Οι ερευνητές βρίσκουν νέο κακόβουλο λογισμικό στο σημείο πώλησης που ονομάζεται BlackPOS

Ένα νέο κομμάτι κακόβουλου λογισμικού που μολύνει το σημείο- (POS) έχει ήδη χρησιμοποιηθεί για να υπονομεύσει χιλιάδες κάρτες πληρωμών που ανήκουν σε πελάτες τραπεζών των ΗΠΑ, σύμφωνα με ερευνητές της ομάδας-ΙΒ, μιας εταιρείας ασφάλειας και υπολογιστή ιατροδικαστικής που εδρεύει στη Ρωσία.

Το malware POS δεν είναι ένα νέο είδος αλλά η χρήση του γίνεται ολοένα και περισσότερο από εγκληματίες του κυβερνοχώρου, δήλωσε ο Αντρέι Κομάροφ, επικεφαλής των διεθνών προγραμμάτων στην ομάδα IB, την Τετάρτη μέσω ηλεκτρονικού ταχυδρομείου.

Ο Komarov δήλωσε ότι οι ερευνητές του Group IB έχουν εντοπίσει πέντε διαφορετικές απειλές malware POS. Ωστόσο, το πιο πρόσφατο, το οποίο βρέθηκε νωρίτερα αυτό το μήνα, έχει ερευνηθεί εκτεταμένα, οδηγώντας στην ανακάλυψη ενός διακομιστή εντολών και ελέγχου και στην αναγνώριση της συμμορίας που διακινδυνεύει από αυτό, λέει. (9)> Το κακόβουλο λογισμικό διαφημίζεται στα υπόγεια φόρουμ του Διαδικτύου κάτω από το μάλλον γενικό όνομα του "Dump Memory Grabber by Ree", αλλά ερευνητές από την ομάδα αντιμετώπισης έκτακτων καταστάσεων (CERT-GIB) του Group-IB) έχουν δει έναν πίνακα διαχείρισης που σχετίζεται με το κακόβουλο λογισμικό που χρησιμοποίησε το όνομα "BlackPOS".

Μια ιδιωτική επίδειξη βίντεο του πίνακα ελέγχου που δημοσιεύθηκε σε ένα φόρουμ υψηλού προφίλ για το κυβερνοεπαγγελματικό λογισμικό από τον συγγραφέα κακόβουλου λογισμικού υποδεικνύει ότι χιλιάδες κάρτες πληρωμών που εκδίδονται από τις ΗΠΑ οι τράπεζες, όπως η Chase, η Capital One, η Citibank, η Union Bank of California και η Nordstrom Bank, έχουν ήδη συμβιβαστεί.

Η ομάδα IB έχει προσδιορίσει τον ζωντανό διακομιστή εντολών και ελέγχου και έχει ειδοποιήσει τις πληγείσες τράπεζες, VARIA και αμερικανικές υπηρεσίες επιβολής του νόμου σχετικά με την απειλή, δήλωσε ο Komarov.

Το BlackPOS μολύνει υπολογιστές που εκτελούν Windows που είναι μέρος των συστημάτων POS και διαθέτουν αναγνώστες καρτών συνδεδεμένους με αυτούς. Αυτοί οι υπολογιστές βρίσκονται γενικά κατά τη διάρκεια αυτοματοποιημένων ανιχνεύσεων στο Διαδίκτυο και έχουν μολυνθεί επειδή έχουν αποδιαρθρώσει τρωτά σημεία στο λειτουργικό σύστημα ή χρησιμοποιούν απομακρυσμένα διαπιστευτήρια απομακρυσμένης διαχείρισης, ανέφερε ο Komarov. Σε κάποιες σπάνιες περιπτώσεις, το κακόβουλο λογισμικό αναπτύσσεται επίσης με τη βοήθεια εσωτερικών, δήλωσε.

Μόλις εγκατασταθεί σε ένα σύστημα POS, το κακόβουλο λογισμικό εντοπίζει τη διαδικασία λειτουργίας που σχετίζεται με τον αναγνώστη πιστωτικών καρτών και κλέβει δεδομένα κάρτας 1 και Track 2 από τη μνήμη του. Αυτές είναι οι πληροφορίες που αποθηκεύονται στη μαγνητική ταινία καρτών πληρωμής και μπορούν αργότερα να χρησιμοποιηθούν για την κλωνοποίηση τους.

Σε αντίθεση με ένα διαφορετικό POS κακόβουλο λογισμικό που ονομάζεται vSkimmer που ανακαλύφθηκε πρόσφατα, το BlackPOS δεν διαθέτει μέθοδο εξαγωγής δεδομένων εκτός σύνδεσης, ανέφερε ο Komarov. Οι πληροφορίες που συλλέγονται μεταφορτώνονται σε έναν απομακρυσμένο διακομιστή μέσω του FTP

Ο συγγραφέας του κακόβουλου λογισμικού ξέχασε να αποκρύψει ένα ενεργό παράθυρο του προγράμματος περιήγησης στο οποίο συνδεόταν με τον Vkontakte - έναν ιστότοπο κοινωνικής δικτύωσης δημοφιλής στις ρωσόφωνες χώρες - το ιδιωτικό βίντεο επίδειξης. Αυτό επέτρεψε στους ερευνητές του CERT-GIB να συγκεντρώσουν περισσότερες πληροφορίες για τον ίδιο και τους συνεργάτες του, δήλωσε ο Komarov.

Ο συγγραφέας του BlackPOS χρησιμοποιεί το ψευδώνυμο "Richard Wagner" στο Vkontakte και διαχειρίζεται μια ομάδα κοινωνικής δικτύωσης, το ρωσικό υποκατάστημα του Ανώνυμου. Οι ερευνητές του Group-IB διαπίστωσαν ότι τα μέλη αυτής της ομάδας είναι ηλικίας κάτω των 23 ετών και πωλούν υπηρεσίες DDoS (διανεμημένη άρνηση παροχής υπηρεσιών) με τιμές που ξεκινούν από US $ 2 ανά ώρα.

Οι εταιρείες θα πρέπει να περιορίζουν την απομακρυσμένη πρόσβαση στα συστήματα POS τους ένα περιορισμένο σύνολο αξιόπιστων διευθύνσεων IP (Internet Protocol) και θα πρέπει να βεβαιωθεί ότι έχουν εγκατασταθεί όλες οι ενημερωμένες εκδόσεις ασφαλείας για το λογισμικό που τρέχει πάνω τους, ανέφερε ο Komarov. Όλες οι ενέργειες που εκτελούνται σε τέτοια συστήματα θα πρέπει να παρακολουθούνται, είπε