Crimeware, nowe zagrożenia

W artykule nie zostały omówione metody infekowania komputerów użytkowników ani inne taktyki, takie jak phishing czy socjotechnika, stosowane przez cyberprzestępców do atakowania organizacji finansowych. Zagadnienia te nadal są aktualne, jednak zostały szczegółowo omówione w artykułach opublikowanych wcześniej, na przykład tutaj: http://www.viruslist.pl/analysis.html?newsid=510.

Celem tego artykułu jest odpowiedź na pytanie - czy w obecnych warunkach można skutecznie zatrzymać falę szkodliwego oprogramowania atakującego branżę finansową? Artykuł ten jest przeznaczony głównie dla ekspertów i specjalistów pracujących w instytucjach finansowych, jak również specjalistów z dziedziny IT zainteresowanych tym tematem.

Zanim przejdę dalej, chciałbym podkreślić, że rankingi organizacji finansowych zawarte w tym artykule nie odzwierciedlają ich wiarygodności (lub jej braku). Rankingi te często opierają się na popularności systemu, na którym pracuje użytkownik. Wnioskowanie o wiarygodności systemu bezpieczeństwa banku na podstawie materiałów przedstawionych w tym artykule byłoby niewłaściwe.

Cyberprzestępcy w natarciu

Coraz częściej słyszymy o udanych atakach cyberprzestępców na klientów organizacji finansowych. Ataki wykorzystujące szkodliwe oprogramowanie zwykle przeprowadzane są według utartego schematu: poszukiwanie odpowiedniej ofiary i infekcja komputera, kradzież danych umożliwiających logowanie do systemów bankowości online, a następnie pobranie środków z konta ofiary.

Doskonałym przykładem takiego szkodliwego oprogramowania jest szkodnik (zestaw narzędzi) należący do rodziny Zbot, znany również jako ZeuS.
Jest to szkodliwe narzędzie do kradzieży danych uwierzytelniających podczas logowania się użytkownika do kont bankowych online. ZeuS był bardzo aktywny przez cały 2009 rok i nadal stanowi poważne zagrożenie, najwyraźniej śmiejąc się w twarz specjalistom bezpieczeństwa IT, którzy wiele razy próbowali zdjąć botnety ZeuSa . Nadal działa ponad 700 centrów kontroli tego botnetu, z których każde kontroluje średnio dwadzieścia do pięćdziesięciu tysięcy zainfekowanych komputerów. Na podstawie tych danych możemy się jedynie domyślać, jaka jest liczba potencjalnych ofiar. Dodajmy, że te centra kontroli są rozsiane po całym świecie.

Tak duży zasięg geograficzny centrów kontroli zapewnia botnetowi długowieczność. Jak pokazuje doświadczenie, nie wystarczy zamknąć kilka stron hostingowych, aby niszczyć botnet. 9 marca Roman Husse, który monitorował botnet przy użyciu narzędzia ZeuS Tracker, zauważył gwałtowny spadek liczby centrów kontroli i stwierdził, że ma to związek z "odłączeniem" dostawcy usług internetowych o nazwie Troyak. Do 11 marca liczba centrów kontroli zmniejszyła się do 104. Jednak dwa dni później Troyak znalazł nowego dostawcę i do 13 marca liczba centrów kontroli ponownie wzrosła do 700, zatem niedługo mogliśmy cieszyć się dobrymi wiadomościami.

Rodzina szkodliwego oprogramowania ZeuS nie jest jedynym zestawem narzędzi, który został stworzony, aby umożliwić kradzież danych logowania użytkownika w celu uzyskania dostępu do jego finansów online. Na przykład zestaw narzędzi Spy Eye potrafi nie tylko kraść wymagane dane, ale również niszczyć swojego konkurenta ZBot/Zeus, co oznacza, że tuż obok nas toczy się wirtualna wojna. Podobną sławą cieszył się botnet Mariposa, który składał się z 13 milionów komputerów na całym świecie i został zdjęty przez policję hiszpańską w grudniu 2009.

