CERT Polska: więcej ataków na użytkowników bankowości online w 2014 r.

W 2014 r. wzrosły ataki na użytkowników bankowości internetowej często wykorzystując do tego złośliwe oprogramowanie przygotowane przez polskojęzycznych cyberprzestępców - wynika z raportu dotyczącego cyberbezpieczeństwa w 2014 r. zespołu CERT Polska.

CERT Polska działa w ramach Naukowej i Akademickiej Sieci Komputerowej (NASK) od 19 lat i monitoruje zagrożenia związane z cyberbezpieczeństwem użytkowników internetu w Polsce. Regularnie przygotowuje także raport będący podsumowaniem zagrożeń w danym roku obecnych w internecie.

"Wzrost działalności ukierunkowanej na użytkowników bankowości internetowej jest najważniejszym i najbardziej niepokojącym trendem w 2014 r. Zrealizowane zostały wszystkie znane nam do tej pory oraz zupełnie nowe scenariusze zmierzające do kradzieży środków, a wykradzione kwoty niejednokrotnie wynosiły kilkaset tysięcy złotych" - podkreślili w raporcie dotyczącym 2014 r. eksperci CERT Polska.

Piotr Kijewski szef zespołu CERT Polska powiedział PAP, że działania cyberprzestępców wobec użytkowników bankowości online są coraz bardziej wyrafinowane.

"Cyberprzestępcy, żeby być jeszcze bardziej skutecznymi, zakładają konta w bankach i badają jak działają systemy transakcyjne. Wszystko po to, żeby szukać punktu zaczepienia do planowanych ataków na użytkowników. I następnie wykorzystują tę wiedzę w atakach" - powiedział Kijewski.

Kolejna technika - wyjaśnił Kijewski - którą wykorzystują cyberprzestępcy to przeprowadzanie dokładnej analizy potencjalnych celów ataku. "Chodzi o to, że cyberprzestępcy instalują złośliwie oprogramowanie na wielu komputerach użytkowników, powiedzmy np. na 10 tys. i zbierają dane o nich. Następnie analizując zebrane informacje wybierają konkretne osoby, które potem atakują, aby przejęć pieniądze z ich konta. To pokazuje, że cyberprzestępcy wybierają precyzyjnie cele ataków" - powiedział Kijewski.

Kolejny trend zaobserwowany przez ekspertów CERT Polska to wzrost złośliwego oprogramowania napisanego przez osoby swobodnie posługujące się językiem polskim. Jednym z pierwszych tego typu programów atakujących użytkowników był "VBKlip", zwany też "Banapter" bądź "ClipBanker". Jego działanie polegało na prostym pomyśle. Za każdym razem, gdy w schowku systemu Windows znajdował się numer konta bankowego - 26 cyfr rozdzielonych spacjami bądź nie - zostawał on podmieniany na inny numer konta.

Jak wyjaśnił Kijewski często, aby np. zapłacić fakturę, kopiujemy numer rachunku bankowego do schowka, a następnie wklejamy go w serwisie bankowości elektronicznej. Zmiana tego numeru w międzyczasie może zostać niezauważona, jeśli nie porównamy jeszcze raz numeru rachunku, na który zamierzamy wykonać przelew, z tym na fakturze. Kopiując swój numer rachunku użytkownik nie zauważył, że został on podmieniony. W efekcie wysłany został numer rachunku wybrany przez cyberprzestępców, na który druga osoba, nieświadomie i mimo niezainfekowanego komputera przelała pieniądze.

W ubiegłym roku najbardziej zaawansowanym tego typu złośliwym programem polskiego pochodzenia był "Banatrix". "W sierpniu 2014 r. otrzymywaliśmy sygnały od użytkowników, którzy twierdzili, że pomimo przepisania numeru rachunku bankowego, wciąż zostawał on podmieniony. Po uzyskaniu próbki od jednego ze zgłaszających okazało się, że złośliwe oprogramowanie podmienia numer rachunku w pamięci procesu przeglądarki" - wyjaśnił Kijewski.

Wyjaśnił, że "Banatrix" przeszukuje listę procesów pod kątem obecności procesu pochodzącego z jednej z czterech popularnych przeglądarek internetowych - Internet Explorer, Firefox, Opera lub Chrome. Jeśli taki proces zostanie odnaleziony, wówczas złośliwe oprogramowanie przeszukuje jego pamięć. W pamięci przeglądarki znajdują się między innymi dane, które sami wprowadziliśmy - na przykład numer konta do przelewu. Po znalezieniu takiego numeru zostaje on podmieniony na inny, pobrany z serwera zarządzającego złośliwym oprogramowanirm. Jednak samo złośliwe oprogramowanie mogło przeprowadzić więcej szkodliwych działań. Możliwe było wykonanie dowolnego kodu na komputerze ofiary.

Raport znajduje się na stronie www.cert.pl (PAP)