Roel Schouwenberg
Starszy analityk wirusów

Artykuł zawiera przegląd metod wykorzystywanych obecnie przez cyberprzestępców do atakowania instytucji finansowych, w szczególności banków. Autor opisuje ogólne trendy i wyjaśnia, w jaki sposób twórcy szkodliwych programów atakujących instytucje finansowe próbują uniemożliwić wykrycie swoich "dzieł" przez rozwiązania antywirusowe. W artykule omówiono również takie zagadnienia, jak phishing, muły pieniężne oraz mechanizmy techniczne, jakie mogą być stosowane przez cyberprzestępców podczas przeprowadzania ataku (przekierowywanie ruchu, ataki typu "Man-in-the-Middle" oraz "Man-in-the-Endpoint"). Na koniec autor proponuje kilka sposobów mogących pomóc zapewnić ochronę przed zagrożeniami, które nieodłącznie wiążą się z bankowością online.

Zawarte tu informacje pozwolą zrozumieć, w jaki sposób cyberprzestępcy przeprowadzają ataki na instytucje finansowe, podpowiedzą również, co można zrobić, aby złagodzić te ataki.

• Ogólne trendy
  • Unikanie wykrycia
  • MuÅ‚y pieniężne
• Phishing
• Zautomatyzowane ataki
  • Przekierowywanie ruchu
  • Ataki typu Man-in-the-Middle
  • NastÄ™pna generacja
• RozwiÄ…zania

Ogólne trendy

W 2007 roku producenci rozwiązań antywirusowych zauważyli ogromny wzrost liczby szkodliwych programów atakujących banki (finansowe szkodliwe oprogramowanie). Mimo braku jasnych informacji z sektora finansowego świadczy to o wzroście liczby ataków na banki.

 
Rys. 1. Odsetek finansowego szkodliwego oprogramowania wśród wszystkich wykrytych szkodliwych programów

Jak pokazuje wykres, mimo wzrostu liczby ataków odsetek finansowych szkodliwych programów wykrywanych w poszczególnych miesiącach spada.

• Twórcy szkodliwego oprogramowania nieustannie zmieniajÄ… swoje programy, aby uniemożliwić ich wykrycie przez rozwiÄ…zania antywirusowe. Jednak w przypadku niewielkich zmian, producenci rozwiÄ…zaÅ„ bezpieczeÅ„stwa wykrywajÄ… nowe próbki szkodliwego oprogramowania przy pomocy sygnatur stworzonych dla wczeÅ›niejszych wariantów.
• Na wykresie uwzglÄ™dniono tylko finansowe szkodliwe programy. Jednak ataki bankowe to na ogół wielostopniowy proces obejmujÄ…cy socjotechnikÄ™, phishing oraz wykorzystanie trojanów downloaderów, które pobierajÄ… finansowe szkodliwe oprogramowanie. PrzestÄ™pcom Å‚atwiej jest zmodyfikować trojany downloadery (które zwykle majÄ… mniejszy rozmiar i sÄ… mniej skomplikowane) niż finansowe szkodliwe oprogramowanie.

Zwiększyła się nie tylko liczba szkodliwych programów atakujących instytucje finansowe, ale również liczba szkodników, które potrafią atakować więcej niż jeden bank lub instytucję jednocześnie. Jednak, jak pokazuje poniższy wykres, równocześnie spada ilość szkodliwego oprogramowania atakującego więcej niż trzy instytucje finansowe:

 
Rys. 2. Finansowe szkodliwe oprogramowanie atakujące więcej niż 3 organizacje finansowe

To oznacza, że celem ogromnej większości takich szkodliwych programów jest atakowanie od jednego do trzech banków. Taka taktyka spowodowana jest dużą regionalizacją finansowego szkodliwego oprogramowania - celem tego typu programów jest przeprowadzanie ataków na określone banki lub instytucje w danym regionie. Dlatego poszczególne szkodliwe programy będą atakowały najpopularniejsze banki w regionie, np. Stanach Zjednoczonych, Niemczech, Meksyku czy Wielkiej Brytanii.