W panelu kontrolnym botnetu Spy Eye cyberprzestępcy stosowali ikonki w stylu małych sakiewek pieniędzy do przedstawienia każdego użytkownika zainfekowanego komputera wchodzącego w skład botnetu.

Czy branża antywirusowa natrafiła na ścianę technologiczną?

Botnety pełnią rolę cieplarni w rozprzestrzenianiu "finansowego" szkodliwego oprogramowania. To właśnie przy użyciu tego rodzaju programów cyberprzestępcy mogą najszybciej ukraść pieniądze użytkowników i ciągle znajdować nowe ofiary. Statystyki pokazują wyraźny wzrost liczby szkodliwych programów atakujących klientów banków i innych organizacji finansowych w ciągu minionych kilku lat.

Sytuację pogarsza fakt, że ogromny odsetek takich szkodliwych programów nie jest wykrywany przez rozwiązania antywirusowe większości producentów w momencie ich pojawienia się. Na przykład, według informacji dostarczanych przez ZeuS Tracker Center, w połowie marca ponad połowa szkodliwego oprogramowania rozprzestrzenianego za pośrednictwem botnetu ZBot/Zeus nie została wykryta. To oznacza, że atak tego szkodliwego oprogramowania powiódł się. Zanim użytkownicy uzyskali odpowiednią ochronę od firm antywirusowych, cyberprzestępcy zdołali przechwycić wszystkie potrzebne informacje.

Dlaczego tak się dzieje?

Aby odpowiedzieć na to pytanie, przyjrzymy się, jak wygląda proces "leczenia" przy użyciu typowych antywirusowych baz danych. Proces ten może się różnić w zależności od producenta rozwiązania antywirusowego, ogólnie jednak w każdym przypadku zawiera te same kluczowe kroki (zobacz Rysunek 3):

Przyjrzyjmy się teraz bliżej poszczególnym krokom:

• Krok 1: gdy cyberprzestępca wypuści nowy szkodliwy program, zadaniem numer jeden firmy antywirusowej jest zidentyfikowanie i uzyskanie jego próbki. Odbywa się to na wiele sposobów: plik jest wysyłany ofiarom, zostaje schwytany przez system automatycznego przechwytywania czy też gromadzenia szkodliwego oprogramowania lub firma antywirusowa uzyskuje go w ramach wymiany plików z partnerami itd. Jednak biorąc pod uwagę metody rozprzestrzeniania stosowane przez szkodliwe oprogramowanie, mimo sporej liczby kanałów, którymi mogą zostać uzyskane przykłady szkodliwego kodu, nie zawsze da się szybko uzyskać próbkę występującą na wolności (ang. ITW - In-The-Wild).

• Krok 2: po uzyskaniu próbki rozpoczyna się proces analizy. Etap ten może zostać przeprowadzony przez automatyczne systemy i analityków wirusów. Kończy się dodaniem sygnatury do antywirusowej bazy danych.

• Krok 3: po dodaniu sygnatury do antywirusowej bazy danych rozpoczyna się proces testowania. Celem testów jest zidentyfikowanie potencjalnych błędów w dodanych wpisach.

• Krok 4: po zakończeniu fazy testów aktualizacje są dostarczane użytkownikom programu antywirusowego.

Od pojawienia się szkodliwego pliku do otrzymania przez użytkownika aktualizacji antywirusowych baz danych może minąć kilka godzin. Na tak duże opóźnienie składa się czas potrzebny do przeprowadzenia każdego kroku opisanego wyżej procesu. Naturalnie, po takim czasie użytkownik uzyska niezawodną ochronę. Paradoks polega na tym, że taka ochrona przypomina zamknięcie drzwi stajni po ucieczce konia. Jeżeli komputer użytkownika jest zainfekowany, to znaczy, że cyberprzestępca ukradł już jego dane osobiste. Antywirusowa baza danych może pomóc ostrzec użytkownika, że ktoś włamał się do jego systemu, jednak dane zostały już utracone.

