Sikkerhed eksperter med Kaspersky Lab rapporterer, at en helt ny stamme af den berygtede ZeuS Trojan rammer banksystemer over hele verden. Den nye trussel Trojan-Banker.Win32.Chthonic, eller bare Chthonic, har allerede ramt et hundrede og halvtreds banker og tyve betalingssystemer i femten lande. Pengeinstitutter i Spanien, Rusland, Italien, Japan og Storbritannien synes at være de primære mål for Chthonic angreb.
Vejen til Chthonic
Forfatterne af Chthonic har designet den til at udnytte pc-funktioner sammen med tastaturet og webkamera for at stjæle netbank legitimationsoplysninger, ligesom adgangskoder. De slyngler kan også oprette forbindelse til den kompromitterede maskine fra et andet sted, og befaler det fuldføre forskellige transaktioner.
Chthonic våben af valg - web injektorer, som kan gøre det muligt for truslen om at indsætte sin skadelig kode og billeder i koden af bankens hjemmeside indlæses direkte fra den berørte computer. Dette gør det muligt skurke at få deres hænder på offerets pinkoder, telefonnummer og engangs-adgangskoder, sammen med eventuelle login detaljer (brugernavn og adgangskode) at brugeren har indtastet.
Chthonic distribution og Infektion
Eksperter fortæller, at den vigtigste infektion metode bruges til at distribuere Trojan-Banker.Win32.Chthonic til den målrettede maskine er gennem ondsindede e-mails, der indeholder exploits. I dette tilfælde, E-mailen indeholder et bilag med en .doc-forlængelse, hvis formål er at etablere en bagdør for skadelig kode. I den vedhæftede fil, Der er et specielt designet RTF-dokument, der udnytter CVE-2014-1761 sårbarhed i Microsoft Office-produkter.
Da truslen downloades, ondsindet kode, der indeholder en krypteret konfigurationsfil er indsat i Msiexec.exe proces, hvilket resulterer i en lang række ondsindede moduler er installeret på kompromitteret computer.
Disse moduler kan udføre følgende opgaver:
- Saml systemoplysninger
- Aktivér fjernadgang
- Stjæle passwords, der er gemt
- Log tastetryk
- Optag lyd og video ved hjælp af mikrofonen og webkamera
En anden teknik ansat af angriberne at levere Chthonic er ved at downloade den trussel mod ofrets maskine via Andromeda bot (aka Backdoor.Win32.Androm).
Chthonic s ofre
Eksperter rapporterer, at i tilfælde af en japansk bank, der er blevet ramt af Trojan-Banker.Win32.Chthonic, malware formået at skjule advarslerne fra banken og indsprøjte script, der lader skurke udfylde en række transaktioner gennem offerets konto i stedet.
Et andet frisk eksempel er en russisk pengeinstitut, hvis klienter blev præsenteret med falske bank-sider det øjeblik, de blev logget på. Til dette formål, den trojanske har skabt en iframe med en phishing kopi af websiden har nøjagtig samme størrelse som det oprindelige vindue.
Trojan-Banker.Win32.Chthonic ligner andre trojanske heste i naturen, for eksempel:
- Chthonic bruger samme downloader og krypteringsforetagendet som Andromeda bots
- Bruger en virtuel maskine, der minder om den, der anvendes i Kins malware
- Har samme kryptering teknik som Zeus V2 og Zeus AES Trojans
Heldigvis, en stor del af de kodefragmenter ansat af Chthonic for web injektioner kan ikke bruges længere, på grund af den hurtige reaktion af bankerne. I nogle tilfælde, de har ændret deres sider struktur og i andre - domænerne, for.
Senior Malware analytiker hos Kaspersky Lab, Yury Namestnikov siger, at opdagelsen af Chthonic er et klart tegn på, at Zeus Trojan stadig er under udvikling. Malware forfattere beskæftiger de nyeste teknikker, som blev hjulpet af lækagen af kildekoden Zeus. Ifølge eksperten, Chthonic er det næste niveau i ZeuS'evolution.
Spy Hunter gratis scanner vil kun detektere truslen. Hvis du ønsker, at truslen skal fjernes automatisk, du nødt til at købe den fulde version af anti-malware værktøj. Læs mere om SpyHunter Anti-Malware værktøj
