REKLAMA

REKLAMA

Kategorie
Zaloguj się

Zarejestruj się

Proszę podać poprawny adres e-mail Hasło musi zawierać min. 3 znaki i max. 12 znaków
* - pole obowiązkowe
Przypomnij hasło
Witaj
Usuń konto
Aktualizacja danych
  Informacja
Twoje dane będą wykorzystywane do certyfikatów.

Jak atakowane są banki cz. 2

Kaspersky Lab Polska

REKLAMA

REKLAMA

Artykuł zawiera przegląd metod wykorzystywanych obecnie przez cyberprzestępców do atakowania instytucji finansowych, w szczególności banków. Opisane tu trendy i zagadnienia są kluczowe jeśli chodzi o bezpieczeństwo danych, którymi dysponują współczesne instytucje finansowe Na koniec propozycja kilku sposobów mogących pomóc zapewnić ochronę przed zagrożeniami, które nieodłącznie wiążą się z bankowością online. Zapraszamy na drugą część artykułu.

Przekierowywanie ruchu

REKLAMA

Kolejną metodą wykorzystywaną przez cyberprzestępców jest przekierowywanie ruchu. Można dokonać tego na wiele sposobów, z których najłatwiejszym jest zmodyfikowanie pliku "hosts" systemu Windows.

REKLAMA

Plik ten, zlokalizowany w folderze %windows%\system32\drivers\etc, może zostać wykorzystany do obejścia sprawdzania DNS (Domain Name Server). DNS służy do tłumaczenia nazw domenowych, na przykład www.kaspersky.pl, na adresy IP. Nazwy domenowe stosowane są jedynie ze względu na wygodę użytkowników, natomiast komputery wykorzystują adresy IP. Jeżeli plik hosts zostanie zmodyfikowany, tak aby kierował określoną nazwę domenową na adres IP fałszywej strony, użytkownik zostanie nieświadomie przekierowany do miejsca przygotowanego przez cyberprzestępcę.

Kolejną metodą przekierowywania ruchu jest modyfikowanie ustawień serwera DNS. Zamiast próbować obejść sprawdzanie DNS ustawienia są zmieniane w taki sposób, że maszyna wykorzystuje inny, zainfekowany serwer DNS. Większość osób, które surfują po Internecie z domu, wykorzystuje serwer DNS należący do ich dostawców usług internetowych. W rezultacie, celem ogromnej większości tego typu ataków były stacje robocze.

REKLAMA

Jednak gdy dostęp do Internetu uzyskiwany jest przez router, najczęściej to właśnie router jest odpowiedzialny za centralne sprawdzanie DNS. Przeprowadzono wiele ataków na routery, których celem było zmodyfikowanie ustawień serwera DNS. Biorąc pod uwagę zwiększone zainteresowanie problemem braku odpowiedniego zabezpieczenia routerów, ataki te staną się prawdopodobnie bardziej rozpowszechnione. Ataki XSS mogą być wykorzystywane do modyfikowania pewnych kluczowych ustawień, takich jak wykorzystywany serwer DNS, poprzez skłonienie użytkownika do odwiedzenia określonej strony internetowej.

Dalszy ciąg materiału pod wideo

Inną metodą przekierowania ruchu jest umieszczenie na atakowanej maszynie trojana monitorującego odwiedzane strony. Gdy tylko użytkownik połączy się ze stroną banku (lub innej instytucji finansowej), trojan przekieruje ruch na fałszywą stronę internetową. Ruch może zostać przekierowany ze strony HTTPS na stronę HTTP (potencjalnie niezabezpieczoną). W takich przypadkach trojan potrafi zwykle ukryć ostrzeżenia wyświetlane przez przeglądarkę.

Jednak z punktu widzenia cyberprzestępców, metoda ta ma swoje słabe punkty: wykorzystywane trojany należą zwykle do grupy Browser Helper Object, co oznacza, że działają tylko w Internet Explorerze. Ponadto, mimo że ruch jest przekierowywany, nie musi być przetwarzany w czasie rzeczywistym, co daje ofierze możliwość skontaktowania się ze swoim bankiem w celu zablokowania transakcji.

