Jak atakowane są banki cz. 2

Przekierowywanie ruchu

Kolejną metodą wykorzystywaną przez cyberprzestępców jest przekierowywanie ruchu. Można dokonać tego na wiele sposobów, z których najłatwiejszym jest zmodyfikowanie pliku "hosts" systemu Windows.

Plik ten, zlokalizowany w folderze %windows%\system32\drivers\etc, może zostać wykorzystany do obejścia sprawdzania DNS (Domain Name Server). DNS służy do tłumaczenia nazw domenowych, na przykład www.kaspersky.pl, na adresy IP. Nazwy domenowe stosowane są jedynie ze względu na wygodę użytkowników, natomiast komputery wykorzystują adresy IP. Jeżeli plik hosts zostanie zmodyfikowany, tak aby kierował określoną nazwę domenową na adres IP fałszywej strony, użytkownik zostanie nieświadomie przekierowany do miejsca przygotowanego przez cyberprzestępcę.

Kolejną metodą przekierowywania ruchu jest modyfikowanie ustawień serwera DNS. Zamiast próbować obejść sprawdzanie DNS ustawienia są zmieniane w taki sposób, że maszyna wykorzystuje inny, zainfekowany serwer DNS. Większość osób, które surfują po Internecie z domu, wykorzystuje serwer DNS należący do ich dostawców usług internetowych. W rezultacie, celem ogromnej większości tego typu ataków były stacje robocze.

Jednak gdy dostęp do Internetu uzyskiwany jest przez router, najczęściej to właśnie router jest odpowiedzialny za centralne sprawdzanie DNS. Przeprowadzono wiele ataków na routery, których celem było zmodyfikowanie ustawień serwera DNS. Biorąc pod uwagę zwiększone zainteresowanie problemem braku odpowiedniego zabezpieczenia routerów, ataki te staną się prawdopodobnie bardziej rozpowszechnione. Ataki XSS mogą być wykorzystywane do modyfikowania pewnych kluczowych ustawień, takich jak wykorzystywany serwer DNS, poprzez skłonienie użytkownika do odwiedzenia określonej strony internetowej.

Inną metodą przekierowania ruchu jest umieszczenie na atakowanej maszynie trojana monitorującego odwiedzane strony. Gdy tylko użytkownik połączy się ze stroną banku (lub innej instytucji finansowej), trojan przekieruje ruch na fałszywą stronę internetową. Ruch może zostać przekierowany ze strony HTTPS na stronę HTTP (potencjalnie niezabezpieczoną). W takich przypadkach trojan potrafi zwykle ukryć ostrzeżenia wyświetlane przez przeglądarkę.

Jednak z punktu widzenia cyberprzestępców, metoda ta ma swoje słabe punkty: wykorzystywane trojany należą zwykle do grupy Browser Helper Object, co oznacza, że działają tylko w Internet Explorerze. Ponadto, mimo że ruch jest przekierowywany, nie musi być przetwarzany w czasie rzeczywistym, co daje ofierze możliwość skontaktowania się ze swoim bankiem w celu zablokowania transakcji.

Ataki typu Man-in-the-Middle

Bardziej zaawansowane szkodliwe oprogramowanie wykorzystuje atak MitM. Pozwala to cyberprzestępcom nie tylko na atakowanie większej liczby banków, ale również zapewnia wyższy zwrot, ponieważ dane są przetwarzane w czasie rzeczywistym. Atak MitM wykorzystuje zainfekowany serwer do przechwytywania całego ruchu między klientem a serwerem, tj. użytkownikiem a organizacją finansową. Chociaż użytkownik będzie myślał, że wszystko jest w porządku, gdy zostanie proszony o autoryzację transakcji, w rzeczywistości autoryzuje transakcję stworzoną przez cyberprzestępcę.

