Istraživači otkrivaju veliku operaciju cyberfrauda usmjerenu na australske banke

Sigurnosni istraživači ruske tvrtke za istraživanje cyber kriminala Group-IB otkrili su operaciju cyberfraud koja koristi specijalizirane financijske zlonamjerne programe kako bi ciljala kupce nekoliko glavnih australskih banaka.

Više od 150.000 računala, od kojih većina pripadaju australskim korisnicima, zaražene su ovim zlonamjernim softverom od 2012. i dodane su botnetu koji su istraživači Group-IB nazvali "Kangaroo" ili "Kangoo", nakon što je logotip klokanova korišten na naredbi i kontroli poslužitelja, rekao je Andrey Komarov, šef međunarodnih projekata u grupi IB, u srijedu putem e-pošte

Zlonamjerni softver je izmijenjena inačica Carberp-a, financijskog Trojanskog programa koji je do sada korišten prije svega protiv korisnika Internet bankarstva iz zemalja ruskog govornog područja. U stvari, ista Carberpova varijanta koristi se kao dio druge operacije usmjerene na korisnike Sberbanka u Rusiji, rekao je Komarov.

[Više: Kako ukloniti zlonamjerni softver s vašeg Windows računala]

Poput većine financijskih trojanskih programa, Carberp podržava upotrebu "Web Injects" - posebnih skripti koje upozoravaju zlonamjernog softvera na interakciju s određenim internetskim bankovnim web stranicama. Ove skripte omogućuju napadačima da pristaju na žrtvinu aktivnu online bankarsku radnju, pokreću prijevare prijevara, skrivaju salda računa i prikazuju obrasce i poruke koje izgledaju kao da potječu iz banke.

Varijanta Carberp koja cilja australske korisnike sadrži web injekcije za internet bankarske web stranice Commonwealth banke, banke Queensland, Bendigo banke, Adelaide banke i ANZ. Zlonamjerni softver je u stanju oteti odredište prijenosa novca u stvarnom vremenu i koristi određene granice prijenosa kako bi se izbjeglo podizanje crvenih zastava, rekao je Komarov.

Grupa IB smatra da su cyber-kriminalci iza ove operacije smješteni u državama bivšeg Sovjetskog saveza. Međutim, grupa ima kontakte s uslugama muljeva u Australiji, kao i vlastite "korporativne kapljice" - bankovne račune koje su registrirane za prijevare - u zemlji, kazao je Komarov.

Napadači stvaraju tisuće web stranica koje su napunjene pojmovima iz bankarsku industriju koja se kasnije pojavljuje u rezultatima pretraživanja web stranica za određene ključne riječi, tehnika poznata kao optimizacija tražilica za crnu šešir, izjavio je Komarov. Korisnici koji posjećuju te stranice preusmjeravaju se na napade na web lokacije koje ugrožavaju hostove zbog ranjivosti u pluginsima preglednika kao što su Java, Flash Player, Adobe Reader i drugi.

Broj 150.000 zaraženih računala nije broj trenutačno aktivnih botnet klijentima, no povijesni broj jedinstvenih infekcija od 2012. godine prikupljen je od botnetovog komandnog i kontrolnog poslužitelja, rekao je Komarov. Također, svi korisnici koji su pogođeni zapravo ne koriste online bankarstvo, rekao je. Procjenjuje se da je stopa otprilike jedna od svake tri žrtve, procjenjuje.

Group-IB je rekao da surađuje s ciljanim bankama i s njima dijeli informacije prikupljene s botnetovim zapovjedništvom i kontrolnim poslužiteljem, uključujući kompromitirane vjerodajnice računa i Adrese internetskog protokola zaraženih računala.