Ataki typu Man-in-the-Middle

Bardziej zaawansowane szkodliwe oprogramowanie wykorzystuje atak MitM. Pozwala to cyberprzestępcom nie tylko na atakowanie większej liczby banków, ale również zapewnia wyższy zwrot, ponieważ dane są przetwarzane w czasie rzeczywistym. Atak MitM wykorzystuje zainfekowany serwer do przechwytywania całego ruchu między klientem a serwerem, tj. użytkownikiem a organizacją finansową. Chociaż użytkownik będzie myślał, że wszystko jest w porządku, gdy zostanie proszony o autoryzację transakcji, w rzeczywistości autoryzuje transakcję stworzoną przez cyberprzestępcę.

Szkodliwe oprogramowanie, które wykorzystuje ataki MiTM, zwykle ukrywa powiadomienia przeglądarki o fałszywych certyfikatach stron internetowych lub częściej pokazuje fałszywe powiadomienie. Jednak w zależności od stosowanego podejścia szkodliwe oprogramowanie może nie użyć żadnego z tych sposobów, ponieważ nie ma takiej konieczności. Na przykład, jeżeli użytkownik zaloguje się na stronę internetową banku, a szkodnik przejmie kontrolę i zacznie przekierowywać ruch na serwer MitM, szkodliwe oprogramowanie po prostu "uaktualni" stronę banku, przez co użytkownik będzie sądził, że nadal przegląda tę samą stronę.

Porady, triki i tutoriale  (Windows XP, Vista, MS Office,) - czytaj na komputer.wieszjak.pl

Wiele bardziej zaawansowanych finansowych szkodliwych programów wykorzystujących ataki MitM stosuje również wstrzykiwanie HTML. Zwykle objawia się to na jeden lub dwa sposoby. Trojan-Spy.Win32.Sinowal, bardzo rozpowszechniona rodzina szkodliwych programów, które mogą atakować ponad 750 banków, często wyświetla okna wyskakujące, do których użytkownik ma wprowadzić informacje. Sinowal może pokazywać okna wyskakujące, które proszą o podanie zupełnie niepowiązanych informacji w celu skłonienia użytkownika do wprowadzenia innych poufnych danych. Poniższy zrzut ekranu pokazuje okno wyskakujące wygenerowane przez Sinowala na stronie bankowej - użytkownik proszony jest o dane dotyczące karty kredytowej, które nie są związane z daną transakcją.

O wiele częściej wstrzykiwanie HTML wykorzystywane jest w celu dodania dodatkowego formularza do strony internetowej banku: tekst towarzyszący formularzowi prosi użytkownika o wprowadzenie dodatkowych informacji. Dane, o które proszony jest użytkownik, obejmują zwykle dane uwierzytelniające niezbędne do podpisania transakcji. W ten sposób serwer MitM może automatycznie dokonać transakcji, nawet gdy wykorzystywane jest uwierzytelnienie dwukierunkowe.

Metoda ta, chociaż nie jest konieczna do przeprowadzenia ataku MitM, jest najłatwiejsza do zautomatyzowania przez szkodliwych użytkowników. Jednak niektóre ataki MitM wykorzystują inną taktykę. Umożliwiają dodanie transakcji lub zmodyfikowanie zatwierdzonej przez klienta oryginalnej transakcji - naturalnie bez powiadamiania ofiary. Mimo że ataki MitM zwykle kończą się powodzeniem, z punktu widzenia cyberprzestępcy posiadają kilka wad.

Atak MitM znacznie spowalnia otwieranie się serwisów internetowych, co może wzbudzić podejrzenia użytkownika. Dodatkowo, banki rewidują swoje systemy bezpieczeństwa, zwłaszcza w celu heurystycznej identyfikacji nielegalnych transakcji. Na przykład, jeżeli klient zaloguje się 99 razy z określonego adresu IP, a za setnym razem zaloguje się z adresu IP zlokalizowanego w całkowicie innym państwie, system podniesie alarm.

Chcąc zmaksymalizować zyski i jednocześnie pozostać na wolności, cyberprzestępcy badają inne sposoby przeprowadzania ataków. Dlatego obecnie jesteśmy świadkami wzrostu liczby tak zwanych finansowych szkodliwych programów nowej generacji - Man-in-the-Endpoint (MitE).

Następna generacja

Chociaż nad koncepcją ataków MitE dyskutuje się już od wielu lat, dopiero niedawno zaczęto aktywnie wykorzystywać ją w rzeczywistym świecie. W przeciwieństwie do ataku MitM, atak MitE nie wymaga dodatkowego serwera do przechwytywania ruchu pomiędzy klientem a serwerem. Zamiast tego wszystkie zmiany są dokonywane w systemie lokalnym, czyli u ofiary.

