Το Dyre Banking Trojan εστάλη σε χρήστες μέσω επιθέσεων Blitz Spam – Οι χειριστές του spam botnet Cutwail άλλαξαν την τακτική τους και άρχισαν να στέλνουν κακόβουλα μηνύματα ηλεκτρονικού ταχυδρομείου με στόχο εκατομμύρια χρήστες.
Ερευνητές ασφαλείας παρατήρησαν ότι αντί για κακόβουλα συνημμένα, τα μηνύματα ηλεκτρονικού ταχυδρομείου που αποστέλλονται από τα botnet περιέχουν συνδέσμους που οδηγούν στο κακόβουλο λογισμικό Upatre, το οποίο οδηγεί στο τραπεζικό Dyre Trojan.
Το δέλεαρ ακολουθεί ένα κοινό πρότυπο, καθώς το θέμα του μηνύματος αφορά σε σημαντική ανακοίνωση που περιλαμβάνεται στο μήνυμα και ισχυρίζεται ότι προέρχεται από μια νόμιμη εταιρεία που μπορεί ή δεν μπορεί να σχετίζεται με το δυνητικό θύμα.
Σε γενικές γραμμές, έχει παρατηρηθεί ότι τα μηνύματα ηλεκτρονικού ταχυδρομείου που σχετίζονται με κάποιου είδους οικονομικό ζήτημα (φορολογική δήλωση, τιμολόγιο, τραπεζικό λογαριασμό, πρόστιμα) ελκύουν την προσοχή του χρήστη, καθιστώντας τον ευπαθή σε παραβίαση.
Ερευνητές από τη Symantec αναφέρουν ότι σε ορισμένες περιπτώσεις οι σύνδεσμοι οδηγούν σε ιστοσελίδες phishing που φαίνονται ως ιστοσελίδες log-in χρηματοπιστωτικών υπηρεσιών που παρέχονται από διαφορετικούς οργανισμούς.
“Ο στόχος του ηλεκτρονικού ταχυδρομείου, ωστόσο, είναι να οδηγήσει τον παραλήπτη ώστε να κάνει κλικ στο URL που περιλαμβάνεται, το οποίο είτε θα οδηγήσει σε κακόβουλο λογισμικό ή σε ιστοσελίδα phishing. Στις επιθέσεις χρησιμοποιείται η ίδια δομή URL από παραβιασμένα νόμιμα domains”, αναφέρει ο Nick Johnston από τη Symantec.
Σε ένα blog post, την Τετάρτη, ο ίδιος σημειώνει ότι μετά την πρόσβαση στο κακόβουλο link ο χρήστης κατευθύνεται σε μια σελίδα που αναφέρεται σε ένα εξωτερικό αρχείο JavaScript. Το πρόγραμμα περιήγησης στο web του θύματος επαληθεύεται, και αν ταιριάζει με το προφίλ, τότε το επόμενο βήμα της επίθεσης αρχίζει: το θύμα λαμβάνει το Upatre που κατεβάζει το Dyre, επίσης γνωστό ως Dyreza.
Ο Johnston παρατηρεί ότι οι αναφερόμενες διευθύνσεις URL φαίνεται να κατευθύνουν σε νόμιμα αρχεία JQuery, τα οποία είναι σε κώδικα HTML. Ωστόσο, δεν οδηγούν σε στατικό περιεχόμενο, όπως συμβαίνει συνήθως, αλλά σε μια δυναμική διαδικτυακή υπηρεσία που ανταποκρίνεται στα αιτήματα.
Ο ερευνητής αναφέρει ότι η JavaScript που επιστρέφεται περιέχει JJEncode που δεν λειτουργεί σε όλους τους browsers. Ωστόσο, ακόμα και αν το obfuscation αφαιρεθεί, ο κώδικας εξακολουθεί να περιλαμβάνει ασυνάρτητες μεταβλητές και ονόματα συναρτήσεων.
Η απειλή απαιτεί την αλληλεπίδραση του χρήστη, αλλά δεδομένου ότι ο χρήστης έχει ήδη ακολουθήσει το κακόβουλο link για να λάβει το υποτιθέμενη αρχείο που περιέχει οικονομικές πληροφορίες, είναι ασφαλές να υποθέσουμε ότι ο χρήστης θα κάνει επίσης extract το περιεχόμενο του αρχείου και θα το εκτελέσει.
