Šta se dešava sa bankarskim Trojancem Shylock

Opisi virusa, 08.04.2013, 07:25 AM

Bankarski Trojanac Shylock je jedan od najsofisticiranijih malvera koji se trenutno koriste u finansijskim prevarama.

Malver se pojavio u julu 2011. godine i do maja prošle godine njegove mete, banke i druge finansijske institucije uglavnom su bile ograničene na one u Velikoj Britaniji. Od tada, Skylock je doživeo ekspanziju, delujući globalno i nanoseći štetu i bankama u SAD i Italiji. Za taj pohod Trojanca izvan granica Velike Britanije zaslužni su autori malvera koji dodaju nove module i funkcionalnosti ovom „man-in-the-browser“ malveru.

Ovaj Trojanac trenutno ima više oko 60 meta, uglavnom finansijskih institucija u Velikoj Britaniji.

Shylock izvodi MiTB („man-in-the-browser“) napade na web sajtove organizacija koje su mete Trojanca i koji se nalaze na njegovoj listi. Autori malvera su sa te liste uklonili „manje vredne“ banke kao i one koje je teže napasti, kao i one koje više ne pružaju usluge „vrednijim“ klijentima.

Od nedavno, Shylock je počeo da preuzima i pokreće dodatne module koji uključuju arhiver koji omogućava kompresiju i otpremanje video fajlova udaljenim serverima, BackSocks mehanizam koji omogućava Shylock-u da koristi zaražene računare kao proxy servere, DiskSpread funkcionalnost koja omogućava Trojancu širenje putem prenosivih diskova, Ftpgrabber koji omogućava Shylock Trojancu krađu lozinki iz različitih programa, MsgSpread koji omogućava malveru da se širi preko Skype poruka i VNC koji pruža mogućnost napadaču da se sa daljine poveže sa kompromitovanim računarima.

Osim liste meta i dodavanja novih modula, autori malvera su ojačali i infrastrukturu malvera da bi izbegli zastoje. Symantec je otkrio primerke Trojanca koji pomažu da se održi ravnoteža u opterećenju servera tokom perioda pojačanog saobraćaja. Shylock ima tri tipa servera, smatraju u Symantec-u: servere za komandu i kontrolu, VNC i BackSocks servere koji omogućavaju napadačima da izvode daljinske transakcije, i Javascript servere koji upravljaju ubacivanjem koda za presretanje saobraćaja tokom MiTB napada.

Sposobnost da se širi preko Skype poruka Shylock poseduje od januara ove godine. Pre toga, značajnija nadogradnja malvera desila se u novembru prošle godine, kada su autori ojačali malver novom funkcionalnošću koja mu omogućava da utvrdi da li se nalazi na računaru ili ga pokreću stručnjaci za računarsku bezbednost u virtuelnom okruženju.