Podejście to posiada wiele istotnych zalet. Po pierwsze, istnieje bezpośrednie połączenie z organizacją finansową, dlatego taka transakcja nie zostanie oznakowana tylko dlatego, że użytkownik zalogował się z nieznanego adresu IP. Po drugie, ataki MitE będą skuteczniejsze niż ataki MitM, jeżeli ich celem będzie system posiadający złożone mechanizmy ochrony.

Jeden ze scenariuszy ataków zakłada zainfekowanie systemu za pomocą trojana, którego celem jest przechwycenie całego ruchu HTTPS. Przechwycony ruch jest następnie wysyłany do twórców szkodliwego oprogramowania, dostarczając im schemat strony internetowej. Schemat ten jest następnie wykorzystywany do stworzenia kolejnego trojana.

Cyberprzestępcy wykorzystują zwykle ataki MitE przeciwko bankom stosującym uwierzytelnienie dwukierunkowe, czyli zabezpieczenie, które utrudnia uzyskanie dostępu do rzeczywistego obszaru transakcji na stronie internetowej banku. Z technicznego punktu widzenia opisana wyżej metoda jest skuteczna. Eliminuje również konieczność zwerbowania osoby wewnątrz atakowanej organizacji, która mogłaby przekazać przestępcy ważne dane uwierzytelniające niezbędne do zalogowania się na stronę.
Wykorzystywane w takich atakach trojany często będą mogły otrzymywać dane z serwera, na którym przestępcy przechowują informacje dotyczące numeru konta i kwoty, która ma zostać przelana. Ponieważ działanie to można wykonać dynamicznie, dane mogą zostać wysłane na każdą zainfekowaną maszynę, przy czym każda maszyna będzie przelewała środki do odpowiednich mułów pieniężnych.

Cyberprzestępcy modyfikują warianty szkodliwego oprogramowania należące do tej samej rodziny w zależności od stosowanych przez bank mechanizmów bezpieczeństwa, aby zapewnić jak największą skuteczność ataku. Na przykład, w przypadku jednego banku trojan potajemnie doda dodatkowe informacje, w przypadku innego, potajemnie zastąpi transakcję użytkownika, aby nie wzbudzać podejrzeń.

Rozwiązania

Instytucje finansowe na całym świecie ponoszą coraz większe straty w wyniku cyberprzestępczości. Zainwestowanie w lepsze zabezpieczenia to duży wydatek. Jest to jednak droga, którą banki będą musiały, prędzej czy później, podążyć. Jak wykazaliśmy w artykule, cyberprzestępcy mogą bardzo łatwo obejść uwierzytelnienie jednokierunkowe - potrzeba jedynie prostego programu do rejestrowania znaków wprowadzanych z klawiatury. Zachęcające jest zatem to, że wiele banków, które nie stosują uwierzytelnienia dwukierunkowego planuje wdrożenie takiego mechanizmu w najbliższej przyszłości.

Prowadzisz firmę ? Zajrzyj na e-mojafirma.infor.pl/mala-firma

Wyraźnie zaznacza się następujący trend: wzrost wykorzystywania uwierzytelnienia dwukierunkowego przez instytucje finansowe spowodował zwiększenie się liczby szkodliwych programów potrafiących obejść taką ochronę. To oznacza, że ostateczne przyjęcie uwierzytelnienia dwukierunkowego nie będzie miało znaczącego długotrwałego skutku.

Z drugiej strony, większość banków, które stosują obecnie uwierzytelnienie dwukierunkowe, nie skonfigurowało jeszcze swoich systemów w celu zapewnienia maksymalnego bezpieczeństwa. To oznacza, że nadal istnieje okno możliwości, w którym branża bezpieczeństwa będzie mogła przeciwdziałać działaniom cyberprzestępców.

Jednak z uwierzytelnieniem dwukierunkowym wiąże się podstawowy problem, tzn. nawet gdy sesja jest bezpieczna, cokolwiek zdarzy się podczas takiej sesji, nie zostanie sprawdzone. W celu zwiększenia bezpieczeństwa niezbędna jest dodatkowa forma komunikacji, taka jak wykorzystywanie kryptograficznego tokena lub wiadomości SMS (które zostały już zaimplementowane przez kilka instytucji finansowych). Wiadomości SMS mogą nałożyć ograniczenia na okres ważności TAN-u, numery kont, do jakich uzyskiwany jest dostęp, oraz maksymalną dozwoloną kwotę transakcji.