Szkodliwe oprogramowanie, które wykorzystuje ataki MiTM, zwykle ukrywa powiadomienia przeglądarki o fałszywych certyfikatach stron internetowych lub częściej pokazuje fałszywe powiadomienie. Jednak w zależności od stosowanego podejścia szkodliwe oprogramowanie może nie użyć żadnego z tych sposobów, ponieważ nie ma takiej konieczności. Na przykład, jeżeli użytkownik zaloguje się na stronę internetową banku, a szkodnik przejmie kontrolę i zacznie przekierowywać ruch na serwer MitM, szkodliwe oprogramowanie po prostu "uaktualni" stronę banku, przez co użytkownik będzie sądził, że nadal przegląda tę samą stronę.

Porady, triki i tutoriale  (Windows XP, Vista, MS Office,) - czytaj na komputer.wieszjak.pl

Wiele bardziej zaawansowanych finansowych szkodliwych programów wykorzystujących ataki MitM stosuje również wstrzykiwanie HTML. Zwykle objawia się to na jeden lub dwa sposoby. Trojan-Spy.Win32.Sinowal, bardzo rozpowszechniona rodzina szkodliwych programów, które mogą atakować ponad 750 banków, często wyświetla okna wyskakujące, do których użytkownik ma wprowadzić informacje. Sinowal może pokazywać okna wyskakujące, które proszą o podanie zupełnie niepowiązanych informacji w celu skłonienia użytkownika do wprowadzenia innych poufnych danych. Poniższy zrzut ekranu pokazuje okno wyskakujące wygenerowane przez Sinowala na stronie bankowej - użytkownik proszony jest o dane dotyczące karty kredytowej, które nie są związane z daną transakcją.

O wiele częściej wstrzykiwanie HTML wykorzystywane jest w celu dodania dodatkowego formularza do strony internetowej banku: tekst towarzyszący formularzowi prosi użytkownika o wprowadzenie dodatkowych informacji. Dane, o które proszony jest użytkownik, obejmują zwykle dane uwierzytelniające niezbędne do podpisania transakcji. W ten sposób serwer MitM może automatycznie dokonać transakcji, nawet gdy wykorzystywane jest uwierzytelnienie dwukierunkowe.

Metoda ta, chociaż nie jest konieczna do przeprowadzenia ataku MitM, jest najłatwiejsza do zautomatyzowania przez szkodliwych użytkowników. Jednak niektóre ataki MitM wykorzystują inną taktykę. Umożliwiają dodanie transakcji lub zmodyfikowanie zatwierdzonej przez klienta oryginalnej transakcji - naturalnie bez powiadamiania ofiary. Mimo że ataki MitM zwykle kończą się powodzeniem, z punktu widzenia cyberprzestępcy posiadają kilka wad.

Atak MitM znacznie spowalnia otwieranie się serwisów internetowych, co może wzbudzić podejrzenia użytkownika. Dodatkowo, banki rewidują swoje systemy bezpieczeństwa, zwłaszcza w celu heurystycznej identyfikacji nielegalnych transakcji. Na przykład, jeżeli klient zaloguje się 99 razy z określonego adresu IP, a za setnym razem zaloguje się z adresu IP zlokalizowanego w całkowicie innym państwie, system podniesie alarm.

Chcąc zmaksymalizować zyski i jednocześnie pozostać na wolności, cyberprzestępcy badają inne sposoby przeprowadzania ataków. Dlatego obecnie jesteśmy świadkami wzrostu liczby tak zwanych finansowych szkodliwych programów nowej generacji - Man-in-the-Endpoint (MitE).

Następna generacja

Chociaż nad koncepcją ataków MitE dyskutuje się już od wielu lat, dopiero niedawno zaczęto aktywnie wykorzystywać ją w rzeczywistym świecie. W przeciwieństwie do ataku MitM, atak MitE nie wymaga dodatkowego serwera do przechwytywania ruchu pomiędzy klientem a serwerem. Zamiast tego wszystkie zmiany są dokonywane w systemie lokalnym, czyli u ofiary.

