REKLAMA

REKLAMA

Kategorie
Zaloguj się

Zarejestruj się

Proszę podać poprawny adres e-mail Hasło musi zawierać min. 3 znaki i max. 12 znaków
* - pole obowiązkowe
Przypomnij hasło
Witaj
Usuń konto
Aktualizacja danych
  Informacja
Twoje dane będą wykorzystywane do certyfikatów.

Jak atakowane są banki cz. 2

Kaspersky Lab Polska

REKLAMA

REKLAMA

Artykuł zawiera przegląd metod wykorzystywanych obecnie przez cyberprzestępców do atakowania instytucji finansowych, w szczególności banków. Opisane tu trendy i zagadnienia są kluczowe jeśli chodzi o bezpieczeństwo danych, którymi dysponują współczesne instytucje finansowe Na koniec propozycja kilku sposobów mogących pomóc zapewnić ochronę przed zagrożeniami, które nieodłącznie wiążą się z bankowością online. Zapraszamy na drugą część artykułu.

Przekierowywanie ruchu

REKLAMA

Kolejną metodą wykorzystywaną przez cyberprzestępców jest przekierowywanie ruchu. Można dokonać tego na wiele sposobów, z których najłatwiejszym jest zmodyfikowanie pliku "hosts" systemu Windows.

REKLAMA

Plik ten, zlokalizowany w folderze %windows%\system32\drivers\etc, może zostać wykorzystany do obejścia sprawdzania DNS (Domain Name Server). DNS służy do tłumaczenia nazw domenowych, na przykład www.kaspersky.pl, na adresy IP. Nazwy domenowe stosowane są jedynie ze względu na wygodę użytkowników, natomiast komputery wykorzystują adresy IP. Jeżeli plik hosts zostanie zmodyfikowany, tak aby kierował określoną nazwę domenową na adres IP fałszywej strony, użytkownik zostanie nieświadomie przekierowany do miejsca przygotowanego przez cyberprzestępcę.

Kolejną metodą przekierowywania ruchu jest modyfikowanie ustawień serwera DNS. Zamiast próbować obejść sprawdzanie DNS ustawienia są zmieniane w taki sposób, że maszyna wykorzystuje inny, zainfekowany serwer DNS. Większość osób, które surfują po Internecie z domu, wykorzystuje serwer DNS należący do ich dostawców usług internetowych. W rezultacie, celem ogromnej większości tego typu ataków były stacje robocze.

REKLAMA

Jednak gdy dostęp do Internetu uzyskiwany jest przez router, najczęściej to właśnie router jest odpowiedzialny za centralne sprawdzanie DNS. Przeprowadzono wiele ataków na routery, których celem było zmodyfikowanie ustawień serwera DNS. Biorąc pod uwagę zwiększone zainteresowanie problemem braku odpowiedniego zabezpieczenia routerów, ataki te staną się prawdopodobnie bardziej rozpowszechnione. Ataki XSS mogą być wykorzystywane do modyfikowania pewnych kluczowych ustawień, takich jak wykorzystywany serwer DNS, poprzez skłonienie użytkownika do odwiedzenia określonej strony internetowej.

Dalszy ciąg materiału pod wideo

Inną metodą przekierowania ruchu jest umieszczenie na atakowanej maszynie trojana monitorującego odwiedzane strony. Gdy tylko użytkownik połączy się ze stroną banku (lub innej instytucji finansowej), trojan przekieruje ruch na fałszywą stronę internetową. Ruch może zostać przekierowany ze strony HTTPS na stronę HTTP (potencjalnie niezabezpieczoną). W takich przypadkach trojan potrafi zwykle ukryć ostrzeżenia wyświetlane przez przeglądarkę.

Jednak z punktu widzenia cyberprzestępców, metoda ta ma swoje słabe punkty: wykorzystywane trojany należą zwykle do grupy Browser Helper Object, co oznacza, że działają tylko w Internet Explorerze. Ponadto, mimo że ruch jest przekierowywany, nie musi być przetwarzany w czasie rzeczywistym, co daje ofierze możliwość skontaktowania się ze swoim bankiem w celu zablokowania transakcji.