Naturalnie opisana wyżej metoda może posiadać jeden minus: może spowodować, że twórcy wirusów zaczną tworzyć szkodliwe oprogramowanie działające na urządzeniach otrzymujących wiadomości SMS. Z tego powodu lepszym rozwiązaniem jest token kryptograficzny, ponieważ nie jest możliwe zainstalowanie dodatkowego oprogramowania na takim tokenie. Idealnym rozwiązaniem byłyby oddzielne algorytmy dla logowania się na stronę i podpisywania transakcji.

Obecnie podczas podpisywania transakcji klientom przedstawiane jest kryptograficzne wyzwanie. Jeden z problemów polega na tym, że obecnie wyzwania te są dla klienta bezsensowne. Dlatego powinno istnieć dodatkowe wyzwanie dla każdej oddzielnej transakcji. Nie jest bezpieczne wykorzystywanie jako dodatkowego wyzwania całkowitej kwoty, jaka ma zostać przelana. Niektóre trojany już teraz potrafią poradzić sobie z tym mechanizmem, zmieniając numer kona zamiast dodawać kolejną transakcję.

Bezpieczne wyzwanie wymagałoby od klienta podania danych dotyczących konta, na które chce przelać środki - coś, czego nie może przewidzieć szkodliwe oprogramowanie ani cyberprzestępcy. Kolejnym plusem jest to, że klient aktywnie wykorzystuje taki numer konta, co teoretycznie oznacza, że istnieje większe prawdopodobieństwo wykrycia złej transakcji.

Co więcej, taki mechanizm byłby bardziej przyjazny dla użytkownika, gdyby oferował klientowi możliwość stworzenia białej listy numerów kont, które nie potrzebują dodatkowego uwierzytelnienia. Wymagałoby to jednak dodatkowego wysiłku związanego z zabezpieczeniem zarówno białej listy jak i procedury uzyskiwania do niej dostępu.

Naturalnie wiele zależy od instytucji finansowych i banków, jak również ich chęci zastosowania odpowiednich mechanizmów bezpieczeństwa. Biorąc pod uwagę to, że bezpieczeństwo procedur bankowości online jest stosunkowo nowym zagadnieniem, na barkach producentów rozwiązań antywirusowych spoczywa odpowiedzialność: czy rozwiązania bezpieczeństwa mogą wykrywać obecne finansowe szkodliwe programy? Jakie są ich możliwości wykrywania nowych wariantów szkodliwego oprogramowania i ataków phishingowych?

Należy pamiętać, że rozwiązanie i proces bezpieczeństwa są tak "silne" jak najsłabsze ogniwo: w tym wypadku najsłabszym ogniwem jest klient. To od niego zależy, czy kliknie odsyłacz lub załącznik, czy posiada uaktualniony system z zainstalowanymi wszystkimi łatami. Instytucje finansowe już teraz biorą te czynniki pod uwagę, a niektóre organizacje zapowiadają, że nie będą zwracały strat, jeżeli zaatakowany system nie był w pełni załatany.

Niestety, branża bezpieczeństwa IT wie z doświadczenia, że edukacja użytkowników ma ograniczone efekty, a stosowane przez instytucje środki bezpieczeństwa mogą być chybione. Wygląda więc na to, że jeżeli chodzi o ataki na banki, branża antywirusowa nadal znajduje się na pierwszej linii obrony zarówno użytkowników jak i instytucji finansowych przed stratami.

Źródło: Kaspersky LAB

Autopromocja

REKLAMA

Źródło: Własne

Oceń jakość naszego artykułu

Dziękujemy za Twoją ocenę!

Twoja opinia jest dla nas bardzo ważna

Powiedz nam, jak możemy poprawić artykuł.
Zaznacz określenie, które dotyczy przeczytanej treści:

REKLAMA

QR Code
Moja firma
Zapisz się na newsletter
Zobacz przykładowy newsletter
Zapisz się
Wpisz poprawny e-mail
Niewykorzystany potencjał. Czas na przywództwo kobiet?

Moment, gdy przywódcą wolnego świata może się okazać kobieta to najlepszy czas na dyskusję o kobiecym leadershipie. O tym jak kobiety mogą zajść wyżej i dalej oraz które nawyki stoją im na przeszkodzie opowiada Sally Helgesen, autorka „Nie podcinaj sobie skrzydeł” i pierwszej publikacji z zakresu kobiecego przywództwa „The female advantage”.

