Банковский троян атаковал сервер правительства

Ведущие специалисты  международной антивирусной компании ESET на прошлой неделе обнаружили и ликвидировали довольно крупный банковский троян, основной целью которого являлись персональные аккаунты интернет-пользователей Бразилии. Главной особенностью данной угрозы стало использование в процессе мощной кибератаки некоей уязвимости правительственного почтового сервера.

Для похищения секретной конфиденциальной информации угроза устанавливала особое расширение, предназначенное специально для браузера Google Chrome, которое в последствии позволяло злоумышленникам перехватывать все необходимые для входа в систему онлайн-банкинга аутентификационные данные. Отметим, что в Бразилии киберпреступники достаточно часто используют банковское вредоносное программное обеспечение, получая при этом поразительную по своим размерам прибыль.

Недавно разработанные антивирусные решения корпорации ESET детектировали вышеупомянутый вредоносный код как Spy.Banker.AU/MSIL. Угроза распространялась посредством специальной спам-кампании, главным звеном в  которой являлся дроппер, отвечающий за установку необходимых JavaScript-объектов и динамических DLL-библиотек на скомпрометированном компьютере.

После установки вредоносного расширения в браузер  Google Chrome, оно начинало отслеживать все посещаемые интернет-пользователем сайты, стремясь при этом, в первую очередь, мониторить веб-ресурсы крупных бразильских финансовых учреждений. После того, как пользователь входил в свою учетную запись на одном из подобных ресурсов, практически сразу его аутентификационные данные отправлялись на сервер злоумышленников. Стоит отметить, что для отправки был выбран весьма необычный способ – киберпреступниками использовалась уязвимость в конфигурации одного из серверов, которые принадлежат бразильскому правительству.

На настоящий момент времени, благодаря совместной работе экспертов компании ESET в содружестве с представителями правоохранительных органов Бразилии, все участвовавшие в кибератаке аккаунты электронной почты заблокированы, а уязвимость сервера, используемая злоумышленниками для получения аккаунта gov.br, уже закрыта.

10.08.2013