Historia ta zaczyna się dokładnie 10-tego lutego, kiedy po polskim Internecie zaczyna krążyć zmodyfikowana wersja popularnego ZeuSa, atakująca polskojęzycznych klientów ING Banku Śląskiego i mBank.
Zeus do niedawna działał głównie na zasadzie zbliżonej do keyloggera, który przechwytuje loginy i hasła do bankowości internetowej. Infekcja komputera ZeuSem z reguły następuje poprzez ataki drive-by-download, wykorzystujące błędy w oprogramowaniu użytkownika komputera. ZeuS do ataku wykorzystuje również phishing (wyłudzanie poufnych informacji osobistych) i inne elementy inżynierii socjalnej: klient trafia na stronę internetową i myśli, że ogląda oryginalną stronę banku, więc podaje wszystkie dane, o które prosi podszywający się pod godną zaufania instytucję oszust.
Do tej pory banki, które do autoryzacji transakcji internetowych wykorzystywały SMS kody (mTAN) przesyłane do klientów na ich telefony komórkowe, spały spokojnie. ZeuS, stosując opisane powyżej metody, nie był im straszny. Ale teraz wykorzystywana już rok temu za granicą wersja ZeuSa implementująca ataki Man-in-the-Mobile (przechwytująca jednorazowe SMS-y z hasłami wysyłane przez bank do wykonania niektórych operacji) dotarła do Polski.
Ataki na klientów ING i mBank
“Dedykowana” polskim klientom ING Banku Śląskiego wersja ZeuSa modyfikuje stronę internetową banku (wstrzykując dodatkowe fragmenty kodu HTML). Klient trafiający na taka stronę podaje login i hasło (pełne!), a następnie widzi ZeuSowy komunikat “bezpieczeństwa”, proszący go o podanie modelu i numeru telefonu w celu przesłania “certyfikatu bezpieczeństwa“.
Przegląd Finansowy Bankier.pl |
|
| Przegląd Finansowy Bankier.pl to pigułka informacyjna z wyselekcjonowanymi, najważniejszymi wiadomościami z rynku finansowego. Nasz tygodnik to również wyjątkowe wywiady, oceny produktów, czy w końcu informacje podatkowe. |
Przez ZeuSa wspierany jest Symbian oraz BlackBerry, a od tej wersji także Windows Mobile. Dlaczego nie ma iPhone’a? Bo użytkownicy tego telefonu w założeniu nie mogą sami instalować na nim aplikacji - muszą je ściągnąć z AppStore’a kontrolowanego przez Apple.
I tak oto Zeus obchodzi dwuskładnikowe uwierzytelnienie — mając login, hasło i możliwość odczytania kodu SMS-owego przesłanego na komórkę klienta, Zeus ma też możliwość wyczyszczenia nam konta.
Piotr Konieczny
Przeczytaj całość! Pobierz Przegląd Finansowy.