Influencer marketing - prawne aspekty współpracy z influencerami

Influencer marketing a prawne aspekty współpracy z influencerami. Jak influencer wpływa na wizerunek marki? Dlaczego tak ważne są prawidłowe klauzule kontraktowe, np. klauzula zobowiązująca o dbanie o wizerunek marki? Jakie są kluczowe elementy umowy z influencerem?

Jednoosobowe firmy coraz szybciej się zadłużają

Z raportu Krajowego Rejestru Długów wynika, że mikroprzedsiębiorstwa mają coraz większe długi. W ciągu 2 lat zadłużenie jednoosobowych działalności gospodarczych wzrosło z 4,7 mld zł do 5,06 mld zł. W jakich sektorach jest najtrudniej?

Sprzedaż mieszkań wykorzystywanych w działalności gospodarczej - kiedy nie zapłacimy podatku?

Wykorzystanie mieszkania w ramach działalności gospodarczej stało się powszechną praktyką wśród przedsiębiorców. Wątpliwości pojawiają się jednak, gdy przychodzi czas na sprzedaż takiej nieruchomości. Czy można uniknąć podatku dochodowego? Skarbówka rozwiewa te wątpliwości w swoich interpretacjach.

REKLAMA

PARP: Trwa nabór wniosków o wsparcie na rozszerzenie lub zmianę profilu dotychczasowej działalności

Polska Agencja Rozwoju Przedsiębiorczości uruchomiła kolejny nabór wniosków o wsparcie na rozszerzenie lub zmianę profilu dotychczasowej działalności prowadzonej w sektorach takich jak hotelarstwo, gastronomia (HoReCa), turystyka lub kultura. Działanie jest realizowane w ramach programu finansowanego z Krajowego Planu Odbudowy i Zwiększania Odporności (KPO).

Dlaczego premiera kontraktów na Ethereum jest ważną chwilą dla kryptowalut

Debiut funduszy ETF na największą z kryptowalut, czyli bitcoin, okazał się absolutnym sukcesem. Premiera tego instrumentu inwestycyjnego opartego o kryptowalutę pozwoliła na dostęp do zakupów BTC inwestorom instytucjonalnym, a to podbiło cenę do kryptowaluty do rekordowych poziomów. Choć regulacyjna saga i batalia banków inwestycyjnych oraz emitentów funduszy trwała kilka lat, zakończyła się sukcesem. W marcu bitcoin osiągnął rekordową cenę ponad $73 000 i choć od tamtej pory jego kurs uległ korekcie, to nadal utrzymuje się powyżej $63 000, a więc znacznie wyżej niż w ubiegłych latach. 

Zadbaj o siebie i swoje przywództwo, czyli wyzwania współczesnego menedżera

Dzisiejszy świat zarządzania wymaga od menedżerów nieustannej ewolucji. Hasło „menedżer od nowa” może oznaczać zarówno rozpoczęcie czegoś od początku, jak i wprowadzenie zmian poprawiających istniejący stan rzeczy. W obliczu dzisiejszych wyzwań, pełnych zawirowań i rozlicznych ścieżek, nowoczesne zarządzanie staje się sztuką balansowania między tradycją a innowacją.

Jaki model logistyczny wybrać dla swojego sklepu internetowego?

Zakładając sklep internetowy, staniesz przed wyzwaniem organizacji całej jego logistyki. Zanim zaczniesz działalność, będziesz musiał zdecydować, gdzie magazynować swoje towary, z jakimi kurierami współpracować i jak obsługiwać zwroty od klientów. Pochłonie to mnóstwo cennego czasu i spory kapitał. W dzisiejszych czasach możesz tego jednak uniknąć. W jaki sposób? Poznaj najciekawsze modele logistyczne dla e-commerce!

REKLAMA

Dobrzy w teorii. Dlaczego nie potrafimy odpoczywać i jak to zmienić?

Potrzeba regeneracji wydaje się oczywista dla każdego, kto funkcjonuje w naprzemiennym cyklu, w którym wysiłek absorbujący przeważającą część naszych aktywności przeplata się z czasem wolnym. Skąd zatem trudność w świadomym uwzględnianiu potrzeby wypoczynku i planowaniu przerw w zawodowym funkcjonowaniu?

Inflacja już niestraszna firmom. Obawia się jej dwa razy mniej firm niż rok temu

W rok o połowę zmalała liczba małych i średnich firm, które boją się, że inflacja może zagrozić ich biznesom. Obecnie to zaledwie co czwarte przedsiębiorstwo. Zaskakujące są jednak branże, w których te obawy są największe. Inflacja straciła też rangę najpoważniejszej obawy.

REKLAMA