Jak widać na poniższym wykresie, ogromna większość finansowych szkodliwych programów atakuje niewielką liczbę banków. Możemy wyróżnić dwa powody, dla których to właśnie te a nie inne banki stanowią popularny cel ataków: po pierwsze, duża liczba klientów, po drugie stosunkowa łatwość uzyskania uwierzytelnienia umożliwiającego dostęp do kont ze względu na słabe zabezpieczenie.

 
Rys. 3. Odsetek szkodliwego oprogramowania atakującego dziesięć najpopularniejszych
banków wśród wszystkich finansowych szkodliwych programów.

W 2007 roku wzrosła liczba trojanów tworzonych w celu kradzieży wszystkich danych wprowadzanych do formularzy internetowych. Trojany te atakują najpopularniejsze przeglądarki internetowe, takie jak Internet Explorer, Opera czy Firefox. Naturalnie mogą być wykorzystywane do kradzieży kart kredytowych. Przy pomocy takich szkodników można złamać zabezpieczenia banków - wszystko zależy od stopnia zaawansowania zastosowanych środków bezpieczeństwa. Wiele banków stosujących uwierzytelnienie jednokierunkowe może paść ofiarą stosunkowo prostych ataków.

Unikanie wykrycia

Finansowe szkodliwe programy odzwierciedlają główne trendy dotyczące wektorów infekcji wykorzystywanych przez inne zagrożenia IT - ogromna większość szkodników atakujących banki infekuje maszyny lub systemy podczas surfowania przez użytkownika po stronach internetowych. Chociaż niektóre z takich programów nadal przedostają się na maszyny za pośrednictwem poczty elektronicznej, istnieją wyraźne powody, dla których osoby atakujące instytucje finansowe wolą wykorzystywać do tego celu Internet.

Po pierwsze, szkodliwe programy dostarczane za pośrednictwem poczty elektronicznej bardziej przyciągają uwagę producentów rozwiązań antywirusowych oraz instytucji finansowych, nie wspominając już o mediach i użytkownikach końcowych. Ukradkowość jest kluczowym czynnikiem decydującym o powodzeniu ataków na instytucje finansowe, dlatego atak typu drive-by download (atak mający miejsce podczas przeglądania stron WWW) przeprowadzony przy użyciu exploitów jest bez wątpienia atrakcyjną metodą. Jeśli użytkownik nie zauważy niczego podejrzanego, będzie korzystał ze swojego komputera tak jak zwykle - w tym przypadku, nadal będzie wprowadzał poufne dane, które mogą zostać skradzione i wykorzystane przez cyberprzestępców.

Drugim czynnikiem - istotnym jeśli chodzi o uniknięcie szybkiego wykrycia przez rozwiązanie antywirusowe - jest to, że szkodliwe programy infekujące systemy za pośrednictwem sieci są umieszczane na serwerze sieciowym. To oznacza, że cyberprzestępcy wykorzystujący te programy w celu przeprowadzania ataków mogą bardzo łatwo modyfikować szkodliwe pliki przy użyciu zautomatyzowanych narzędzi - metoda ta znana jest jako polimorfizm po stronie serwera. W przeciwieństwie do typowego polimorfizmu (gdy algorytm wykorzystywany do modyfikowania kodu jest zawarty w kodzie szkodliwego programu), mechanizm wykorzystywany do modyfikowania szkodliwego oprogramowania nie może być analizowany przez ekspertów z branży antywirusowej, ponieważ znajduje się on na serwerze. Można naturalnie stworzyć procedury wykrywania generycznego dla programów wykorzystujących polimorfizm po stronie serwera, wymaga to jednak czasu.

Ponadto, niektóre z bardziej zaawansowanych trojanów downloaderów wykorzystywanych do dostarczania finansowego szkodliwego oprogramowania na komputery ulega samozniszczeniu, po tym jak uda im się lub nie pobrać finansowe szkodliwe programy. Naturalnie utrudnia to analizę przeprowadzaną przez specjalistów zajmujących się zwalczaniem szkodliwego oprogramowania.

Muły pieniężne

Wzrost liczby finansowych szkodliwych programów spowodowany jest coraz większą kryminalizacją cyberprzestrzeni polegającą na wykorzystywaniu szkodliwych programów do zarabiania pieniędzy. Cyberprzestępcy muszą w jakiś sposób uzyskać dostęp do skradzionych środków. Naturalnie nie mogą przelać skradzionych pieniędzy na własne konta, ponieważ w ten sposób mogliby zostać łatwo zidentyfikowani i znacznie zwiększyliby ryzyko aresztowania.

