Uwaga na nowy malware

[Kamelka]

Uwaga! Malware podmieniający numer konta podczas kopiowania ze schowka Windows

Na początku października otrzymaliśmy informację o nowym rodzaju zagrożenia dla polskich użytkowników bankowości elektronicznej. Uzyskaliśmy próbkę złośliwego oprogramowania, napisanego w Visual Basic 6, którego mechanizm działania był nadzwyczaj prosty jak na zagrożenia tego typu. Jego działanie opierało się na podmienianiu numeru konta na numer konta kontrolowany przez cyberprzestępców. Podmiana ta następowała jeśli jakikolwiek numer konta został skopiowany do schowka systemu Windows.

Szczegóły techniczne

Komputer został zainfekowany za pomocą wiadomości e-mail, do której załączone było archiwum zip, w którym znajdował się plik .scr (wygaszacz systemu Windows). Użytkownik rozpakował archiwum myśląc, że w środku znajdują się pliki przeznaczone dla niego. Jest to typowy atak phishingowy. Plik wygaszacza ekranu miał ikonę oraz nazwę, która sprawiała, że użytkownik mógł uznać go za plik PDF. Następnie malware tworzy pliki, które są podobne do znanych plików systemu Windows (przedstawione na zrzucie ekranu po lewej).

W celu zapewnienia uruchomienia przy starcie systemu, dodaje się on do klucza rejestru: HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Run. Dodatkowo, ukrywa swoją obecność przejmując wywołanie niektórych funkcji WinAPI. Dzięki temu, mimo obecności wpisu w rejestrze ciężko jest odnaleźć plik na dysku, gdyż nie jest widoczny nawet po włączeniu opcji pokazywania plików ukrytych i systemowych.

Schemat działania

Malware, po stworzeniu wcześniej wymienionych plików, uruchamia wszystkie te komponenty. Każdy z nich jest stworzony w innym celu. Powyżej znajduje się schemat procesów uruchamianych przez to złośliwe oprogramowanie. Elementem, który komunikuje się z serwerem C&C jest taskmgr.exe. Komunikacja odbywa się na dwa sposoby – za pomocą protokołu SMTP (!!!), wysyłając e-mail korzystając z danych logowania zawartych w kodzie oprogramowania. E-mail zawiera dane dotyczące komputera (system operacyjny, nazwa użytkownika etc.). Dzięki temu cyberprzestępcy są w stanie śledzić infekcję. Oprócz tego wysyłane jest żądanie HTTP do strony, która generuje statystyki odwiedzin.

Za każdym razem kiedy użytkownik skopiuje 26 cyfrowy numer do schowka (albo jako jedna liczba, albo w formacie xx xxxx xxxx xxxx xxxx xxxx xxxx) jest on podmieniany na inny, zapisany w oprogramowaniu numer, zachowując format, który został użyty przez użytkownika. Dzieje się to również wtedy, kiedy numer rachunku jest umieszczony w tekście skopiowanym do środka. Przykład obrazujący to zachowanie można zobaczyć na filmie poniżej.


Oznacza to, że za każdym razem kiedy kopiujemy jakikolwiek numer rachunku do schowka, może się to zdarzyć na przykład przy kopiowaniu numeru rachunku:
z faktury, którą chcemy zapłacić,
ze strony internetowej aukcji, gdy chcemy zapłacić za nią przelewem,
z wiadomości e-mail zawierającej numer rachunku, na który mamy dokonać wpłaty,
z komunikatora internetowego, gdy koleżanka bądź kolega wysyła nam swój numer konto do dokonania przelewu.
Podsumowanie

Pomimo swojej prostoty jest to bardzo efektywny sposób oszukania użytkowników. Dlatego tak istotne jest sprawdzenie numeru rachunku na stronie, na której potwierdzamy wykonanie przelewu. CERT Polska był w stanie ustalić, iż zostało zainfekowanych ponad 3000 użytkowników. Malware był zdecydowanie skierowany do polskich użytkowników – numer konta bankowego, używanego do kradzieży środków, był w jednym z polskich banków. Poniżej znajdują się skróty MD5 wszystkich analizowanych próbek.