Podejście to posiada wiele istotnych zalet. Po pierwsze, istnieje bezpośrednie połączenie z organizacją finansową, dlatego taka transakcja nie zostanie oznakowana tylko dlatego, że użytkownik zalogował się z nieznanego adresu IP. Po drugie, ataki MitE będą skuteczniejsze niż ataki MitM, jeżeli ich celem będzie system posiadający złożone mechanizmy ochrony.

Jeden ze scenariuszy ataków zakłada zainfekowanie systemu za pomocą trojana, którego celem jest przechwycenie całego ruchu HTTPS. Przechwycony ruch jest następnie wysyłany do twórców szkodliwego oprogramowania, dostarczając im schemat strony internetowej. Schemat ten jest następnie wykorzystywany do stworzenia kolejnego trojana.

Cyberprzestępcy wykorzystują zwykle ataki MitE przeciwko bankom stosującym uwierzytelnienie dwukierunkowe, czyli zabezpieczenie, które utrudnia uzyskanie dostępu do rzeczywistego obszaru transakcji na stronie internetowej banku. Z technicznego punktu widzenia opisana wyżej metoda jest skuteczna. Eliminuje również konieczność zwerbowania osoby wewnątrz atakowanej organizacji, która mogłaby przekazać przestępcy ważne dane uwierzytelniające niezbędne do zalogowania się na stronę.
Wykorzystywane w takich atakach trojany często będą mogły otrzymywać dane z serwera, na którym przestępcy przechowują informacje dotyczące numeru konta i kwoty, która ma zostać przelana. Ponieważ działanie to można wykonać dynamicznie, dane mogą zostać wysłane na każdą zainfekowaną maszynę, przy czym każda maszyna będzie przelewała środki do odpowiednich mułów pieniężnych.

Cyberprzestępcy modyfikują warianty szkodliwego oprogramowania należące do tej samej rodziny w zależności od stosowanych przez bank mechanizmów bezpieczeństwa, aby zapewnić jak największą skuteczność ataku. Na przykład, w przypadku jednego banku trojan potajemnie doda dodatkowe informacje, w przypadku innego, potajemnie zastąpi transakcję użytkownika, aby nie wzbudzać podejrzeń.

Rozwiązania

Instytucje finansowe na całym świecie ponoszą coraz większe straty w wyniku cyberprzestępczości. Zainwestowanie w lepsze zabezpieczenia to duży wydatek. Jest to jednak droga, którą banki będą musiały, prędzej czy później, podążyć. Jak wykazaliśmy w artykule, cyberprzestępcy mogą bardzo łatwo obejść uwierzytelnienie jednokierunkowe - potrzeba jedynie prostego programu do rejestrowania znaków wprowadzanych z klawiatury. Zachęcające jest zatem to, że wiele banków, które nie stosują uwierzytelnienia dwukierunkowego planuje wdrożenie takiego mechanizmu w najbliższej przyszłości.

Prowadzisz firmę ? Zajrzyj na e-mojafirma.infor.pl/mala-firma

Wyraźnie zaznacza się następujący trend: wzrost wykorzystywania uwierzytelnienia dwukierunkowego przez instytucje finansowe spowodował zwiększenie się liczby szkodliwych programów potrafiących obejść taką ochronę. To oznacza, że ostateczne przyjęcie uwierzytelnienia dwukierunkowego nie będzie miało znaczącego długotrwałego skutku.

Z drugiej strony, większość banków, które stosują obecnie uwierzytelnienie dwukierunkowe, nie skonfigurowało jeszcze swoich systemów w celu zapewnienia maksymalnego bezpieczeństwa. To oznacza, że nadal istnieje okno możliwości, w którym branża bezpieczeństwa będzie mogła przeciwdziałać działaniom cyberprzestępców.

