Stfw.RuИсследователи компании buguroo Threat Intelligence Labs опубликовали доклад, посвященный деятельности гибридного банковского трояна GozNym, сочетающего в себе функционал известных вредоносов Gozi и Nymaim. Троян GozNym уже был замечен в ряде различных кампаний, направленных на пользователей в США и Канаде, а затем распространившихся на Европу.
Эксперты buguroo зафиксировали новый виток атак с использованием GozNym, в основном направленных на банки и финансовые сервисы в Испании, Польше и Японии и в ряде случаев – на пользователей из Канады, Италии и Австралии. По данным исследователей, операторы трояна используют новые техники, пока еще далекие от совершенства.
К примеру, в Испании вредоносное ПО распространяется через вредоносные ссылки, ведущие на скомпрометированные сайты под управлением WordPress. Согласно экспертам, число жертв в этой стране значительно ниже по сравнению с показателями Польши и Японии. На момент проведения исследования серверы, использовавшиеся для распространения и управления вредоносом, были неактивны или отключены. В числе пострадавших от действий GozNym оказались известные финансовые группы и платежные системы, в частности PayPal, CitiDirect BE, ING Bank, Société Générale, BNP Paribas, Bank of Tokyo и пр.
Как показал анализ, GozNym продолжает эволюционировать. Сейчас троян использует сложную технику динамической web-инъекции, позволяющей избежать обнаружения. Кроме того, каждый раз после обнаружения атаки операторы вредоноса модифицируют его код, что позволяет обойти защиту, установленную целевой организацией и осуществить повторную атаку.
Когда жертва пытается провести транзакцию, троян немедленно отсылает соответствующее сообщение на C&C-сервер злоумышленников. В ответ сервер отправляет пользователю фальшивое предупреждение о необходимости ввода ключа для завершения транзакции. Жертва вводит необходимые данные и таким образом отправляет средства на счет так называемого «мула».
По данным исследователей, некоторые пользователи привязываются к определенному «мулу» в какой-либо стране, и операторы трояна сами решают, сколько средств будет переведено в результате транзакции. В то же время другим пользователям назначаются случайные мулы, а сумма транзакции четко фиксирована. В конечном итоге все зависит от «ценности» жертвы. Как правило, более масштабные операции привязываются к более надежным мулам, отметили исследователи.
