Malware for banktjenester blir sløvere, advarsler om sikkerhetsfirmaer

Finansielle malwareforfattere prøver å unngå nye nettbaserte sikkerhetssystemer ved å returnere til mer tradisjonelle phishing-lignende legitimasjonsteknikker, ifølge forskere fra sikkerhetsfirmaet Trusteer.

De fleste finansielle trojaner Programmer som brukes av cyberkriminelle i dag, er i stand til å manipulere i sanntid med nettbaserte banktjenester som initieres av ofre på sine datamaskiner. Dette inkluderer evnen til å utføre falske transaksjoner i bakgrunnen og gjemme dem fra brukeren ved å endre kontosaldoen og transaksjonshistorikkvisningen i nettleseren.

Som et resultat har bankene begynt å distribuere systemer for å overvåke hvordan kunder kommuniserer med sine nettsteder og oppdage uregelmessigheter som kan indikere skadelig programvareaktivitet. Det ser imidlertid ut til at noen malware-skapere vender tilbake til mer tradisjonelle teknikker som innebærer å stjele legitimasjon og bruke dem fra en annen datamaskin for å unngå å bli oppdaget.

[Videre lesing: Slik fjerner du skadelig programvare fra Windows-PCen]

Kjente trojaner, ny teknikk

Trusteerforskere har nylig oppdaget endringer i Tinba og Tilon finansielle trojanske programmer som er utformet for å hindre at ofre får tilgang til de virkelige nettbankwebstedene og erstatter innloggingssidene med skyggeversjoner.

"Når Kunden får tilgang til bankens nettside, malware presenterer en helt falsk nettside som ser ut som bankinnloggesiden, sier Trusteers sjefteknolog, Amit Klein, torsdag i et blogginnlegg. "Når kunden går inn på sine påloggingsinformasjon til den falske siden, presenterer malware en feilmelding som hevder at nettbankdiensten for øyeblikket ikke er tilgjengelig. I mellomtiden sender malware de stjålne påloggingsopplysningene til svindleren som deretter bruker en helt annen maskin til logg inn i banken som kunde og utfører bedrageriske transaksjoner. "

Hvis banken bruker multifaktorautentisering som krever engangspassord (OTP), krever malware også denne informasjonen på den falske siden.

Denne typen legitimasjonstyveri ligner på tradisjonelle phishing-angrep, men det er vanskeligere å oppdage fordi nettadressen i nettleserens adresselinje er den ekte nettsiden og ikke en falsk.

"Det er ikke så sofistikert som å injisere transaksjoner i webbanksessioner i sanntid, men det oppnår sitt mål om å unnslippe deteksjon, sier Klein.

Denne funksjonen "full side utskifting" er tilstede i Tinba versjon 2, som Trusteer-forskerne har nylig du oppdaget og analysert. Malware kommer med støtte for Google Chrome, og forsøker å begrense nettverkstrafikken ved å lagre bilder lastet på den falske siden lokalt.

Allerede i bruk

I henhold til Trusteer-forskerne er Tinba v2 allerede brukt i angrep mot store økonomiske institusjoner og forbrukerwebtjenester.

"Bankene har alltid møtt to angrepssvektorer i nettkanalen," sa Klein. "Den første er legitimasjonstyveri. Det finnes ulike måter å utføre denne type angrep, inkludert malware, pharming og phishing. Den andre angrepvektoren er øktkapring som oppnås gjennom skadelig programvare. Disse to vektorer krever to forskjellige løsninger."

Banker bør sørge for at de har beskyttelse på plass mot begge angrepstyper, ellers vil cyberkriminelle raskt tilpasse sine teknikker, sa Klein. "Du kan ikke sette en lås på døren og la vinduet stå åpent."