Ataki typu Man-in-the-Middle

Bardziej zaawansowane szkodliwe oprogramowanie wykorzystuje atak MitM. Pozwala to cyberprzestępcom nie tylko na atakowanie większej liczby banków, ale również zapewnia wyższy zwrot, ponieważ dane są przetwarzane w czasie rzeczywistym. Atak MitM wykorzystuje zainfekowany serwer do przechwytywania całego ruchu między klientem a serwerem, tj. użytkownikiem a organizacją finansową. Chociaż użytkownik będzie myślał, że wszystko jest w porządku, gdy zostanie proszony o autoryzację transakcji, w rzeczywistości autoryzuje transakcję stworzoną przez cyberprzestępcę.

Szkodliwe oprogramowanie, które wykorzystuje ataki MiTM, zwykle ukrywa powiadomienia przeglądarki o fałszywych certyfikatach stron internetowych lub częściej pokazuje fałszywe powiadomienie. Jednak w zależności od stosowanego podejścia szkodliwe oprogramowanie może nie użyć żadnego z tych sposobów, ponieważ nie ma takiej konieczności. Na przykład, jeżeli użytkownik zaloguje się na stronę internetową banku, a szkodnik przejmie kontrolę i zacznie przekierowywać ruch na serwer MitM, szkodliwe oprogramowanie po prostu "uaktualni" stronę banku, przez co użytkownik będzie sądził, że nadal przegląda tę samą stronę.

Porady, triki i tutoriale  (Windows XP, Vista, MS Office,) - czytaj na komputer.wieszjak.pl

Wiele bardziej zaawansowanych finansowych szkodliwych programów wykorzystujących ataki MitM stosuje również wstrzykiwanie HTML. Zwykle objawia się to na jeden lub dwa sposoby. Trojan-Spy.Win32.Sinowal, bardzo rozpowszechniona rodzina szkodliwych programów, które mogą atakować ponad 750 banków, często wyświetla okna wyskakujące, do których użytkownik ma wprowadzić informacje. Sinowal może pokazywać okna wyskakujące, które proszą o podanie zupełnie niepowiązanych informacji w celu skłonienia użytkownika do wprowadzenia innych poufnych danych. Poniższy zrzut ekranu pokazuje okno wyskakujące wygenerowane przez Sinowala na stronie bankowej - użytkownik proszony jest o dane dotyczące karty kredytowej, które nie są związane z daną transakcją.

O wiele częściej wstrzykiwanie HTML wykorzystywane jest w celu dodania dodatkowego formularza do strony internetowej banku: tekst towarzyszący formularzowi prosi użytkownika o wprowadzenie dodatkowych informacji. Dane, o które proszony jest użytkownik, obejmują zwykle dane uwierzytelniające niezbędne do podpisania transakcji. W ten sposób serwer MitM może automatycznie dokonać transakcji, nawet gdy wykorzystywane jest uwierzytelnienie dwukierunkowe.

Metoda ta, chociaż nie jest konieczna do przeprowadzenia ataku MitM, jest najłatwiejsza do zautomatyzowania przez szkodliwych użytkowników. Jednak niektóre ataki MitM wykorzystują inną taktykę. Umożliwiają dodanie transakcji lub zmodyfikowanie zatwierdzonej przez klienta oryginalnej transakcji - naturalnie bez powiadamiania ofiary. Mimo że ataki MitM zwykle kończą się powodzeniem, z punktu widzenia cyberprzestępcy posiadają kilka wad.

Atak MitM znacznie spowalnia otwieranie się serwisów internetowych, co może wzbudzić podejrzenia użytkownika. Dodatkowo, banki rewidują swoje systemy bezpieczeństwa, zwłaszcza w celu heurystycznej identyfikacji nielegalnych transakcji. Na przykład, jeżeli klient zaloguje się 99 razy z określonego adresu IP, a za setnym razem zaloguje się z adresu IP zlokalizowanego w całkowicie innym państwie, system podniesie alarm.