W odpowiedzi na wzrost liczby ataków banki zainwestowały więcej czasu, wysiłku i pieniędzy w rozwój mechanizmów wykrywania oszustw i nielegalnej aktywności. Jednym z zabezpieczeń jest "ogłaszanie alarmu", gdy do podejrzanego regionu na świecie zostanie przelana duża ilość pieniędzy.

W celu obejścia tego zabezpieczenia cyberprzestępcy zaczęli wykorzystywać "muły pieniężne". Muły często werbuje się za pośrednictwem pozornie legalnych ofert pracy - na przykład, cyberprzestępcy mogą ogłosić nabór na "menedżera finansowego". Jeżeli potencjalny muł przyjmie taką ofertę, otrzyma do podpisu dokumenty, tak aby cała procedura wydawała się zgodna z prawem. Muł udostępnia swoje konto bankowe, pozwalając, aby dokonywano na nie przelewów pieniężnych, a następnie przelewa 85% - 90% otrzymanej kwoty dalej przy pomocy takiej usługi jak MoneyGram lub E-Gold. Usługi te wykorzystywane są ze względu na gwarancję anonimowości, która zmniejsza prawdopodobieństwo schwytania cyberprzestępcy. Kwota, jaka pozostaje po przelaniu, stanowi "prowizję" muła - naturalnie są to pieniądze, które zostały zarobione nielegalnie za pośrednictwem phishingu lub finansowego szkodliwego oprogramowania.

 
Rys. 4. Rekrutacja mułów pieniężnych

Może wydawać się, że muł pieniężny to łatwy sposób zarobienia pieniędzy, i niektóre muły mogą sądzić, że wykonują legalną pracę. Jednak z punktu widzenia prawa osoby te są narzędziem wykorzystywanym do popełnienia przestępstwa, w przeciwieństwie do osób, które padają ofiarą oszustw phishingowych. Muł ryzykuje to, że zostanie wyśledzony i aresztowany, szczególnie gdy mieszka w tym samym państwie co ofiara.

Wykorzystywanie przez cyberprzestępców mułów pieniężnych ma kilka zalet. Po pierwsze, jeżeli muł znajduje się w tym samym państwie co oszust, istnieje mniejsze prawdopodobieństwo, że automatyczne systemy bankowe oznaczą transakcje jako podejrzane. Po drugie, oszust może wykorzystywać kilka mułów i podzielić kwotę, jaka jest do przelania, np. może rozłożyć przelanie 5 000 dolarów na dziesięć transakcji, zamiast jednorazowo przelać całą kwotę 50 000 dolarów. Obniża to prawdopodobieństwo zablokowania transakcji jako potencjalnie podejrzanej oraz zmniejsza straty w przypadku zablokowania jednej czy dwóch transakcji.

Naturalnie, angażowanie mułów pieniężnych niesie ze sobą pewne ryzyko; cyberprzestępcy muszą mieć pewność, że mogą zaufać wybranemu mułowi. W końcu istnieje niewielka gwarancja - lub nie ma żadnej - że muł po prostu nie zniknie z pieniędzmi, które zostały przelane na jego konto.

Phishing

Omawiając zjawisko phishingu, istotne jest jednoznaczne zdefiniowanie tego terminu. W artykule tym phishing definiujemy jako oszukańcze wiadomości - rzekomo pochodzące od organizacji (finansowej) - wysyłane w celu nakłonienia użytkowników do ujawnienia poufnych informacji. Jest to kwestia socjotechniki i jeśli w całą sprawę zamieszane jest szkodliwe oprogramowanie, atak ten nie może być uważany za phishing.

Niekończący się strumień wiadomości phishingowych oraz narzędzia do tworzenia phishingu wyraźnie pokazują, że phishing wciąż jest bardzo skutecznym sposobem nakłaniania użytkowników do ujawnienia swoich danych uwierzytelniających. Wynika to z kilku powodów. Po pierwsze, edukacja użytkowników nie dała pożądanych rezultatów - niektóre osoby wciąż klikają odsyłacze zawarte w wiadomościach phishingowych. Użytkownicy albo nie są świadomi mechanizmów bezpieczeństwa (takich jak https), nie zwracają na nie należytej uwagi, albo po prostu ignorują ostrzeżenia o nieważnych lub podejrzanych certyfikatach na stronie internetowej. Ponadto chcąc zmaksymalizować swoje zyski, cyberprzestępcy nieustannie wymyślają coraz bardziej wyrafinowane metody socjotechniki, aby oszukać bardziej świadomych zagrożeń użytkowników.

