Nova verzija trojanca Tinba napada korisnike banaka u celom svetu

Opisi virusa, 25.09.2014, 07:25 AM

Istraživači firme Trusteer, a nešto pre njih i istraživači Avasta, otkrili su novu verziju trojanca Tinba, koji je poznat i pod nazivima Tinybanker i Zusy, a čiji je izvorni kod procurio u julu ove godine.

Tinba je postao poznat po tome što uprkos maloj veličini (20 KB) raspolaže funkcionalnostima koje imaju i mnogo veći konkurentski bankarski malveri.

Tinba je otkriven 2012. godine, u vreme njegovih napada na korisnike u Turskoj, a njegov izvorni kod procurio je u julu ove godine, ubrzo pošto su primećeni napadi na klijente banaka u Češkoj.

U ovom trenutku, spisak banaka čije korisnike napada Tinba je proširen, tako da su sada meta trojanca i korisnici većeg broja banaka širom sveta, uključujući i banke u SAD i Kanadi.

Analiza istraživača iz firme Trusteer, Tala Darsana i Džulije Karpin, pokazala je da je procurelom izvornom kodu trojanca dodat DGA (domain generation algorithm), kao rezervni mehanizam za bota koji omogućava “poziv kući” čak i u slučaju da je originalni C&C server oboren. Malver najpre pokušava komunikaciju sa hardkodovanim C&C serverom, i u slučaju da je takav pokušaj neuspešan, on počinje da koristi DGA.

Jedna od novina u novoj verziji malvera je i javni ključ za potpisivanje kao mehanizam provere koji garantuje da poslata poruka može biti jedino od autentičnog bota.

Malver je sada konfigurisan za napad u vreme infekcije čak i bez konekcije sa C&C serverom. Za razliku od ranijih verzija malvera, nova verzija dolazi sa instaliranom konfiguracijom. Ako se pokrene browser pre nego što je malver preuzeo konfiguraciju, koristiće se ona koja je upisana u samom kodu.

Malveru je sada dodat još jedan sloj enkripcije, a rootkit kapaciteti mu omogućavaju da sakrije svoje tragove i izbegne otkrivanje, čak i od strane naprednih korisnika računara.

Od jula, kada je procurio njegov izvorni kod, trojanac Tinba, opremljen novim funkcionalnostima, je uočen u različitim regionima u celom svetu. To bi trebalo da služi kao podsećanje da su sajber kriminalci u potpunosti svesni reverznog inženjeringa i toga da istraživači analiziraju njihove malvere. Odgovor sajber kriminala na to je neprestano razvijanje novih taktika i metoda da bi se ostalo “ispod radara” i izbegle automatizovane i ljudske bezbednosne kontrole.

Detaljnu tehničku analizu nove verzije trojanca Tinba možete naći na blogu firme Trusteer.