źródło:cert.pl

Spoiler: pokaż

Zaloguj lub Zarejestruj się aby zobaczyć!

 

[Kamelka]

Jak rozpoznać i unieszkodliwić malware podmieniający numer konta podczas kopiowania ze schowka Windows.

Jak rozpoznać i unieszkodliwić VBKlip?

Zaloguj lub Zarejestruj się aby zobaczyć!

pisaliśmy na temat nowego malware’u, nazwanego przez nas VBKlip, podmieniającego numer rachunku bankowego, który był skopiowany do schowka. W celu sprawdzenia czy nasz komputer jest zainfekowany wystarczy skopiować dowolny numer przypominający formatem numer rachunku bankowego (na przykład ten: 12 1234 1234 1234 1234 1234 1234) i spróbować go wkleić w edytorze tekstu (np. Microsoft Word, Notatnik), a następnie sprawdzić czy wklejony numer jest taki sam jak skopiowany.

Jak usunąć malware?

Aby usunąć wspomniane złośliwe oprogramowanie wystarczy zastosować

Zaloguj lub Zarejestruj się aby zobaczyć!

.
W pierwszej kolejności należy wcześniej pobrać i rozpakować program SysInternals Autoruns (dostępny pod adresem:http://technet.microsoft.com/en-us/sysinternals/bb963902.aspx). Archiwum powinno zawierać cztery pliki:
1 Autoruns.chm
2 Autoruns.exe
3 Autorunsc.exe
4 Eula.txt

Po uruchomieniu pliku Autoruns.exe powinno pojawić się nam okno główne programu autoruns, jak na zdjęciu poniżej:

Jak widać program jest bardzo rozbudowany. Listuje on wszystkie znalezione na komputerze wpisy dotyczące automatycznego uruchamiania programów podczas startu systemu. Interesujące dla nas są tak naprawdę dwie zakładki, zawierające miejsca w których najczęściej instaluje się złośliwe oprogramowanie: Logon oraz Scheduled Tasks.

Identyfikacja oraz dezaktywacja złośliwego oprogramowania Aby nieco zawęzić listę podejrzanych możemy skorzystać z opcji ukrycia wpisów dotyczących elementów systemu Windows oraz programów firmy Microsoft. Z menu Options wybieramy Hide Microsoft and Windows Entries (jak na obrazku)

Jedną z cech charakterystycznych dla złośliwego oprogramowania jest lokalizacja pliku (kolumna Image path). Jeżeli wpis ten zaczyna się od C:\Documents and settings\..., to z dużym prawdopodobieństwem jest to ten malware. W próbce, którą otrzymaliśmy zawsze miał nazwę AcroRd.exe. Należy jednak zwrócić uwagę, że malware może zapisać się w kilku lokalizacjach pod różnymi nazwami. Na przykład na poniższym obrazku są dwa różne wpisy odnoszące się do tego samego pliku. W takim przypadku należy wyłączyć oba wpisy klikając w przycisk wyboru znajdujący się na lewo do wpisu.

Wyłączając wszystkie podejrzane wpisy i restartując komputer sprawdźmy jeszcze raz czy numery kont są podmieniane. Jeśli nie są oznacza to, że pozbyliśmy się infekcji.

źródło: cert.pl

Spoiler: pokaż

Zaloguj lub Zarejestruj się aby zobaczyć!

 

[antbil007]

...Zagrożenie to jest skierowane w Polaków – wciąż występują w nim tylko polskie numery kont i nie otrzymaliśmy żadnej próbki, która podmieniałaby zagraniczne numery rachunków bankowych. Dodatkowym czynnikiem utrudniającym walkę z VBKlip jest nieskuteczność programów antywirusowych w jego przypadku.

Taki wyhodowany w kanciapie: prosty, pasujący do polskich numerów kont? Polak potrafi? .