Drugi problem polega na tym, że zabezpieczenia większości instytucji finansowych można złamać bardzo prostym atakiem (phishingowym). Szybki przegląd zabezpieczeń stosowanych przez wiele banków w Stanach Zjednoczonych, Wielkiej Brytanii i w innych państwach pokazuje, że dostęp do systemów bankowości online uzyskiwany jest przy pomocy prostej statycznej nazwy użytkownika i hasła. Cyberprzestępca musi jedynie zdobyć nazwę użytkownika i hasło, aby wykonać niemal każdą transakcję. Kolejny problem z wykorzystywaniem statycznej nazwy użytkownika i hasła wiąże się z tym, że dane można przechowywać, co oznacza, że nieautoryzowani użytkownicy lub cyberprzestępcy nie muszą przetwarzać danych w czasie rzeczywistym - można to zrobić później.

Banki posiadające lepsze polityki bezpieczeństwa będą stosowały co najmniej jedno dynamiczne hasło: jednorazowe hasło ważne tylko w danej sesji. Taka dynamiczna autoryzacja może być wykorzystywana podczas logowania się użytkownika lub podpisywania transakcji, a najlepiej w obu przypadkach. Podejście to uniemożliwia podpisanie transakcji przy pomocy hasła, które straciło ważność. Idealnie byłby, gdyby uniemożliwiało również logowanie.

Aby cyberprzestępca mógł dokonywać transakcji za pośrednictwem phishingu, w przypadku gdy stosowane są hasła dynamiczne, musi przeprowadzić atak typu Man-in-the-Middle. Ten rodzaj ataku zostanie omówiony w dalszej części artykułu. Przeprowadzenie ataku MitM jest o wiele trudniejsze niż stworzenie standardowej strony phishingowej; jednak dzięki zestawom narzędzi MitM przy niewielkim wysiłku cyberprzestępcy mogą przygotować ataki na popularne banki.

Ze względu na rozpowszechnienie phishingu, jest to naturalnie skuteczna metoda ataków. Ataki phishingowe działają na wszystkich popularnych systemach operacyjnych. Jednak z punktu widzenia cyberprzestępców phishing ma jedną wadę: użytkownik może wybrać, czy kliknąć czy nie kliknąć zawarty w wiadomości e-mail odsyłacz, a następnie może zdecydować, czy wprowadzić swoje dane uwierzytelniające.

Możliwość wyboru to nieodłączny element socjotechniki. Podejście techniczne polegające na wykorzystywaniu szkodliwego oprogramowania eliminuje ten element wyboru, co sprawia, że użytkownicy, którzy nie dali się nabrać na oszustwo phishingowe, nadal stanowią realny cel.

Zautomatyzowane ataki

Finansowe szkodliwe programy występują w różnych formach i rozmiarach, a ich celem często są konkretne organizacje. Sposób działania szkodliwych programów zwykle zależy od zabezpieczeń banku. To oznacza, że cyberprzestępcy nie muszą marnować czasu na stworzenie zbyt złożonego szkodliwego oprogramowania. Istnieje kilka metod, przy pomocy których można obejść zabezpieczenia bankowe i przechwycić informacje o użytkowniku. Jeżeli bank wykorzystuje uwierzytelnienie jednokierunkowe ze statyczną nazwą użytkownika i hasłem, wystarczy tylko przechwycić uderzenia klawiszy. Jednak niektóre banki stworzyły dynamiczne klawiatury i aby wprowadzić hasło użytkownik musi kliknąć "losowo wybraną" sekwencję. Autorzy szkodliwego oprogramowania obchodzą tego typu zabezpieczenia przy pomocy dwóch różnych metod - tworzą zrzuty ekranu w momencie odwiedzania przez użytkownika określonej strony lub gromadzą informacje wysłane na stronę, przechwytując formularz. W obu przypadkach skradzione dane są przetwarzane później.