Chcąc zmaksymalizować zyski i jednocześnie pozostać na wolności, cyberprzestępcy badają inne sposoby przeprowadzania ataków. Dlatego obecnie jesteśmy świadkami wzrostu liczby tak zwanych finansowych szkodliwych programów nowej generacji - Man-in-the-Endpoint (MitE).

Następna generacja

Chociaż nad koncepcją ataków MitE dyskutuje się już od wielu lat, dopiero niedawno zaczęto aktywnie wykorzystywać ją w rzeczywistym świecie. W przeciwieństwie do ataku MitM, atak MitE nie wymaga dodatkowego serwera do przechwytywania ruchu pomiędzy klientem a serwerem. Zamiast tego wszystkie zmiany są dokonywane w systemie lokalnym, czyli u ofiary.

Podejście to posiada wiele istotnych zalet. Po pierwsze, istnieje bezpośrednie połączenie z organizacją finansową, dlatego taka transakcja nie zostanie oznakowana tylko dlatego, że użytkownik zalogował się z nieznanego adresu IP. Po drugie, ataki MitE będą skuteczniejsze niż ataki MitM, jeżeli ich celem będzie system posiadający złożone mechanizmy ochrony.

Jeden ze scenariuszy ataków zakłada zainfekowanie systemu za pomocą trojana, którego celem jest przechwycenie całego ruchu HTTPS. Przechwycony ruch jest następnie wysyłany do twórców szkodliwego oprogramowania, dostarczając im schemat strony internetowej. Schemat ten jest następnie wykorzystywany do stworzenia kolejnego trojana.

Cyberprzestępcy wykorzystują zwykle ataki MitE przeciwko bankom stosującym uwierzytelnienie dwukierunkowe, czyli zabezpieczenie, które utrudnia uzyskanie dostępu do rzeczywistego obszaru transakcji na stronie internetowej banku. Z technicznego punktu widzenia opisana wyżej metoda jest skuteczna. Eliminuje również konieczność zwerbowania osoby wewnątrz atakowanej organizacji, która mogłaby przekazać przestępcy ważne dane uwierzytelniające niezbędne do zalogowania się na stronę.
Wykorzystywane w takich atakach trojany często będą mogły otrzymywać dane z serwera, na którym przestępcy przechowują informacje dotyczące numeru konta i kwoty, która ma zostać przelana. Ponieważ działanie to można wykonać dynamicznie, dane mogą zostać wysłane na każdą zainfekowaną maszynę, przy czym każda maszyna będzie przelewała środki do odpowiednich mułów pieniężnych.

Cyberprzestępcy modyfikują warianty szkodliwego oprogramowania należące do tej samej rodziny w zależności od stosowanych przez bank mechanizmów bezpieczeństwa, aby zapewnić jak największą skuteczność ataku. Na przykład, w przypadku jednego banku trojan potajemnie doda dodatkowe informacje, w przypadku innego, potajemnie zastąpi transakcję użytkownika, aby nie wzbudzać podejrzeń.

Rozwiązania

Instytucje finansowe na całym świecie ponoszą coraz większe straty w wyniku cyberprzestępczości. Zainwestowanie w lepsze zabezpieczenia to duży wydatek. Jest to jednak droga, którą banki będą musiały, prędzej czy później, podążyć. Jak wykazaliśmy w artykule, cyberprzestępcy mogą bardzo łatwo obejść uwierzytelnienie jednokierunkowe - potrzeba jedynie prostego programu do rejestrowania znaków wprowadzanych z klawiatury. Zachęcające jest zatem to, że wiele banków, które nie stosują uwierzytelnienia dwukierunkowego planuje wdrożenie takiego mechanizmu w najbliższej przyszłości.