Cyberprzestępcy doskonale orientują się, jak wygląda, od początku do końca, proces publikowania uaktualnień. Wiedzą, ile czasu zajmuje aktualizacja bazy danych, zdają sobie również sprawę, że ich twory w końcu zostaną wykryte. Dlatego często wybierają następujący plan ataku: wypuszczają szkodliwy plik, następnie po upływie kilku godzin, gdy programy antywirusowe zaczną już go wykrywać, przeprowadzają nowy atak przy użyciu kolejnego programu, za każdym razem zyskując sobie dodatkowy czas kilku godzin - i tak dalej, i tak dalej. W rezultacie, nawet jeżeli branża antywirusowa potrafi skutecznie wykrywać zagrożenia, stare dobre technologie antywirusowe muszą walczą, aby dotrzymać kroku, co oznacza, że ochrona nie zawsze jest zapewniana natychmiast, tak jak powinna.

Prowadzisz firmę ? Zajrzyj na e-mojafirma.infor.pl/mala-firma

Podsumowując:

• Czas reakcji większości technologii antywirusowych, takich jak wykrywanie oparte na sygnaturach i wykrywanie generyczne, nie spełnia dzisiejszych potrzeb. To oznacza, że szkodliwy program często kradnie dane użytkowników i przekazuje je cyberprzestępcom, zanim nowy wpis zostanie dodany do antywirusowej bazy danych, a użytkownik końcowy otrzyma uaktualnienia;

• Liczba ataków z wykorzystaniem oprogramowania crimeware na klientów organizacji finansowych rośnie wykładniczo.

Organizacje finansowe a ochrona klientów

Mając na względzie opisywaną sytuację, tj. aktualizacje antywirusowe nie są w stanie sprostać obecnemu poziomowi zagrożeń, organizacje finansowe próbują opracować i stosować własne metody uwierzytelniania klientów w celu zminimalizowania ryzyka i zmaksymalizowania ich odporności na wysiłki cyberprzestępców.
Trzeba podkreślić, że ostatnio wiele czołowych organizacji finansowych zaczęło wprowadzać dodatkowe rozwiązania i metody elektronicznego uwierzytelniania swoich klientów. Poniżej przedstawiamy kilka z nich:

• Wprowadzenie kodów TAN (Transaction Authorization Numbers, jednorazowe hasło potwierdzenia transakcji)
• Wirtualne klawiatury
• Powiązanie klientów ze stałym adresem IP
• Tajne pytania i hasła
• Wykorzystywanie kluczy sprzętowych lub urządzeń USB w celu dodatkowej autoryzacji
• Biometryczne systemy uwierzytelniania

 Trzeba jednak zaznaczyć, że cyberprzestępcy wiedzą, w jaki sposób skutecznie "przechytrzyć" istniejące systemy ochrony. Bez wątpienia kroki podjęte przez instytucje finansowe znacznie utrudniły życie cyberprzestępców, nie stanowią jednak panaceum na wszystkie zagrożenia. Wiadomości o stratach na skutek takich ataków nadal napływają, podobnie jak doniesienia z pierwszej linii frontu.

• FDIC: w trzecim kwartale 2009 roku amerykańskie firmy straciły 120 milionów dolarów (prawie wszystkie z nich miały związek ze szkodliwym kodem) computerworld.com;

• Brytyjskie stowarzyszenie emitentów kart kredytowych: straty w sektorze bankowości online w Wielkiej Brytanii w 2009 roku zwiększyły się o14%, wynosząc około 60 milionów funtów ;

• FBI: w 2009 roku cyberprzestępcy w Stanach Zjednoczonych ukradli użytkownikom ponad połowę miliarda dolarów, dwa razy więcej niż w 2008 roku. Celem ataków są głównie brazylijskie banki. Według danych dostarczanych przez Kaspersky Lab, liczba banków, które ucierpiały w wyniku podobnych ataków w ciągu pierwszych trzech miesięcy 2010 roku zbliża się do tysiąca.

Cyberprzestępcy nieustannie znajdują nowe i bardziej zaawansowane sposoby przechwytywania informacji użytkowników, mimo że stowarzyszenie banków wprowadza dodatkowe zabezpieczenia w celu ochrony swoich klientów online.