Uzyskiwanie dostępu do kont komplikuje nieco wykorzystywanie numerów TAN (Transaction Authorisation Numbers) w celu podpisywania transakcji. TAN może pochodzić z fizycznej listy wydawanej posiadaczowi konta (na przykład, w postaci karty-zdrapki) przez instytucję finansową albo może być wysyłany SMS-em. W obu przypadkach, cyberprzestępca nie ma dostępu do numeru TAN. W większości przypadków, wykorzystywane przez cyberprzestępców szkodliwe oprogramowanie przechwytuje informacje wprowadzane przez użytkownika w sposób podobny do opisanego wyżej. Gdy użytkownik wprowadzi TAN, szkodliwe oprogramowanie przechwyci te dane i wyświetli fałszywy komunikat o błędzie lub wyśle na stronę finansową nieprawidłowy TAN. W rezultacie, użytkownik może wprowadzić inny TAN. Czasami do przeprowadzenia transakcji mogą być wymagane dwa TAN-y - zależy to od organizacji i zaimplementowanych przez nią systemów bezpieczeństwa. Jeśli do dokonania transakcji wymagany jest tylko jeden TAN, opisany wyżej atak mógłby pozwolić cyberprzestępcy na dokonanie dwóch transakcji.

Powodzenie takiego ataku jest w dużym stopniu uzależnione od implementacji systemu TAN. Niektóre systemy nie posiadają daty wygaśnięcia TAN-u; kolejny TAN na liście musi być kolejnym TAN-em, który zostanie użyty. Jeśli kolejny TAN na liście nie zostanie wprowadzony na stronę banku, cyberprzestępca będzie mógł użyć go natychmiast lub zachować do późniejszego wykorzystania. Jednak skradzione TAN-y posiadają krótszy okres życia niż statyczna nazwa użytkownika i hasło ze względu na to, że użytkownik, który stale napotyka na problemy podczas sesji transakcji bankowych online, z pewnością zadzwoni do banku z prośbą o pomoc.

Jeżeli TAN-y są wysyłane do posiadacza konta za pośrednictwem SMS-a, dla każdej unikatowej transakcji może być wydany unikatowy TAN przy użyciu metody podobnej do uwierzytelnienia dwukierunkowego. Od tego momentu cyberprzestępcy muszą rozpocząć przetwarzanie danych w czasie rzeczywistym za pomocą ataku Man-in-the-Middle.

Przekierowywanie ruchu

Kolejną metodą wykorzystywaną przez cyberprzestępców jest przekierowywanie ruchu. Można dokonać tego na wiele sposobów, z których najłatwiejszym jest zmodyfikowanie pliku "hosts" systemu Windows.

Plik ten, zlokalizowany w folderze %windows%system32driversetc, może zostać wykorzystany do obejścia sprawdzania DNS (Domain Name Server). DNS służy do tłumaczenia nazw domenowych, na przykład www.kaspersky.pl, na adresy IP. Nazwy domenowe stosowane są jedynie ze względu na wygodę użytkowników, natomiast komputery wykorzystują adresy IP. Jeżeli plik hosts zostanie zmodyfikowany, tak aby kierował określoną nazwę domenową na adres IP fałszywej strony, użytkownik zostanie nieświadomie przekierowany do miejsca przygotowanego przez cyberprzestępcę.

Kolejną metodą przekierowywania ruchu jest modyfikowanie ustawień serwera DNS. Zamiast próbować obejść sprawdzanie DNS ustawienia są zmieniane w taki sposób, że maszyna wykorzystuje inny, zainfekowany serwer DNS. Większość osób, które surfują po Internecie z domu, wykorzystuje serwer DNS należący do ich dostawców usług internetowych. W rezultacie, celem ogromnej większości tego typu ataków były stacje robocze. Jednak gdy dostęp do Internetu uzyskiwany jest przez router, najczęściej to właśnie router jest odpowiedzialny za centralne sprawdzanie DNS. Przeprowadzono wiele ataków na routery, których celem było zmodyfikowanie ustawień serwera DNS. Biorąc pod uwagę zwiększone zainteresowanie problemem braku odpowiedniego zabezpieczenia routerów, ataki te staną się prawdopodobnie bardziej rozpowszechnione. Ataki XSS mogą być wykorzystywane do modyfikowania pewnych kluczowych ustawień, takich jak wykorzystywany serwer DNS, poprzez skłonienie użytkownika do odwiedzenia określonej strony internetowej.