Jednak z uwierzytelnieniem dwukierunkowym wiąże się podstawowy problem, tzn. nawet gdy sesja jest bezpieczna, cokolwiek zdarzy się podczas takiej sesji, nie zostanie sprawdzone. W celu zwiększenia bezpieczeństwa niezbędna jest dodatkowa forma komunikacji, taka jak wykorzystywanie kryptograficznego tokena lub wiadomości SMS (które zostały już zaimplementowane przez kilka instytucji finansowych). Wiadomości SMS mogą nałożyć ograniczenia na okres ważności TAN-u, numery kont, do jakich uzyskiwany jest dostęp, oraz maksymalną dozwoloną kwotę transakcji.

Naturalnie opisana wyżej metoda może posiadać jeden minus: może spowodować, że twórcy wirusów zaczną tworzyć szkodliwe oprogramowanie działające na urządzeniach otrzymujących wiadomości SMS. Z tego powodu lepszym rozwiązaniem jest token kryptograficzny, ponieważ nie jest możliwe zainstalowanie dodatkowego oprogramowania na takim tokenie. Idealnym rozwiązaniem byłyby oddzielne algorytmy dla logowania się na stronę i podpisywania transakcji.

Obecnie podczas podpisywania transakcji klientom przedstawiane jest kryptograficzne wyzwanie. Jeden z problemów polega na tym, że obecnie wyzwania te są dla klienta bezsensowne. Dlatego powinno istnieć dodatkowe wyzwanie dla każdej oddzielnej transakcji. Nie jest bezpieczne wykorzystywanie jako dodatkowego wyzwania całkowitej kwoty, jaka ma zostać przelana. Niektóre trojany już teraz potrafią poradzić sobie z tym mechanizmem, zmieniając numer kona zamiast dodawać kolejną transakcję.

Bezpieczne wyzwanie wymagałoby od klienta podania danych dotyczących konta, na które chce przelać środki - coś, czego nie może przewidzieć szkodliwe oprogramowanie ani cyberprzestępcy. Kolejnym plusem jest to, że klient aktywnie wykorzystuje taki numer konta, co teoretycznie oznacza, że istnieje większe prawdopodobieństwo wykrycia złej transakcji.

Co więcej, taki mechanizm byłby bardziej przyjazny dla użytkownika, gdyby oferował klientowi możliwość stworzenia białej listy numerów kont, które nie potrzebują dodatkowego uwierzytelnienia. Wymagałoby to jednak dodatkowego wysiłku związanego z zabezpieczeniem zarówno białej listy jak i procedury uzyskiwania do niej dostępu.

Naturalnie wiele zależy od instytucji finansowych i banków, jak również ich chęci zastosowania odpowiednich mechanizmów bezpieczeństwa. Biorąc pod uwagę to, że bezpieczeństwo procedur bankowości online jest stosunkowo nowym zagadnieniem, na barkach producentów rozwiązań antywirusowych spoczywa odpowiedzialność: czy rozwiązania bezpieczeństwa mogą wykrywać obecne finansowe szkodliwe programy? Jakie są ich możliwości wykrywania nowych wariantów szkodliwego oprogramowania i ataków phishingowych?

Należy pamiętać, że rozwiązanie i proces bezpieczeństwa są tak "silne" jak najsłabsze ogniwo: w tym wypadku najsłabszym ogniwem jest klient. To od niego zależy, czy kliknie odsyłacz lub załącznik, czy posiada uaktualniony system z zainstalowanymi wszystkimi łatami. Instytucje finansowe już teraz biorą te czynniki pod uwagę, a niektóre organizacje zapowiadają, że nie będą zwracały strat, jeżeli zaatakowany system nie był w pełni załatany.

Niestety, branża bezpieczeństwa IT wie z doświadczenia, że edukacja użytkowników ma ograniczone efekty, a stosowane przez instytucje środki bezpieczeństwa mogą być chybione. Wygląda więc na to, że jeżeli chodzi o ataki na banki, branża antywirusowa nadal znajduje się na pierwszej linii obrony zarówno użytkowników jak i instytucji finansowych przed stratami.

Źródło: Kaspersky LAB