Το GozNym, ένα τραπεζικό trojan που ανακαλύφθηκε μόλις δύο μήνες πριν, έχει προσθέσει ένα νέο τέχνασμα στο οπλοστάσιό του και το χρησιμοποιεί για να στοχεύσει υψηλού επιπέδου επιχειρηματικές τραπεζικές υπηρεσίες στις ΗΠΑ.
Η ομάδα ασφαλείας της IBM, η X-Force ανακάλυψε το GozNym τον Απρίλιο του 2016, όταν ανίχνευσε το trojan που στόχευε πελάτες χρηματοπιστωτικών ιδρυμάτων στις ΗΠΑ και στον Καναδά.
Στις αρχικές εκδόσεις του, το trojan χρησιμοποιούσε μια τεχνική με το όνομα “Web injections”, το οποίο βασίζεται σε κακόβουλο DLL που φορτώνεται στο πρόγραμμα περιήγησης του χρήστη για να δείξει επικαλύψεις (overlays) στην κορυφή της σελίδας, όταν επισκέπτεται ένα τραπεζικό portal υποστηριζόμενο από modules του trojan.
Οι Web injections επιθέσεις είναι κοινές και οι Web injects του GοzNym κληρονομούνται από το Gozi banking trojan. Στην πραγματικότητα, το όνομα GozNym προέρχεται από το συνδυασμό των Gozi και Nymaim, ενός malware dropper.
Δύο εβδομάδες αφότου η IBM δημοσίευσε τα ευρήματά της σχετικά με τις τακτικές του GοzNym, οι απατεώνες πίσω από το κακόβουλο λογισμικό πρόσθεσαν μια νέα ιδέα στο τρόπο λειτουργίας τους.
Το GοzNym άρχισε να χρησιμοποιεί μια τεχνική που ονομάζεται “επίθεση ανακατεύθυνσης”. Το trojan ανέπτυξε αυτή η επίθεση αρχικά μόνο στην Πολωνία, στοχεύοντας 230 διευθύνσεις URL που άνηκαν σε 17 χρηματοπιστωτικά ιδρύματα.
Μια επίθεση ανακατεύθυνσης συμβαίνει όταν το κακόβουλο λογισμικό ανακατευθύνει το χρήστη σε ένα ψεύτικο banking portal, το οποίο το διαχειρίζονται απατεώνες. Για να ξεγελάσουν τους χρήστες, οι επιτιθέμενοι χρησιμοποιούν κακόβουλο λογισμικό για να δείξει τη σωστή διεύθυνση URL και το πραγματικό SSL πιστοποιητικό της τράπεζας στη γραμμή διευθύνσεων του προγράμματος περιήγησης.
Οι επιθέσεις ανακατεύθυνσης έχουν γίνει διάσημες από τα τραπεζικά trojans, όπως τα Dyre και Dridex, αλλά σε μικρότερο βαθμό.
Είναι απίστευτα δύσκολο να εντοπιστούν και να είναι η βάση των κυβερνο-εγκληματικών ομάδων επειδή είναι ακριβά για να τρέξουν, τόσο οικονομικά όσο και από πλευράς ανθρωπίνων πόρων.
Οι GozNym φορείς χρειάζονται τόσο την server υποδομή για να φιλοξενήσει όλα αυτά τα banking portal αντίγραφα όσο και τους προγραμματιστές για να ενημερώνουν διαρκώς τις πλαστές ιστοσελίδες ώστε να μοιάζουν με τις αρχικές.
«Στις περισσότερες περιπτώσεις, το GozNym ανακατευθύνει την αρχική σελίδα της τράπεζας, αλλά αυτή δεν είναι η μόνη σελίδα που το κακόβουλο λογισμικό μπορεί να ανακατευθύνει», εξηγεί ο Limor Kessem της IBM. «Υπάρχουν περιπτώσεις όπου άλλες σελίδες κάνουν ανακατεύθυνση σε αντίγραφο του GοzNym για να αναγκάσουν το θύμα να εισάγει τα διαπιστευτήρια σύνδεσής του.»
Αφότου η δραστηριότητα από το Dyre botnet άρχισε να μειώνεται, το GozNym και το Dridex είναι τα μόνα τραπεζικά trojans που κάνουν επιθέσεις ανακατεύθυνσης.
Σύμφωνα με τα στατιστικά της IBM, το GozNym κατατάσσεται ως το πέμπτο πιο ενεργό τραπεζικό trojan botnet για τους πρώτους μήνες του 2016. Το Dridex καταλαμβάνει τη δεύτερη θέση.