Inną metodą przekierowania ruchu jest umieszczenie na atakowanej maszynie trojana monitorującego odwiedzane strony. Gdy tylko użytkownik połączy się ze stroną banku (lub innej instytucji finansowej), trojan przekieruje ruch na fałszywą stronę internetową. Ruch może zostać przekierowany ze strony HTTPS na stronę HTTP (potencjalnie niezabezpieczoną). W takich przypadkach trojan potrafi zwykle ukryć ostrzeżenia wyświetlane przez przeglądarkę.

Jednak z punktu widzenia cyberprzestępców, metoda ta ma swoje słabe punkty: wykorzystywane trojany należą zwykle do grupy Browser Helper Object, co oznacza, że działają tylko w Internet Explorerze. Ponadto, mimo że ruch jest przekierowywany, nie musi być przetwarzany w czasie rzeczywistym, co daje ofierze możliwość skontaktowania się ze swoim bankiem w celu zablokowania transakcji.

Ataki typu Man-in-the-Middle

Bardziej zaawansowane szkodliwe oprogramowanie wykorzystuje atak MitM. Pozwala to cyberprzestępcom nie tylko na atakowanie większej liczby banków, ale również zapewnia wyższy zwrot, ponieważ dane są przetwarzane w czasie rzeczywistym. Atak MitM wykorzystuje zainfekowany serwer do przechwytywania całego ruchu między klientem a serwerem, tj. użytkownikiem a organizacją finansową. Chociaż użytkownik będzie myślał, że wszystko jest w porządku, gdy zostanie proszony o autoryzację transakcji, w rzeczywistości autoryzuje transakcję stworzoną przez cyberprzestępcę. Szkodliwe oprogramowanie, które wykorzystuje ataki MiTM, zwykle ukrywa powiadomienia przeglądarki o fałszywych certyfikatach stron internetowych lub częściej pokazuje fałszywe powiadomienie. Jednak w zależności od stosowanego podejścia szkodliwe oprogramowanie może nie użyć żadnego z tych sposobów, ponieważ nie ma takiej konieczności. Na przykład, jeżeli użytkownik zaloguje się na stronę internetową banku, a szkodnik przejmie kontrolę i zacznie przekierowywać ruch na serwer MitM, szkodliwe oprogramowanie po prostu "uaktualni" stronę banku, przez co użytkownik będzie sądził, że nadal przegląda tę samą stronę.

Wiele bardziej zaawansowanych finansowych szkodliwych programów wykorzystujących ataki MitM stosuje również wstrzykiwanie HTML.

Zwykle objawia się to na jeden lub dwa sposoby. Trojan-Spy.Win32.Sinowal, bardzo rozpowszechniona rodzina szkodliwych programów, które mogą atakować ponad 750 banków, często wyświetla okna wyskakujące, do których użytkownik ma wprowadzić informacje. Sinowal może pokazywać okna wyskakujące, które proszą o podanie zupełnie niepowiązanych informacji w celu skłonienia użytkownika do wprowadzenia innych poufnych danych. Poniższy zrzut ekranu pokazuje okno wyskakujące wygenerowane przez Sinowala na stronie bankowej - użytkownik proszony jest o dane dotyczące karty kredytowej, które nie są związane z daną transakcją.

Rys. 5. Okno wyskakujÄ…ce wygenerowane przez Sinowala

O wiele częściej wstrzykiwanie HTML wykorzystywane jest w celu dodania dodatkowego formularza do strony internetowej banku: tekst towarzyszący formularzowi prosi użytkownika o wprowadzenie dodatkowych informacji.

Dane, o które proszony jest użytkownik, obejmują zwykle dane uwierzytelniające niezbędne do podpisania transakcji. W ten sposób serwer MitM może automatycznie dokonać transakcji, nawet gdy wykorzystywane jest uwierzytelnienie dwukierunkowe.

