Εντοπίστηκε νέο malware που αδειάζει τραπεζικούς λογαριασμούς

Οι ερευνητές της ESET ανακάλυψαν ένα νέο στέλεχος banking malware, το BackSwap, το οποίο χρησιμοποιεί μια πρωτόγνωρη τεχνική για να παρακάμψει τα ειδικά μέτρα προστασίας των δημοφιλών προγραμμάτων περιήγησης. Το κακόβουλο λογισμικό, το οποίο η ESET ανιχνεύει και μπλοκάρει ως Win32/BackSwap.A, επιτίθεται μέσω του Google Chrome, του Mozilla Firefox, ενώ σε πρόσφατες εκδόσεις οι δημιουργοί του πρόσθεσαν λειτουργίες για επιθέσεις και μέσω Internet Explorer.

Η εξάπλωση του BackSwap γίνεται μέσω spam email με στόχο χρήστες στην Πολωνία. Τα email έχουν συνημμένο ένα αρχείο JavaScript downloader. Το downloader, το οποίο προέρχεται από την οικογένεια malware Nemucod, έχει υποστεί τεχνικές απόκρυψης περιεχομένου (obfuscation). Αφού εισέλθει στο σύστημα μέσω του browser, το BackSwap αναμένει την ανίχνευση τραπεζικής δραστηριότητας, και θα αναλάβει δράση αν το ποσό της τραπεζικής μεταφοράς κυμαίνεται σε ένα συγκεκριμένο εύρος – συνήθως στοχεύουν πληρωμές μεταξύ 10.000 και 20.000 ζλότι Πολωνίας (περίπου 2.800 – 5.600 δολάρια Αμερικής). Τότε, εισάγει κακόβουλο JavaScript στην ιστοσελίδα, είτε μέσω της κονσόλας JavaScript του προγράμματος περιήγησης είτε απευθείας στη γραμμή διευθύνσεων.

Όλες αυτές οι λειτουργίες γίνονται χωρίς τη γνώση του χρήστη. Πρόκειται για ένα φαινομενικά απλό τέχνασμα, το οποίο ωστόσο καταφέρνει να ξεγελά τους προηγμένους μηχανισμούς προστασίας του browser, οι οποίοι έχουν αναπτυχθεί για πιο σύνθετες επιθέσεις. Όπως χαρακτηριστικά σημειώνει ο Michal Poslušný, Malware Researcher της ESET: «Το Win32 / BackSwap.A μας δείχνει ότι στη συνεχιζόμενη μάχη μεταξύ της βιομηχανίας ασφάλειας και των δημιουργών banking malware, οι νέες κακόβουλες τεχνικές δεν χρειάζεται απαραίτητα να είναι πολύ εξελιγμένες για να είναι αποτελεσματικές. Θεωρούμε ότι, καθώς τα προγράμματα περιήγησης προστατεύονται καλύτερα από τις σύγχρονες επιθέσεις, οι δημιουργοί κακόβουλων προγραμμάτων θα επιτεθούν στα προγράμματα περιήγησης με διαφορετικές μορφές, και το Win32/BackSwap.A πιθανά αποδεικνύει αυτό ακριβώς».