Prowadzisz firmę ? Zajrzyj na e-mojafirma.infor.pl/mala-firma

Wyraźnie zaznacza się następujący trend: wzrost wykorzystywania uwierzytelnienia dwukierunkowego przez instytucje finansowe spowodował zwiększenie się liczby szkodliwych programów potrafiących obejść taką ochronę. To oznacza, że ostateczne przyjęcie uwierzytelnienia dwukierunkowego nie będzie miało znaczącego długotrwałego skutku.

Z drugiej strony, większość banków, które stosują obecnie uwierzytelnienie dwukierunkowe, nie skonfigurowało jeszcze swoich systemów w celu zapewnienia maksymalnego bezpieczeństwa. To oznacza, że nadal istnieje okno możliwości, w którym branża bezpieczeństwa będzie mogła przeciwdziałać działaniom cyberprzestępców.

Jednak z uwierzytelnieniem dwukierunkowym wiąże się podstawowy problem, tzn. nawet gdy sesja jest bezpieczna, cokolwiek zdarzy się podczas takiej sesji, nie zostanie sprawdzone. W celu zwiększenia bezpieczeństwa niezbędna jest dodatkowa forma komunikacji, taka jak wykorzystywanie kryptograficznego tokena lub wiadomości SMS (które zostały już zaimplementowane przez kilka instytucji finansowych). Wiadomości SMS mogą nałożyć ograniczenia na okres ważności TAN-u, numery kont, do jakich uzyskiwany jest dostęp, oraz maksymalną dozwoloną kwotę transakcji.

Naturalnie opisana wyżej metoda może posiadać jeden minus: może spowodować, że twórcy wirusów zaczną tworzyć szkodliwe oprogramowanie działające na urządzeniach otrzymujących wiadomości SMS. Z tego powodu lepszym rozwiązaniem jest token kryptograficzny, ponieważ nie jest możliwe zainstalowanie dodatkowego oprogramowania na takim tokenie. Idealnym rozwiązaniem byłyby oddzielne algorytmy dla logowania się na stronę i podpisywania transakcji.

Obecnie podczas podpisywania transakcji klientom przedstawiane jest kryptograficzne wyzwanie. Jeden z problemów polega na tym, że obecnie wyzwania te są dla klienta bezsensowne. Dlatego powinno istnieć dodatkowe wyzwanie dla każdej oddzielnej transakcji. Nie jest bezpieczne wykorzystywanie jako dodatkowego wyzwania całkowitej kwoty, jaka ma zostać przelana. Niektóre trojany już teraz potrafią poradzić sobie z tym mechanizmem, zmieniając numer kona zamiast dodawać kolejną transakcję.

Bezpieczne wyzwanie wymagałoby od klienta podania danych dotyczących konta, na które chce przelać środki - coś, czego nie może przewidzieć szkodliwe oprogramowanie ani cyberprzestępcy. Kolejnym plusem jest to, że klient aktywnie wykorzystuje taki numer konta, co teoretycznie oznacza, że istnieje większe prawdopodobieństwo wykrycia złej transakcji.

Co więcej, taki mechanizm byłby bardziej przyjazny dla użytkownika, gdyby oferował klientowi możliwość stworzenia białej listy numerów kont, które nie potrzebują dodatkowego uwierzytelnienia. Wymagałoby to jednak dodatkowego wysiłku związanego z zabezpieczeniem zarówno białej listy jak i procedury uzyskiwania do niej dostępu.

Naturalnie wiele zależy od instytucji finansowych i banków, jak również ich chęci zastosowania odpowiednich mechanizmów bezpieczeństwa. Biorąc pod uwagę to, że bezpieczeństwo procedur bankowości online jest stosunkowo nowym zagadnieniem, na barkach producentów rozwiązań antywirusowych spoczywa odpowiedzialność: czy rozwiązania bezpieczeństwa mogą wykrywać obecne finansowe szkodliwe programy? Jakie są ich możliwości wykrywania nowych wariantów szkodliwego oprogramowania i ataków phishingowych?