Metoda ta, chociaż nie jest konieczna do przeprowadzenia ataku MitM, jest najłatwiejsza do zautomatyzowania przez szkodliwych użytkowników. Jednak niektóre ataki MitM wykorzystują inną taktykę. Umożliwiają dodanie transakcji lub zmodyfikowanie zatwierdzonej przez klienta oryginalnej transakcji - naturalnie bez powiadamiania ofiary. Mimo że ataki MitM zwykle kończą się powodzeniem, z punktu widzenia cyberprzestępcy posiadają kilka wad. Atak MitM znacznie spowalnia otwieranie się serwisów internetowych, co może wzbudzić podejrzenia użytkownika. Dodatkowo, banki rewidują swoje systemy bezpieczeństwa, zwłaszcza w celu heurystycznej identyfikacji nielegalnych transakcji. Na przykład, jeżeli klient zaloguje się 99 razy z określonego adresu IP, a za setnym razem zaloguje się z adresu IP zlokalizowanego w całkowicie innym państwie, system podniesie alarm.

Chcąc zmaksymalizować zyski i jednocześnie pozostać na wolności, cyberprzestępcy badają inne sposoby przeprowadzania ataków. Dlatego obecnie jesteśmy świadkami wzrostu liczby tak zwanych finansowych szkodliwych programów nowej generacji - Man-in-the-Endpoint (MitE).

Następna generacja

Chociaż nad koncepcją ataków MitE dyskutuje się już od wielu lat, dopiero niedawno zaczęto aktywnie wykorzystywać ją w rzeczywistym świecie. W przeciwieństwie do ataku MitM, atak MitE nie wymaga dodatkowego serwera do przechwytywania ruchu pomiędzy klientem a serwerem. Zamiast tego wszystkie zmiany są dokonywane w systemie lokalnym, czyli u ofiary.

Podejście to posiada wiele istotnych zalet. Po pierwsze, istnieje bezpośrednie połączenie z organizacją finansową, dlatego taka transakcja nie zostanie oznakowana tylko dlatego, że użytkownik zalogował się z nieznanego adresu IP. Po drugie, ataki MitE będą skuteczniejsze niż ataki MitM, jeżeli ich celem będzie system posiadający złożone mechanizmy ochrony.

Jeden ze scenariuszy ataków zakłada zainfekowanie systemu za pomocą trojana, którego celem jest przechwycenie całego ruchu HTTPS. Przechwycony ruch jest następnie wysyłany do twórców szkodliwego oprogramowania, dostarczając im schemat strony internetowej. Schemat ten jest następnie wykorzystywany do stworzenia kolejnego trojana.

Cyberprzestępcy wykorzystują zwykle ataki MitE przeciwko bankom stosującym uwierzytelnienie dwukierunkowe, czyli zabezpieczenie, które utrudnia uzyskanie dostępu do rzeczywistego obszaru transakcji na stronie internetowej banku. Z technicznego punktu widzenia opisana wyżej metoda jest skuteczna. Eliminuje również konieczność zwerbowania osoby wewnątrz atakowanej organizacji, która mogłaby przekazać przestępcy ważne dane uwierzytelniające niezbędne do zalogowania się na stronę.

Wykorzystywane w takich atakach trojany często będą mogły otrzymywać dane z serwera, na którym przestępcy przechowują informacje dotyczące numeru konta i kwoty, która ma zostać przelana. Ponieważ działanie to można wykonać dynamicznie, dane mogą zostać wysłane na każdą zainfekowaną maszynę, przy czym każda maszyna będzie przelewała środki do odpowiednich mułów pieniężnych.

Cyberprzestępcy modyfikują warianty szkodliwego oprogramowania należące do tej samej rodziny w zależności od stosowanych przez bank mechanizmów bezpieczeństwa, aby zapewnić jak największą skuteczność ataku. Na przykład, w przypadku jednego banku trojan potajemnie doda dodatkowe informacje, w przypadku innego, potajemnie zastąpi transakcję użytkownika, aby nie wzbudzać podejrzeń.

