Атаки на PoS-терминалы через терминальный сервер

Несколько месяцев назад был опубликован технический анализ трояна под PoS-терминалы Multigrain. Мы также писали об одном случае, когда данная вредоносная программа под PoS использовалась для заражения сотен ресторанов в США.

В конце сентября снова проявилась активность: были зафиксированы новые атаки на PoS, которые заражали их новыми вариантами Multigrain. Однако, в отличие от предыдущей атаки, которая была направлена на рестораны в США, теперь это выглядит так, словно кибер-преступники пытаются найти новые направления, где они могли бы повысить свои доходы. Было 2 волны атак, жертвами которых стали компании из следующих стран:

Жертвами оказались компании из различных сфер деятельности, включая не только типичные рестораны и отели, но также и телекоммуникации, IT-сервисы для предприятий, инжиниринговые услуги, страхование грузов, медицинские услуги и обслуживание, логистика, бухгалтерские услуги, поставщики промышленного оборудования и продукции машиностроения и т.д.

Почему такие разные сферы у жертв? Выглядит так, словно хакеры не стали ограничиваться определенным видом деятельности. Все атаки были совершены через терминальный сервер, подобно тому, что мы уже видели в других случаях, с использованием атак типа «brute-force», которые проводятся до тех пор, пока хакеры не смогут подобрать регистрационные данные для доступа к серверу и заразить его Multigrain. Здесь речь идет об автоматизированных атаках, когда кибер-преступники запускают сканирование Интернета для поиска потенциальных жертв, и как только таковые находятся, они запускают атаку для получения доступа к серверу.

Чтобы минимизировать риски, компании должны помнить, что по возможности такие сервисы лучше оградить от Интернета. В том случае, если они должны быть доступны через Интернет, то необходимо использовать надежные регистрационные данные (со сложным паролем, чтобы можно было избежать атак типа «brute-force»), использовать по возможности двухэтапную авторизацию, не стандартные порты и, конечно, осуществлять мониторинг всех внешних соединений.

Оригинал статьи: Point of Sale attacks through Terminal Server