Всемирный праздник потребления под названием «Черная пятница», к счастью, закончился. Осталось выяснить, сэкономили ли вы деньги или все же потеряли. И этот вопрос имеет отношение не только к нужности и полезности приобретенных товаров. Иногда вместо покупки выходит утечка данных кредитной карты или учетной записи платежной системы, а затем и прямая кража денег в результате действий киберпреступников. Феномен массовых распродаж вызывает интерес и у тех, кто защищает платежи в онлайне, поэтому исследований по безопасности на прошлой неделе тоже было достаточно. Давайте посмотрим на самые интересные.
В сегодняшнем выпуске: атаки на пользователей с помощью вредоносных программ на персональных компьютерах и на мобильных телефонах. Атаки на интернет-магазины с последующей кражей данных кредиток. И просто поддельные веб-сайты, которые ничего не продают, но деньги от населения принимают. А начнем мы с исследованного «Лабораторией Касперского» Android-трояна Rotexy.
Rotexy (краткий обзор в новости, полное ) — это вредоносная программа для устройств на базе Android, впервые обнаруженная в 2014 году. Особенностью этого семейства троянов стало использование сразу трех каналов для общения с командным сервером: через SMS, напрямую через Интернет или с помощью сервиса Google Cloud Messaging. Распространяется троян через SMS-сообщения со ссылкой на зараженный APK под именем AvitoPay.apk или подобным. Если вы когда-нибудь размещали объявление о продаже и получали странное SMS со ссылкой «готов оплатить, нажмите сюда», вот это оно и было (или что-то подобное, таких программ немало). После установки и запроса прав администратора Rotexy отправляет на командный сервер IMEI устройства. В ответ прилетает набор правил, которые позволяют обрабатывать, например, SMS от онлайн-банкинга. Выглядят эти правила примерно так:
Еще одним способом нечестного отъема денег у населения является создание и продвижение поддельных сайтов, мимикрирующих под популярные онлайн-платформы. В исследовании компании Group-IB () сообщается об обнаружении минимум 400 клонов одной только площадки AliExpress. Прошлогоднее «пятничное» исследование «Лаборатории Касперского» значительный рост доли покупок с мобильных устройств, где определить, что перед вами поддельный веб-сайт, еще сложнее, чем при просмотре десктопной версии. Наконец, для кражи платежных реквизитов совершенно не обязательно атаковать конечных пользователей. С 2015 года исследователи в области информационной безопасности отслеживают деятельность группировки MageCart, получившей свое название благодаря атакам на CMS Magento. Например, от их рук этим летом крупный сервис по продаже билетов Ticketmaster.
По данным исследователя Виллема де Грота, в ноябре между участниками группировки (или отдельными бандами) началась конкуренция (, в блоге исследователя). На одном из сайтов было обнаружено сразу несколько вредоносных скриптов, отправляющих данные о номерах кредитных карт злоумышленникам. Один из скриптов (более продвинутый) не только собирал номера кредиток — он также вмешивался в работу конкурентов: на их сервер отправлялись номера карт, в которых была подменена одна цифра с помощью вот такого простого рандомайзера.
Рекомендации по предотвращению кражи средств с кредитных карт и угона учетных записей платежных систем, несмотря на развитие методов атак, остаются прежними. Защита устройств от вредоносного ПО, использование для оплаты онлайн отдельных карт с ограниченным бюджетом, использование двухфакторной аутентификации как для учетных записей, так и для проведения платежей. Ну и, возвращаясь к истории про Android-троян, не стоит кликать на ссылки, даже если вам их присылает вроде бы знакомый человек.
Disclaimer: Мнения, изложенные в этом дайджесте, могут не всегда совпадать с официальной позицией «Лаборатории Касперского». Дорогая редакция вообще рекомендует относиться к любым мнениям со здоровым скептицизмом.
