19 декабря 2013
Trojan.Skimer.18 передается банкоматам
Компания «Доктор Веб», которая является российским производителем антивирусных средств для защиты информации, сообщает о распространении трояна Trojan.Skimer.18. Целью злоумышленников, которые разработали вредоносное приложение, являются банкоматы одного из крупных мировых производителей. Вредоносный троянец может перехватывать и передавать данные с банковских карт непосредственно злоумышленникам. Эти данные, обработанные инфицированным банкоматом, включают в том числе информацию на карте с секретным PIN-кодом.
Trojan.Skimer.18 не является первой разработкой, способной инфицировать программное обеспечение банкоматов. Но он является первым из троянов, который ориентирован на весьма распространенные в России устройства. Вредоносная программа, выполненная в виде динамической библиотеки, активируется из инфицированного приложения, а потом выбирает имя файла журнала, где хранит похищенную информацию о транзакциях.
Trojan.Skimer.18 в инфицированном банкомате сначала запускается в его системе. Затем дожидается авторизации пользователя. После авторизации считывает и сохраняет данные карты в файл журнала Track2 (включая номер счета, сервисный код, срок действия карты и остальную важную информацию), в том числе и PIN-код.
Разработчиками банковского оборудования с целью сохранения конфиденциальности была введена специальная технология. С ее помощью PIN-код в зашифрованном виде передается банкомату с банковского сервера. При этом ключ шифрования периодически обновляется. Но Trojan.Skimer.18 способен обходить эту защиту. Троян с помощью средств программного обеспечения расшифровывает PIN-код.
Управляют вредоносной программой (как и ее ранними версиями) при помощи специально подготовленных мастер-карт. Сначала инфицированный банкомат опознает мастер-карту, помещенную в считыватель. На дисплее открывается диалоговое окно с использованием интерфейса XFS (Extensions for Financial Services). Происходит взаимодействие с оператором-злоумышленником. Так как у банкоматов нет полноценной клавиатуры, троян перехватывает нажатие клавиш PIN-пада (EPP, Encrypted PIN Pad), а затем транслирует их в собственное окно.
Если злоумышленники захотят, то Trojan.Skimer.18 по их команде способен:
- имитировать «выздоровление» инфицированной системы банкомата;
- отобразить на экране статистику похищенных данных;
- удалить файл журнала;
- осуществить перезагрузку банкомата;
- поменять режим своей работы;
- обновить свою версию (либо только вредоносную библиотеку). Это возможно с помощью запуска соответствующего приложения. Само приложение считывается с чипа мастер-карты.
Авторы вируса процедуру обновления визуализировали с помощью аппаратных индикаторов считывателя банковской карты и индикатора процесса, отображаемого на дисплее банкомата.
Данные, которые троянец похитил, по команде «оператора записываются на чип мастер-карты. А информация из файла журнала сначала проходит сжатие в два этапа. Так как данный троянец очень похож на другие подобные вредоносные программы для заражения банкоматов, то можно предположить авторство одного и того же человека. Сигнатура нового троянца добавлена в вирусные базы. Эта вредоносная программа успешно распознается и удаляется антивирусным ПО Dr.Web.