Podsumowując:

• Instytucje finansowe wprowadziły dodatkowe sposoby autoryzacji, na co cyberprzestępcy znaleźli nowe sposoby obejścia uaktualnionych metod bezpieczeństwa. Proces ten będzie kontynuowany: zwiększanie bezpieczeństwa - znajdowanie nowych luk - zwiększanie bezpieczeństwa - znajdowanie nowych luk itd.
• Wysokość strat spowodowanych działaniami cyberprzestępców nieustannie wzrasta.

---

Czy istnieją efektywne rozwiązania?

Spróbujmy teraz odpowiedzieć na główne pytanie: czy w dzisiejszych realiach można pokonać oprogramowanie crimeware?
Przyjrzyjmy się zasygnalizowanym wcześniej problemom, które dotykają banków i innych instytucji finansowych i domagają się niezwłocznego rozwiązania.

• Opóźnienia w dostarczaniu aktualizacji antywirusowych baz danych. Czas, jaki mija pomiędzy pojawieniem się nowego szkodliwego programu na wolności a otrzymaniem aktualizacji przez użytkownika końcowego, nie spełnia dzisiejszych wymagań;
• Liczba zagrożeń dla klientów instytucji finansowych wzrasta wykładniczo;
• Metody bezpieczeństwa oferowane przez organizacje finansowe nie rozwiązują problemu utraty środków przez klientów w przypadku wykorzystania trojana.

Obraz sytuacji przedstawia się dość ponuro. Branża antywirusowa nie jest w stanie zareagować wystarczająco szybko, szkodliwi użytkownicy pozostają na wolności, a klienci banków nie zawsze są wystarczająco dobrze chronieni. Nie wszystko jednak stracone. Nieustannie rozwijane są nowe technologie, a dzisiejsze czołowe firmy antywirusowe oferują rozwiązania potrafiące odpierać ataki cyberprzestępców.

Niektórzy gracze na rynku antywirusowym już teraz wykorzystują technologie w chmurze. Znacząco pomagają one w wykrywaniu i blokowaniu szkodliwej zawartości, jak również ograniczają jego źródła. Mówimy tu o technologiach klient-serwer, które analizują metadane zawierające informacje o aktywności szkodliwego oprogramowania na komputerach użytkowników. Jednak metadane mogą być wysyłane tylko za zgodą użytkownika i nie zawierają prywatnych informacji.

Technologia ta różni się od metod wykrywania opartego na antywirusowych bazach danych pod względem analizy próbek. Silnik antywirusowy może analizować próbki według ustalonych reguł, takich jak rozpoznawanie nietypowych schematów zachowania. Analiza online metadanych otrzymywanych od wielu użytkowników jednocześnie pozwala na wykrywanie "podejrzanej aktywności", a następnie blokowanie wykrytych zagrożeń, zapobiegając rozszerzeniu się problemu. W praktyce użytkownicy takich rozproszonych sieci mogą uzyskać ochronę w kilka minut po pojawieniu się zagrożeń.

Wykorzystanie technologii antywirusowych w chmurze oferuje wiele zalet:

• Szybkie wykrywanie - kilka minut od pojawienia się nowego zagrożenia w porównaniu z kilkoma godzinami wymaganymi do aktualizacji antywirusowych baz danych;
• Znacznie wyższy poziom wykrywania przez produkty antywirusowe dzięki połączeniu nowych technologii ze sprawdzonymi metodami; podejście to jest bardzo skuteczne w identyfikowaniu nowych zagrożeń;
• Natychmiastowe wykrywanie i blokowanie zagrożeń oraz ograniczanie ich rozprzestrzeniania się;
• Dodatkową korzyścią tej technologii jest ukazywanie "pełniejszego" obrazu: o której godzinie i gdzie miał miejsce atak, kto go przeprowadzili, ile było ofiar, jak wielu użytkowników miało ochronę itd.

Jakie korzyści zyskują organizacje finansowe?