Należy pamiętać, że rozwiązanie i proces bezpieczeństwa są tak "silne" jak najsłabsze ogniwo: w tym wypadku najsłabszym ogniwem jest klient. To od niego zależy, czy kliknie odsyłacz lub załącznik, czy posiada uaktualniony system z zainstalowanymi wszystkimi łatami. Instytucje finansowe już teraz biorą te czynniki pod uwagę, a niektóre organizacje zapowiadają, że nie będą zwracały strat, jeżeli zaatakowany system nie był w pełni załatany.

Niestety, branża bezpieczeństwa IT wie z doświadczenia, że edukacja użytkowników ma ograniczone efekty, a stosowane przez instytucje środki bezpieczeństwa mogą być chybione. Wygląda więc na to, że jeżeli chodzi o ataki na banki, branża antywirusowa nadal znajduje się na pierwszej linii obrony zarówno użytkowników jak i instytucji finansowych przed stratami.

Źródło: Kaspersky LAB

Autopromocja

REKLAMA

Źródło: Własne
Czy ten artykuł był przydatny?
tak
nie
Dziękujemy za powiadomienie - zapraszamy do subskrybcji naszego newslettera
Jeśli nie znalazłeś odpowiedzi na swoje pytania w tym artykule, powiedz jak możemy to poprawić.
UWAGA: Ten formularz nie służy wysyłaniu zgłoszeń . Wykorzystamy go aby poprawić artykuł.
Jeśli masz dodatkowe pytania prosimy o kontakt

REKLAMA

Komentarze(0)

Pokaż:

Uwaga, Twój komentarz może pojawić się z opóźnieniem do 10 minut. Zanim dodasz komentarz -zapoznaj się z zasadami komentowania artykułów.
    QR Code
    Moja firma
    Zapisz się na newsletter
    Zobacz przykładowy newsletter
    Zapisz się
    Wpisz poprawny e-mail
    KONFERENCJA O DOTACJACH - DOŚWIADCZENIA I PERSPEKTYWY. Katowice 29 lutego 2024 r. [wydarzenie bezpłatne, liczba miejsc ograniczona]

    LPW Grupa na czele z ekspertami z LPW Consulting zaprasza na kolejną edycję wydarzenia pt. KONFERENCJA O DOTACJACH - DOŚWIADCZENIA I PERSPEKTYWY. W tym roku to wydarzenie odbędzie się w czwartek 29 lutego 2024 r. w godz.: 10:00-14:00 w Parku Technologicznym Ekoenergia w Katowicach, ul. Żeliwna 38. Udział w wydarzeniu jest bezpłatny po uprzednim zapisie online. Przy czym liczba miejsc jest ograniczona. Portal infor.pl jest patronem medialnym tego wydarzenia.

    Czekolada w 2024 roku będzie droższa i nie tylko ona. Ceny kakao biją rekordy – może być nawet 7 tys. USD za tonę. Co to jest shrinkflacja?

    Nie ma dobrych wiadomości dla miłośników czekolady i kakao. Rekordowo wysokie ceny kakao na światowych giełdach nadal będą rosły i mogą nawet przekroczyć wartość 7 tys. dolarów za tonę. Tak prognozują autorzy raportu pt. „INDEKS CEN W SKLEPACH DETALICZNYCH”. Problemy z podażą i przewidywane znaczne spadki zbiorów oznaczają trzeci rok z rzędu globalnego deficytu surowca. Kluczowy okres zbierania ziaren skończy się w marcu, a następny zacznie się dopiero we wrześniu. Natomiast już w styczniu br. słodycze i desery zdrożały najbardziej ze wszystkich analizowanych kategorii produktów. Eksperci zapowiadają, że podwyżki w następnej kolejności obejmą kosmetyki, leki i suplementy bazujące na kakao. I dodają, że skok cen odczują producenci art. spożywczych, zakłady przetwórcze, cukiernie i restauracje. W następnej kolejności straty te zostaną przerzucone na konsumentów. Taki scenariusz może się wydarzyć już przed Wielkanocą. A jeśli sytuacja dalej będzie się pogarszała, to może nasilić się również zjawisko shrinkflacji. 

