MajikPOS é o novo malware POS apenas descobertos e analisados por pesquisadores da TrendMicro. O malware está alvejando empresas na U.S. e no Canadá. Os investigadores acreditam que os ataques iniciados este ano em torno de janeiro 28.
Visão geral técnica do MajikPOS
O malware geralmente é projetado para roubar informações, mas precisa apenas de outro componente do servidor para realizar suas rotinas de raspagem de RAM. Seu nome vem do comando & painel do servidor de controle que recebe comando e envia dados exfiltrados, pesquisadores explicam. Infelizmente, Malware POS, MajikPOS incluído, está se tornando cada vez mais sofisticado e está ficando melhor em fugir dos mecanismos de defesa tradicionais.
relacionado: 5,761 Lojas Online infectados com malware, Administradores não me importo
Os pesquisadores da TrendMicro conseguiram descobrir os métodos que os hackers usaram para obter acesso a endpoints direcionados:
- Virtual Network Computing (VNC);
- Protocolo área de trabalho remota (RDP);
- Nomes de usuário e senhas fáceis de adivinhar;
- RATs instalados anteriormente.
Os invasores primeiro garantiram que o VNC e o RDP existiam e eram acessíveis, e prosseguiu com a impressão digital dos alvos. Em seguida, eles tentariam obter acesso por meio de nomes de usuário e senhas genéricos ou por meio de força bruta. Os pesquisadores também conseguiram descobrir o momento em que os RATs foram instalados nos endpoints direcionados – em algum lugar entre agosto e novembro, 2016.
Se o ponto final desperta o interesse dos malfeitores, eles usam uma combinação de VNC, RDP, Acesso RAT, linha de comando FTP (Protocolo de Transferência de Arquivos), e, às vezes, uma versão modificada do Ammyy Admin—um legítimo, ferramenta de administração remota disponível comercialmente - para instalar o MajikPOS baixando diretamente os arquivos geralmente hospedados em sites de hospedagem de arquivos gratuitos. No caso do Administrador Ammyy, seu recurso de gerenciador de arquivos é usado em vez disso. A versão modificada às vezes é chamada de VNC_Server.exe ou Remote.exe.
MajikPOS foi escrito em .NET que é considerado uma técnica incomum. Não obstante, não é o primeiro malware POS a usar .NET. Malware GamaPOS que foi descoberto em 2015 é o primeiro malware PoS documentado escrito na estrutura .NET.
Recursos do MajikPOS
O MajikPOS, da mesma forma que outros malwares modernos, também usa comunicação criptografada para que seja mais difícil detectá-lo no nível da rede. O malware explorou portas RDP abertas, o que não é invisível em tais ataques.
A TrendMicro também observou que os operadores do malware implantaram “ferramentas de hacking de movimento lateral comumente usadas”. Isso pode significar que os invasores mais tarde tentarão se infiltrar ainda mais na rede de destino.
relacionado: Cibercriminosos têm novos Targets - sistemas de pagamento online
Em outros incidentes, A TrendMicro testemunhou uma ferramenta de linha de comando aproveitada para implantar o MajikPOS, juntamente com outros malwares de PoS. Outro recurso que torna o MajikPOS notável é como ele tenta se esconder imitando nomes de arquivos comuns no Microsoft Windows.
Quanto à mitigação, TrendMicro diz que “cartões de crédito chip-and-pin configurados corretamente com criptografia de ponta a ponta (EMVs) não deve ser afetado por esta ameaça.” Infelizmente, terminais que não os suportam estão em risco. Para divulgação técnico completo, consulte a íntegra relatório.
Milena Dimitrova
Um escritor inspirado e gerente de conteúdo que está com SensorsTechForum desde o início do projeto. Um profissional com 10+ anos de experiência na criação de conteúdo envolvente. Focada na privacidade do usuário e desenvolvimento de malware, ela acredita fortemente em um mundo onde a segurança cibernética desempenha um papel central. Se o senso comum não faz sentido, ela vai estar lá para tomar notas. Essas notas podem mais tarde se transformar em artigos! Siga Milena @Milenyim
Me siga: