Ponad 200 polskich banków komercyjnych i spółdzielczych na celowniku nowego internetowego szkodnika – kilka dni temu ta wiadomość PAP wzbudziła szerokie zainteresowanie. Sprawę skomentowały między innymi ZBP, KNF i policja, uspokajając opinię publiczną. Pojawiły się podejrzenia, że informacja miała promować usługi jednej z firm IT.
Po raz pierwszy doniesienia o nowej mutacji złośliwego oprogramowania nazwanej GozNym pojawiły się w zagranicznych serwisach w połowie kwietnia. Konia trojańskiego celującego w klientów banków nazwano „dwugłową bestią”, ponieważ łączył on w sobie cechy rodziców – szkodników Gozi ISFB i Nymaim. O odkryciu nowego szczepu donosił IBM X-force Research, wskazując że jest on „aktywnie używany” w atakach na użytkowników 24 instytucji finansowych w USA i Kanadzie.
25 kwietnia Polska Agencja Prasowa opublikowała materiał, który był początkiem „kariery” GozNym w naszym kraju. „IBM X-force poinformował, że polskie banki zostały zaatakowane przez złośliwe oprogramowanie - GozNym. To najszerzej zakrojony tego typu atak w Polsce - zaatakowano 17 banków komercyjnych oraz 230 banków spółdzielczych” – tak brzmiał fragment wiadomości, którą zamieszczono w wielu serwisach informacyjnych.
"Atak, który obecnie obserwujemy w Polsce z wykorzystaniem malware o nazwie GozNym, jest pod pewnymi względami szczególny i oznacza, że Polska dołączyła do niespecjalnie elitarnego klubu krajów, które będą najczęściej atakowane przez cyberprzestępców" - powiedział w rozmowie z PAP Marcin Spychała z IBM X-force.
Bankowcy i policja uspokajają
Wiadomości o szeroko zakrojonym ataku mogły zaniepokoić opinię publiczną. 26 kwietnia głos w tej sprawie zabrał przedstawiciel Związku Banków Polskich, uspokajając, że pieniądze klientów są bezpieczne. O tym, że sytuacja nie jest wyjątkowa informowała również KNF. Swoje trzy grosze dorzuciła policja. "Jeżeli banki padają ofiarami przestępców, to do nas takie sygnały docierają. Nie mamy informacji o żadnych masowych atakach na banki w Polsce" - powiedziała PAP Iwona Kuc z zespołu prasowego Komendy Głównej Policji.
Już dzień po elektryzującej informacji sprawę zaczęto bagatelizować w specjalistycznych serwisach dotyczących bezpieczeństwa IT. Zwrócono uwagę, że w oryginalnej informacji PAP, oprócz sensacyjnie brzmiących zwrotów, pojawiło się ważne zdanie. Eksperci IBM stwierdzili, że posiadają „schematy ataku” na polskie banki, a więc zapewne pliki konfiguracyjne szkodnika. Dzięki nim byli w stanie stwierdzić, że GozNym może celować w polskie instytucje. To jednak nie oznacza, że kampania się już rozpoczęła. Serwis Niebezpiecznik.pl, komentując sprawę, wysunął tezę, że być może wiadomość miała promować usługi IBM, a w szczególności produkt Trusteer monitorujący bezpieczeństwo urządzenia klienta.
Dlaczego nie warto bagatelizować zagrożenia?
Uspokajające informacje płynące z różnych źródeł nie oznaczają, że GozNym nie będzie stanowić zagrożenia dla klientów polskich banków. Warto zwrócić uwagę na kilka interesujących szczegółów dotyczących tego szkodnika:
- Przestępcy zadali sobie trud przygotowania konfiguracji ataku dla szerokiego grona instytucji, w tym, co stanowi pewne novum, banków spółdzielczych.
- Zgodnie z informacjami opublikowanymi przez IBM, szkodnik wykorzystuje zaawansowany mechanizm „podstawienia” podrobionej strony w miejsce oryginalnego serwisu banku. To, co widzi użytkownik to nakładka na właściwą stronę, a utrzymując szyfrowane połączenie z bankiem, koń trojański może wyświetlić w przeglądarce wszelkie graficzne wskazówki upewniające ofiarę, że jest tam, gdzie być powinna (kłódka, nazwa instytucji posiadającej certyfikat w pasku adresu).
- Po „zalogowaniu” do banku, a w rzeczywistości podaniu danych do logowania przestępcom, szkodnik może wyświetlić komunikat pobrany z centrum dowodzenia. Taka wiadomość pozwala np. zażądać podania kodu jednorazowego wysłanego SMS-em pod jakimkolwiek pretekstem. Od zdolności socjotechnicznych przestępców zależy, na ile taki komunikat będzie wiarygodny. Oszuści zyskują dzięki temu możliwość obejścia drugiego stopnia zabezpieczeń i przy odpowiednim zgraniu czasowym ataku, wykonania w imieniu ofiary np. przelewu.
Jeśli dojdzie do zarażenia komputera ofiary, to tylko wzmożona czujność użytkownika pozwoli na uniknięcie zastawionej pułapki. Warto przypomnieć przede wszystkim o konieczności zachowania podejrzliwości we wszystkich sytuacjach, gdy bank żąda hasła jednorazowego oraz o dokładnym sprawdzaniu treści wiadomości SMS wysyłanej przez bank. Niespodziewane komunikaty o konieczności uaktualnienia danych, konieczności zwrotu błędnie dokonanej wpłaty itp. powinniśmy zgłaszać obsługującej nas instytucji. Nie jest wykluczone, że w ten sposób szkodnik zainstalowany na naszym komputerze wyłudza od nas dane potrzebne do wykonania operacji.
Niestety nadal nie wiadomo ze stuprocentową pewnością, w jaki sposób można zarazić się nowym typem złośliwego oprogramowania (jeśli już rozprowadzane jest wśród Polaków). Prawdopodobnie odbywa się to poprzez otwarcie załącznika przesłanego w wiadomości mailowej. Użytkownicy regularnie korzystający z poczty elektronicznej zdążyli się już zapewne przyzwyczaić do wiadomości zawierających „faktury”, „wezwania do zapłaty” i inne pułapki. Brak czujności może w tym przypadku sporo kosztować.
