IT@BANK 2014: Ciuciubabka z e-złodziejem

Marcin Złoch

Sytuacja wymagała od dawna pilnych rozwiązań, dlatego należy cieszyć się, że polskie prawo wkrótce zostanie dostosowane do współczesnego stanu rozwoju takich usług, jak: bankowość elektroniczna czy cloud computing. Motorem zmian jest wydana przez Komisję Nadzoru Finansowego Rekomendacja D. Do czerwca 2013 r. banki i instytucje finansowe miały czas na przygotowanie tzw. analizy luk i przesłanie do KNF planu ich likwidacji. Jego wdrożenie powinno nastąpić do 31 grudnia 2014 r. Można zakładać, że po tym terminie, bezpieczeństwo teleinformatyczne w sektorze usług finansowych znacząco się poprawi – przynajmniej w dużych instytucjach, które mają odpowiednie zasoby ludzkie i środki, by kompleksowo zająć się wdrożeniem zaleceń Komisji w obszarach objętych Rekomendacją D.

W oku cyklonu

Tylko w 2013 r. zidentyfikowano prawie milion złośliwych programów atakujących użytkowników systemów bankowych, dzięki czemu wielu atakom udało się zapobiec. Do internetowych kradzieży przestępcy najczęściej wykorzystują konie trojańskie, które przekazywane są w formie pozornie nieszkodliwych plików – dokumentów, animacji, wygaszaczy ekranu czy odpowiednio spreparowanych programów antywirusowych. Jednak ostatnio eksperci zidentyfikowali ataki, które podmieniają numer konta bankowego podczas kopiowania go do formularza przelewu internetowego. Haker próbuje się podszyć pod jakiś znany i bezpieczny program, a zainfekowane załączniki przypominają typowe pliki PDF. Celem złośliwej aplikacji jest kradzież pieniędzy z kont bankowych. Zagrożenie zidentyfikowane przez ekspertów z laboratorium firmy ESET jako Win32/ClipBanker.C. Zagrożenie rozsyłane jest w e- -mailach jako załącznik o nazwie: Dowód_wpłaty.exe, z ikoną przypominającą plik PDF. Wszystko po to, by zasugerować, że jest to dowód wpłaty i w ten sposób skłonić ofiarę do kliknięcia. Po kliknięciu w plik trojan pobiera kolejne zagrożenie o nazwie: PDF_Reader. exe z serwera znajdującego się w polskiej domenie. I właśnie ono pobiera z tego samego serwera numer konta bankowego, na który ma zostać podmieniony skopiowany numer przechowywany w schowku. Następnie rozpoczyna regularne sprawdzanie zawartości schowka systemowego, czekając na moment, w którym pojawi się w nim 26-cyfrowy numer zapisany w określonym formacie. Zagrożenie ma także zapisany w swoim kodzie numer konta bankowego i wykorzystuje go wtedy, gdy nie uda się pobrać numeru z serwera. Wysyła także do serwera w tej samej polskiej domenie parametr o nazwie tekst ustawiony na wartość dzalam, co pozwala autorowi zagrożenia ...