Opisane rozwiązania potrafią ostrzec instytucje finansowe o pojawieniu się wszelkich nowych zagrożeń dla klientów automatycznie i w czasie rzeczywistym. Takie ostrzeżenia mogą zawierać szczegółowe informacje o zagrożeniach i instrukcje ich zwalczania.
Istnieje również zapotrzebowanie na usługę zapewniania organizacjom finansowym osobistego dostępu do tak zwanej "sali dowodzenia". Jest to rodzaj zasobu sieciowego, który wymaga indywidualnego loginu i hasła. Użytkownicy mogą uzyskać o wiele więcej informacji niż te, które są dostępne w powiadomieniach e-mail. Na przykład, sala dowodzenia online obejmowałaby raporty i analizy istotne dla danej organizacji, jej regionu oraz źródła ataków na klientów organizacji.

Porady, triki i tutoriale  (Windows XP, Vista, MS Office,) - czytaj na komputer.wieszjak.pl

Jednak wprowadzenie takiego systemu powiadamiania i raportowania może nie przynieść optymalnych rezultatów z kilku powodów:

• Nie wszyscy klienci banków posiadają oprogramowanie antywirusowe zainstalowane na swoich komputerach, co utrudnia uzyskanie wszystkich danych dotyczących ataku.
• Pełne i centralne analizowanie informacji wymagałoby wykorzystywania przez klientów bankowości online tego samego programu antywirusowego, co w praktyce okazuje się niemożliwe.
• Istnieje również kwestia zaufania: instytucje finansowe surowo zabraniają wysyłania zewnętrznym firmom jakichkolwiek informacji dotyczących klientów ze względu na duże ryzyko utraty cennych danych lub przeniknięcia do ich sieci.
Wszystkie te czynniki komplikują identyfikowanie ukierunkowanych ataków.

Aby uzyskać pełny obraz działań cyberprzestępców w świecie bankowości, niezbędna jest bezpośrednia współpraca między firmami antywirusowymi a instytucjami finansowymi.

• Rozwiązanie wykrywające szkodliwe oprogramowanie mogłoby zostać zintegrowane z bankowością online po stronie klienta, ponieważ nie wymagałoby to danych osobistych. Wprowadzenie tego rodzaju usługi można zintegrować z polityką bezpieczeństwa, co w przyszłości zmniejszyłoby wydatki banków na rekompensaty i kary.

• Centra wstępnej automatycznej analizy zagrożeń mogłyby być zarządzane przez własne działy bezpieczeństwa banków, co umożliwiłoby im niezależne przeprowadzanie analiz w razie potrzeby. Obecnie duże korporacje finansowe posiadają zwykle własne działy IT.

Dzięki pełnej kontroli nad otrzymywanymi danymi wewnętrzny dział bezpieczeństwa mógłby podejmować niezależne decyzje o tym, jakie informacje należy wysłać firmie antywirusowej do analizy. Należy pamiętać, że ustanowienie tego rodzaju centrum analizy w instytucji finansowej jest zalecane jedynie wtedy, gdy firma chce kontrolować przepływ danych, które należy przetworzyć, i chce brać udział w procesie analizy ataków. Z powodów, które zostały wymienione wcześniej, jest to optymalne rozwiązanie dla dużych graczy rynkowych: utworzenie wewnętrznego działu IT zdolnego do przeprowadzania analiz ataków szkodliwego oprogramowania.

• Osoby korzystające z usług bankowości online otrzymywałyby niezwłocznie informacje z centrów analitycznych o neutralizacji nowych zagrożeń i ich źródłach.
Ściślejsza współpraca pomiędzy firmami antywirusowymi a instytucjami finansowymi w dziedzinie walki z oprogramowaniem crimeware mogłaby pomóc upiec dwie pieczenie na jednym ogniu. Organizacje finansowe mogłyby zastosować takie podejście, aby zminimalizować ryzyko i zmniejszyć koszty ponoszone w związku z takimi incydentami. Firmy antywirusowe miałyby szansę skuteczniej zwalczać ataki ukierunkowane.