    Firmy widzą potencjał w sztucznej inteligencji, ale są pewne bariery

    Firmy, które zainwestowały w sztuczną inteligencję i widzą jej potencjał, chętniej rozważają dalsze innowacje. Ale są tez pewne przeszkody, z którymi muszą się mierzyć. 

    Ferie 2024. Wyjazdy nad morze coraz popularniejsze. Największą atrakcją morsowanie

    Czy Polacy coraz chętniej będą spędzać ferie nad morzem? Eksperci zauważają, że to był najlepszy początek roku w turystyce od 2019 roku. Czy przedsiębiorcom opłaca się teraz zamykać na zimę? 

    REKLAMA

    Jak założyć e-Doręczenia? Wniosek przedsiębiorcy

    Przedsiębiorcy mogą składać wnioski o utworzenie adresu do e-Doręczeń przez Biznes.gov. Po aktywacji adresu, firma korzysta ze skrzynki do e-Doręczeń w Koncie Przedsiębiorcy. Jak zrobić e-Doręczenia?

    Kompetencje kobiet w branży IT. Większy udział kobiet jest istotny z powodu deficytu wykwalifikowanych kadr

    W październiku 2024 r. zaczną obowiązywać unijne przepisy mające na celu zbudowanie większej odporności biznesu na cyberataki. W związku z tym należy podjąć działania podnoszące kompetencje z dziedziny cyberbezpieczeństwa. Tymczasem inicjatywy podnoszące kompetencje cyfrowe kobiet podejmowane są w zaledwie 20,4% miejsc pracy.

    Komisja Europejska proponuje zmniejszenie i uproszczenie obciążeń rolników. Czy to wystarczy by przerwać protesty?

    Komisja Europejska przesłała w czwartek prezydencji belgijskiej w Radzie UE dokument, zawierający listę działań mających na celu "zmniejszenie obciążeń administracyjnych, spoczywających na barkach rolników". Propozycje zostaną omówione z państwami członkowskimi 26 lutego na posiedzeniu Rady ds. Rolnictwa.

    Używasz smartfona? Twoje wrażliwe dane są jak na dłoni. Technologia pozbawia nas prywatności

    Użytkownicy różnych urządzeń, aplikacji czy systemów często nie są świadomi, przez kogo i do jakich celów są gromadzone i wykorzystywane dane na ich temat. Rozwój technologii rzadko idzie w parze ze świadomością użytkowników i regulacjami prawnymi. To stanowi zagrożenie dla ochrony danych osobowych.

    REKLAMA

    Wzrasta ryzyko prowadzenia biznesu. "Liczba wzmianek o geopolityce i ryzyku politycznym w dokumentach spółek wzrosła o 600%"

    Ryzyko prowadzenia biznesu w 2024 roku zwiększa rosnąca polaryzacja na światowej scenie politycznej. Istotna dla przedsiębiorców będzie minimalizacja potencjalnych niebezpieczeństw, m.in. poprzez zwiększenie odporności łańcuchów dostaw, odpowiednią politykę dostępu do zasobów i zaadresowanie kwestii ESG – wynika z raportu EY-Parthenon 2024 Geostrategic Outlook.

    Handel internetowy idzie w górę, stanowi 8,8% ogółu sprzedaży detalicznej

    Sprzedaż internetowa w ujęciu rocznym w styczniu wzrosła ogółem o 11%, co stanowił 8,8% ogółu sprzedaży detalicznej. Największy udział e-sprzedaży w całości sprzedaży detalicznej miały takie kategorie jak tekstylia, odzież, obuwie, prasa i książki. Tak wynika z danych przekazanych przez GUS.

    REKLAMA