Penyelidik menemui operasi siber yang besar mensasarkan pelanggan bank Australia

Penyelidik keselamatan dari firma penyelidikan jenayah siber Rusia Group-IB telah menemui operasi siber yang menggunakan perisian kewangan khusus untuk menargetkan pelanggan beberapa bank utama Australia.

Lebih daripada 150,000 komputer, kebanyakannya milik pengguna Australia, telah dijangkiti dengan malware ini sejak 2012 dan telah dimasukkan ke dalam botnet yang penyelidik Kumpulan-IB telah menggelar "Kangaroo" atau "Kangoo," selepas logo kanggaru yang digunakan pada arahan dan kawalan antara muka pelayan, Andrey Komarov, ketua projek antarabangsa di Group-IB, berkata Rabu melalui e-mel.

Malware adalah versi yang diubahsuai dari Carberp, satu program Trojan kewangan yang selama ini digunakan terutamanya terhadap pengguna perbankan Internet dari negara-negara berbahasa Rusia. Sebenarnya, varian Carberp yang sama digunakan sebagai sebahagian daripada operasi yang berbeza yang menyasarkan pelanggan Sberbank di Rusia, kata Komarov.

[Bacaan lanjut: Bagaimana untuk menghapuskan malware dari PC Windows]

Seperti majoriti Trojan kewangan program, Carberp menyokong penggunaan "penyuntik web" skrip khusus yang memberitahu malware bagaimana untuk berinteraksi dengan laman web perbankan dalam talian tertentu. Skrip ini membolehkan penyerang memancing pada sesi perbankan dalam talian yang aktif, memulakan pergerakan penyangak, menyembunyikan baki akaun dan memaparkan bentuk penyangak dan mesej yang muncul dari bank.

Varian Carberp yang mensasarkan pengguna Australia mengandungi suntikan Web untuk Internet laman web perbankan Commonwealth Bank, Bank of Queensland, Bendigo Bank, Adelaide Bank dan ANZ. Malware mampu merampas destinasi pemindahan wang dalam masa nyata dan menggunakan had pemindahan tertentu untuk mengelakkan menaikkan bendera merah, kata Komarov.

Kumpulan-IB percaya bahawa penjenayah siber di sebalik operasi ini terletak di negara-negara bekas Kesatuan Soviet. Walau bagaimanapun, kumpulan itu mempunyai hubungan dengan koperasi keldai di Australia dan juga "kilang korporat" sendiri - akaun bank yang didaftarkan kepada perniagaan palsu - di negara ini, kata Komarov.

Penyerang membuat beribu-ribu laman web penuh dengan istilah dari industri perbankan yang kemudian muncul dalam hasil carian Web untuk kata kunci tertentu, teknik yang dikenali sebagai pengoptimuman enjin carian topi hitam, kata Komarov. Pengguna yang melawat halaman ini diarahkan untuk menyerang tapak yang mengendalikan eksploitasi untuk kelemahan dalam pemalam penyemak imbas seperti Java, Flash Player, Adobe Reader dan lain-lain, katanya.

Jumlah 150,000 komputer yang dijangkiti bukan bilangan yang sedang aktif pelanggan botnet, tetapi kiraan sejarah jangkitan unik sejak 2012 dikumpulkan dari arahan botnet dan pelayan kawalan, kata Komarov. Juga, tidak semua pengguna yang terjejas sebenarnya menggunakan perbankan dalam talian, katanya. Kadar itu kira-kira satu dalam setiap tiga mangsa, yang dianggarkan.

Group-IB mengatakan bahawa ia bekerja dengan bank-bank yang disasarkan dan telah berkongsi maklumat yang dikumpulkan dari perintah botnet dan server kawalan dengan mereka, termasuk kredensial akaun yang dikompromikan dan Alamat Protokol Internet komputer yang dijangkiti.