Wsparcie rządowe

Do tej pory analizowaliśmy dwie strony zaangażowane w walkę z cyberprzestępcami: firmy antywirusowe i organizacje finansowe. Istnieje jednak trzeci gracz, który mimo możliwości zaangażowania się nie odgrywa wystarczająco aktywnej roli - mowa tu o rządzie.  Bez wsparcia rządowego szansa na pokonanie cyberprzestępców jest minimalna. W przeciwieństwie do państw Internet nie posiada granic, co daje cyberprzestępcom całkowitą wolność działania. Czy koreański bank może szybko zamknąć brazylijską stronę rozprzestrzeniającą szkodliwe oprogramowanie, ściśle przestrzegając wszystkich procedur krajowych oraz prawa międzynarodowego? Czy bank brazylijski może zrobić to samo w Chinach?

Odpowiedź jest oczywista i w obu przypadkach brzmi "nie". Podjęcie walki z cyberprzestępcami w sytuacji, gdy nie istnieją skuteczne mechanizmy współpracy z odpowiednimi władzami innego kraju jest co najmniej problematyczne. Takie zmagania przypominają zawody w przeciąganiu liny. Jak tylko pojawią się nowe technologie przeznaczone do zwalczania działań cyberprzestępców, natychmiast rozwijają oni nowe sposoby obejścia tych metod. Następnie proces rozpoczyna się od nowa i tak w nieskończoność.

Tabela poniżej prezentuje rozkład geograficzny usług hostingowych rozprzestrzeniających oprogramowanie crimeware w pierwszym kwartale 2010 roku.

Kraj             Odsetek całkowitej liczby ataków

Brazylia                           30,28%
Stany Zjednoczone           26,55%
Chiny                               7,39%
Rosja                               5,70%
Niemcy                             4,41%
Francja                            3,26%
Hiszpania                          2,88%
Wielka Brytania                  2,10%
Korea Południowa              1,53%
Holandia                            1,39%
Inne                                 14,51%

Wnioski

Zasygnalizowaliśmy wiele problemów, z jakimi borykają się obecnie firmy antywirusowe i instytucje finansowe w swojej walce z cyberprzestępczością oraz kradzieżą pieniędzy klientów bankowości online. Omówiliśmy również potencjalne rozwiązanie tego problemu.  Oprócz bankowości online rozwiązanie to można stosować również do innych systemów. Może być wykorzystywane do efektywnego monitorowania ataków na graczy gier online, systemów płatności elektronicznych oraz platform wymiany. Warto zauważyć, że tego rodzaju ataki są o wiele częstsze niż ataki na systemy bankowości online.

Warto po raz kolejny zaznaczyć, że dużą rolę mają do odegrania rządy. Bez poparcia rządowego niewiele można osiągnąć w walce z cyberprzestępcami. Problem pozostanie nierozwiązany, dopóki nie będą istniały efektywne i wydajne mechanizmy umożliwiające komunikację i interakcję pomiędzy właściwymi władzami.

Słowniczek

Crimeware - Rodzaj szkodliwego oprogramowania, które zostało stworzone w celu automatycznego popełniania przestępstw finansowych. Do tej kategorii należą również programy o podobnym szkodliwym zachowaniu, takie jak trojany bankowe, trojany kradnące hasła itd.

Próbki ITW (In-The-Wild) - Szkodliwe programy wykrywane "na wolności" w systemach użytkownika, które świadczą o infekcji.

Kaspersky Security Network (KSN) - System gromadzenia danych o istniejących zagrożeniach w czasie rzeczywistym. Ponadto, system ten efektywnie identyfikuje nieznane zagrożenia i ich źródła oraz oferuje szybką reakcję w celu zapewnienia ochrony użytkownikom.

Botnet - Botnet to grupa zainfekowanych komputerów, z których utworzono sieć kontrolowaną przez centrum sterowania umożliwiające szkodliwym użytkownikom centralne zarządzanie siecią oraz wykorzystanie zainfekowanych komputerów do własnych celów.

Źródło: Kaspersky LAB