex pare să fie diferită : programul malițios se propagă fie printr-un fișier atașat la mesaje spam, fie prin link-uri (URL-uri). Mesajele spam par să fie trimise de la companii românești și pretind să conțină documente financiare importante pentru victimă. Noua campanie folosește pentru propagare link-uri care fac referire către un cod JavaScript ce se execută în browser și declanșează descărcarea unui downloader generic sau fișiere Word și Excel ce includ cod de tip macro. Prin deschiderea fișierului și activarea funcționalităților macro (dezactivate automat de programul Word pentru a evita riscurile de securitate) se lansează automat procesul de descărcare a virusului.

Dridex este un fișier DLL ce se injectează în procesul explorer.exe, de unde va monitoriza activitatea bancara si de navigare a victimei, indiferent de browserul folosit: Firefox, Google Chrome sau Internet Explorer. Mai mult decât atât, malware-ul creează o regulă de firewall nouă pentru a comunica cu serverele de comandă-control (C2) ale atacatorilor. Această regulă poate semnala victimelor o posibilă infecție.

Pentru a captura datele de autentificare, malware-ul folosește diferite module. Pentru banca care folosește tastatura virtuală la introducerea parolei, troianul face capturi de ecran la fiecare click de mouse. Pentru cealaltă bancă, troianul folosește un modul care injectează cod în pagina de autentificare.

Dridex este greu de identificat pe un calculator deja infectat. Pentru a rămâne nedepistat, acesta se adaugă la programele ce pornesc odată cu sistemul de operare, însă acest lucru se întâmplă doar înaintea închiderii calculatorului. Deși această caracteristică face infecția aproape invizibilă, ea poate fi utilă victimei deoarece în cazul unei pene de curent sau închiderii bruște a calculatorului, troianul nu se va mai putea executa, deoarece nu se afla în lista de aplicații care trebuie repornite. Cu toate acestea, este încă posibilă observarea infecției prin căutarea altor chei de registru, precum cea în care se stochează datele de configurare ale malware-ului (în care este stocat un volum mare de date):

HKEY_CURRENT_USERSoftwareMicrosoftWindowsCurrentVersionExplorerCLSID{some clsid}ShellFolder
Recomandări pentru utilizatori

CERT-RO recomandă tuturor utilizatorilor de servicii bancare online să manifeste atenție la modul de utilizare a acestora și să întreprindă următoarele măsuri de prevenție:

Utilizați soluții antivirus/antimalware eficiente și actualizate;
Nu deschideți mesajele email venite de la surse nesigure (expeditor necunoscut, subiect și conținut suspect) și a link-urilor sau atașamentelor conținute de acestea;
Dacă suspectați o posibilă infecție, puteți încerca o închidere forțată a sistemului pentru a opri derularea troianului la repornirea PC-ului.
În cazul în care constatați că autentificarea la serviciile bancare online nu a fost reușită, inclusiv în cazul mecanismelor de autentificare OTP (one time password), nu încercați de mai multe ori. În acest caz vă recomandăm să contactați banca ce oferă serviciul respectiv.

Recomandări pentru instituțiile financiar-bancare

În cazul băncilor, CERT-RO recomandă următoarele:

Securizarea sistemelor și serviciilor bancare online prin implementarea de mecanisme de autentificare în doi pași (two-factor authentication);
Protejarea utilizatorilor de servicii bancare online prin utilizarea de software specializat anti-fraudă;
Derularea de campanii de educare și informare a utilizatorilor cu privire la modul de utilizare a serviciilor online.

The post Dridex – un alt troian ce vizează clienții băncilor din România first appeared on Criminalitatea informatică.

Troianul DeathRing amenință smartphone-urile

Admin — Mon, 08 Dec 2014 19:11:05 +0000

Un nou troian mobil, denumit “DeathRing” este pre-încarcat pe smartphone-uri undeva în lanţul de aprovizionare, avertizează cercetătorii din cadrul firmei de securitate mobilă Lookout.

DeathRing este un troian considerat a fi de origine chineză care este mascat ca o aplicaţie ton de apel, însă care poate descărca SMS-uri şi conţinut browser de pe serverul său de comandă şi control pe telefonul victimei.

DeathRing ar putea folosi conţinutul SMS pentru a realiza phishing asupra informaţiilor personale ale victimei, utilizând, spre exemplu, mesaje text false care solicită aceste date.

Malware-ul ar putea folosi, de asemenea, conţinut browser pentru a determina victimele să descarce mai multe pachete de aplicaţii Android (APK-uri), care pot include mai multe programe malware.

Cercetătorii Lookout susţin că aplicaţia rău intenţionată este imposibil de înlăturat deoarece este pre-instalată în directorul de sistem.

Acest lucru este de interes pentru producătorii de echipamente originale şi pentru retaileri , deoarece compromiterea telefoanelor în lanţul de aprovizionare ar putea avea un impact semnificativ asupra loialităţii clienţilor şi a încrederii acestora în brand.

Afectând în principal smartphone-urile de nivel inferior cumpărate în ţările asiatice şi africane, acesta este al doilea exemplu semnificativ de malware mobil pre-instalat pe care Lookout îl descoperă pe telefoane în 2014.

Dispozitivele pe care DeathRing este pre-instalat provin până acum, în mare parte, de la producători de al treilea nivel. Principalele ţări afectate sunt Vietnam, Indonezia, India, Nigeria, Taiwan si China.

Cercetătorii afirmă că acest lucru semnalează o schimbare în strategia infractorilor cibernetici de a distribui malware mobil prin intermediul lanţului de aprovizionare.

La începutul acestui an, Lookout a detectat o alta piesă malware pre-instalată, denumită Mouabad. La fel ca DeathRing, Mouabad a fost pre-instalat, de asemenea, în lanţul de aprovizionare şi a afectat în principal ţările asiatice, însă cercetătorii au observat câteva astfel de cazuri şi în Spania.

Deşi este imposibil a înlătura DeathRing si Mouabad, deaorece acestea sunt pre-instalate în directorul de sistem al telefonului, cercetătorii Lookout recomandă utilizatorilor de telefoane mobile:

– să cunoască originea dispozitivelor pe care le cumpără;

– să descarce o aplicaţie de securitate mobilă pentru a se proteja împotriva malware-ului;

– să verifice regulat conturile telefonului, pentru a observa orice modificări neobişnuite.

The post Troianul DeathRing amenință smartphone-urile first appeared on Criminalitatea informatică.

troian | Criminalitatea informatică

Dridex – un alt troian ce vizează clienții băncilor din România

Troianul DeathRing amenință smartphone-urile