Phát hiện mã độc Chthonic nhắm vào ngân hàng trực tuyến toàn cầu

13:12 | 23/12/2014 | HACKER / MALWARE

Một phần mềm độc hại mới nhắm mục tiêu đến hệ thống ngân hàng trực tuyến và khách hàng đã bị phát hiện. Nó là sự tiến hóa của Trojan Zeus khét tiếng, được biết đến với tên gọi Trojan-Banker.Win32.Chthonic (Chthonic).

Các nhà nghiên cứu bảo mât tại Kaspersky Lab đã phát hiện loại mã độc này và danh sách nạn nhân của Chthonic đã lên đến 150 ngân hàng, 20 hệ thống thanh toán khác nhau tại 15 quốc gia.

Phát hiện mã độc Chthonic nhắm vào ngân hàng trực tuyến toàn cầu

Chthonic khai thác các chức năng của máy tính bao gồm web camera và bàn phím để lấy cắp thông tin ngân hàng trực tuyến cũng như mật khẩu đã lưu. Kẻ tấn công cũng có thể kết nối với máy tính để điều khiển nó thực hiện các giao dịch từ xa. Kể từ khi xuất hiện, Chthonic nhắm mục tiêu chủ yếu là các tổ chức tài chính ở Anh, Tây Ban Nha, Mỹ, Nga, Nhật Bản và Italy.

Vũ khí chính của Chthonic là các lây nhiễm vào web. Điều này cho phép Trojan chèn mã của chính nó và hình ảnh vào các trang web của ngân hàng và có thể được tải xuống bởi trình duyệt máy tính. Từ đó, kẻ tấn công có thể lấy được số điện thoại, mật khẩu sử dụng một lần và mã PIN, cũng như bất kỳ thông tin đăng nhập và mật khẩu do người sử dụng nhập vào máy.

Nạn nhân bị lây nhiễm thông qua các đường link web hoặc email đính kèm với phần mở rộng là dữ liệu .doc để thiết lập một cửa hậu cho mã độc. Phần đính kèm có chứa một tài liệu RTF đặc biệt, được thiết kế để khai thác lỗ hổng CVE-2014-1761 có trong các sản phẩm của Microsoft Office.

Sau khi tải về, mã độc hại có chứa một tập tin với cấu hình mã hóa được lây nhiễm vào quá trình msiexec.ex và rất nhiều môđun độc hại sẽ được cài đặt trên máy tính. Đến nay Kaspersky Lab đã phát hiện ra rằng các môđun có thể thu thập thông tin hệ thống, ăn cắp mật khẩu, đăng nhập bằng tổ hợp phím, cho phép truy cập từ xa và ghi lại video và âm thanh, thông qua các camera và microphone nếu có.

Trong trường hợp của một trong các ngân hàng Nhật Bản bị nhắm là mục tiêu, các phần mềm độc hại có thể ẩn các cảnh báo của ngân hàng, thay vì lây nhiễm một đoạn kịch bản cho phép những kẻ tấn công thực hiện các giao dịch khác nhau bằng cách sử dụng tài khoản của nạn nhân.

Tại Nga, khách hàng của các ngân hàng bị lừa đảo ngay sau khi họ đăng nhập vào các website của ngân hàng có dính mã độc. Điều này xảy là do Trojan tạo ra một bản sao của trang web lừa đảo được thiết lập tương tự như cửa sổ ban đầu.

Chthonic có một số điểm tương đồng với các Trojan khác. Nó sử dụng mã hóa và downloader giống như Andromeda bots, sơ đồ mã hóa giống như trojans Zeus AES và Zeus V2, và một máy ảo tương tự được sử dụng trong phần mềm độc hại ZeusVM và KINS. May mắn thay, nhiều đoạn mã được sử dụng bởi Chthonic để thực hiện tấn công không còn có thể được sử dụng, bởi vì các ngân hàng đã thay đổi cấu trúc của các website của họ hoặc các tên miền.

‹ › ×

Tin cùng chuyên mục

Thế vận hội Paris 2024 sẵn sàng đối phó với thách thức an ninh mạng

08:00 | 17/05/2024

Thế vận hội Paris 2024 đang chuẩn bị để sẵn sàng đối mặt với thách thức chưa từng có về mặt an ninh mạng, với việc các nhà tổ chức dự kiến sẽ phải chịu áp lực rất lớn đối với Thế vận hội vào mùa hè này.

Lỗ hổng CVE-2024-31497 trong PuTTY làm rò rỉ khóa riêng

10:00 | 08/05/2024

Mới đây, một lỗ hổng nghiêm trọng định danh CVE-2024-31497 được phát hiện trong PuTTY - ứng dụng client SSH phổ biến dành cho Windows làm rò rỉ khóa riêng.

Lỗ hổng trên DeFi trên Curve Finance được trao thưởng lên tới 250.000 USD

09:00 | 17/04/2024

Một nhà nghiên cứu bảo mật có biệt danh Marco Croc từ Kupia Security đã được thưởng 250,000 USD vì phát hiện ra một lỗ hổng mà trong lịch sử đã cho phép tin tặc rút hàng triệu USD từ các giao thức tiền điện tử. Lỗ hổng này tái xuất hiện trong giao thức tài chính phi tập trung (DeFi) Curve Finance.

Hệ thống công nghệ thông tin của PVOIL bị tấn công ransomware

09:00 | 03/04/2024

Ngày 02/4, hệ thống công nghệ thông tin của Tổng công ty Dầu Việt Nam (PVOIL) bị tấn công bất hợp pháp có chủ đích theo hình thức mã hóa dữ liệu (ransomware). Vụ việc này đã khiến hệ thống công nghệ thông tin của PVOIL bị ngưng trệ, việc phát hành hóa đơn điện tử phục vụ việc bán hàng của PVOIL tạm thời không thể thực hiện được.