Tech

Vírus fenyegetheti a bankszámláinkat

Az ESET kutatói egy új banki kártevőt fedeztek fel, ami egészen új technikával képes átjutni a böngészők védelmén. A BackSwap elnevezésű vírus kéretlen levelekkel terjed, amelyek egy hamis JavaScript letöltőt tartalmaznak. Mázli, hogy a kártevő egyelőre csak a lengyel felhasználókat fenyegeti.

A banki kártevők (bankerek) népszerűsége az elmúlt években csökkent a kiberbűnözők körében, főleg azután, hogy az antivírusgyártók és a böngészők fejlesztői kiemelt figyelmet fordítottak a trójai programok elleni védelemre. Ennek eredményeként a kiberbűnözők olyan más típusú kártevőkre fókuszáltak, mint a zsarolóvírusok, kriptobányász programok és a kriptovaluta-lopó megoldások.

Az ESET szakemberei viszont nemrégiben felfedeztek egy új banki kártevőcsaládot, ami innovatív technikával képes manipulálni a böngészőket: a böngészőtevékenység kifürkészéséhez szükséges bonyolult befecskendezéses eljárás (code injection) helyett az új kártevő ugyanis a Windows üzenetláncait vizsgálja, és azokban online banki tevékenységre utaló jelek után kutat.

A kártevő veszélye, hogy a kód nem függ a böngésző architektúrájától és verziójától, így egyetlen kód minden böngészőben működik.

HOGYAN MŰKÖDIK?

A kártevő az online bankolás észlelése után a felhasználó tudtán kívül egy rosszindulatú JavaScriptet tölt be az aktuális weboldalra a böngésző JavaScript konzolján keresztül, vagy pedig észrevétlenül közvetlenül a címsorba. Régebbi mintákban a program beilleszti a vágólapra a rosszindulatú szkriptet, és szimulálja a fejlesztői konzol megnyitásához szükséges billentyűkombináció leütését (CTRL + SHIFT + J a Google Chrome-ban, a CTRL + SHIFT + K Mozilla Firefoxban), a CTRL + V használatával beilleszti a vágólap tartalmát, majd elküldi az ENTER parancsot a konzol tartalmának végrehajtásához. Végül a rosszindulatú program továbbítja a konzol bezárásához szükséges billentyűkombinációt is.

A böngészőablak a folyamat során láthatatlan, így az átlagfelhasználónak úgy tűnhet, mintha a böngésző egy pillanatra lefagyna.

Ezután a banki kártevő lefuttat egy meghatározott szkriptet minden megcélzott bank felé, mivel minden banki weboldal más-más forráskóddal és változókkal rendelkezik. Ezeket a szkripteket olyan oldalakba fecskendezik be, amiket a rosszindulatú program átutalási kérelem elindításaként azonosít (pl. egy közüzemi számla kifizetése).

Az ily módon befecskendezett parancsfájlok titokban helyettesítik az eredetileg címzett bankszámlaszámát egy másikkal, így amikor az áldozat gyanútlanul elküldi a bankátutalást, a pénz igazából már a támadók számlájára megy. A jogosulatlan fizetésekkel szembeni védelmek, mint például a kétfaktoros azonosítás, itt nem segítenek, mivel a tulajdonos saját maga indítja el a manipulált átutalást.

HOGYAN TERJED?

A banki vírus rosszindulatú spam kampányokon keresztül terjed. A levelekben egy hamis JavaScript letöltő található, amely a Nemucod családból származik. A spamkampány egyelőre csak a lengyel felhasználókat célozza, de ez a jövőben változhat.

Az ESET védelmi megoldásai már felismerik és blokkolják a Win32/BackSwap.A trojan programot, és vírusvédelmi szakemberek a böngészők fejlesztőit is figyelmeztették már erre az új kártékony technológiára. A hatékony védekezéshez a naprakész vírusvédelem mellett érdemes lehet valamilyen JavaScript blokkoló/ellenőrző kiegészítőt is telepíteni, valamint fontos, hogy a kéretlen üzenetekkel szemben egészséges gyanakvással, biztonságtudatos hozzáállással éljünk.

Ajánlott videó

Olvasói sztorik