RozwiÄ…zania

Instytucje finansowe na całym świecie ponoszą coraz większe straty w wyniku cyberprzestępczości. Zainwestowanie w lepsze zabezpieczenia to duży wydatek. Jest to jednak droga, którą banki będą musiały, prędzej czy później, podążyć. Jak wykazaliśmy w artykule, cyberprzestępcy mogą bardzo łatwo obejść uwierzytelnienie jednokierunkowe - potrzeba jedynie prostego programu do rejestrowania znaków wprowadzanych z klawiatury. Zachęcające jest zatem to, że wiele banków, które nie stosują uwierzytelnienia dwukierunkowego planuje wdrożenie takiego mechanizmu w najbliższej przyszłości.

Wyraźnie zaznacza się następujący trend: wzrost wykorzystywania uwierzytelnienia dwukierunkowego przez instytucje finansowe spowodował zwiększenie się liczby szkodliwych programów potrafiących obejść taką ochronę. To oznacza, że ostateczne przyjęcie uwierzytelnienia dwukierunkowego nie będzie miało znaczącego długotrwałego skutku.

Z drugiej strony, większość banków, które stosują obecnie uwierzytelnienie dwukierunkowe, nie skonfigurowało jeszcze swoich systemów w celu zapewnienia maksymalnego bezpieczeństwa. To oznacza, że nadal istnieje okno możliwości, w którym branża bezpieczeństwa będzie mogła przeciwdziałać działaniom cyberprzestępców.

Jednak z uwierzytelnieniem dwukierunkowym wiąże się podstawowy problem, tzn. nawet gdy sesja jest bezpieczna, cokolwiek zdarzy się podczas takiej sesji, nie zostanie sprawdzone. W celu zwiększenia bezpieczeństwa niezbędna jest dodatkowa forma komunikacji, taka jak wykorzystywanie kryptograficznego tokena lub wiadomości SMS (które zostały już zaimplementowane przez kilka instytucji finansowych). Wiadomości SMS mogą nałożyć ograniczenia na okres ważności TAN-u, numery kont, do jakich uzyskiwany jest dostęp, oraz maksymalną dozwoloną kwotę transakcji.

Naturalnie opisana wyżej metoda może posiadać jeden minus: może spowodować, że twórcy wirusów zaczną tworzyć szkodliwe oprogramowanie działające na urządzeniach otrzymujących wiadomości SMS. Z tego powodu lepszym rozwiązaniem jest token kryptograficzny, ponieważ nie jest możliwe zainstalowanie dodatkowego oprogramowania na takim tokenie. Idealnym rozwiązaniem byłyby oddzielne algorytmy dla logowania się na stronę i podpisywania transakcji.

Obecnie podczas podpisywania transakcji klientom przedstawiane jest kryptograficzne wyzwanie. Jeden z problemów polega na tym, że obecnie wyzwania te są dla klienta bezsensowne. Dlatego powinno istnieć dodatkowe wyzwanie dla każdej oddzielnej transakcji. Nie jest bezpieczne wykorzystywanie jako dodatkowego wyzwania całkowitej kwoty, jaka ma zostać przelana. Niektóre trojany już teraz potrafią poradzić sobie z tym mechanizmem, zmieniając numer kona zamiast dodawać kolejną transakcję.

Bezpieczne wyzwanie wymagałoby od klienta podania danych dotyczących konta, na które chce przelać środki - coś, czego nie może przewidzieć szkodliwe oprogramowanie ani cyberprzestępcy. Kolejnym plusem jest to, że klient aktywnie wykorzystuje taki numer konta, co teoretycznie oznacza, że istnieje większe prawdopodobieństwo wykrycia złej transakcji.

Co więcej, taki mechanizm byłby bardziej przyjazny dla użytkownika, gdyby oferował klientowi możliwość stworzenia białej listy numerów kont, które nie potrzebują dodatkowego uwierzytelnienia. Wymagałoby to jednak dodatkowego wysiłku związanego z zabezpieczeniem zarówno białej listy jak i procedury uzyskiwania do niej dostępu.

Naturalnie wiele zależy od instytucji finansowych i banków, jak również ich chęci zastosowania odpowiednich mechanizmów bezpieczeństwa. Biorąc pod uwagę to, że bezpieczeństwo procedur bankowości online jest stosunkowo nowym zagadnieniem, na barkach producentów rozwiązań antywirusowych spoczywa odpowiedzialność: czy rozwiązania bezpieczeństwa mogą wykrywać obecne finansowe szkodliwe programy? Jakie są ich możliwości wykrywania nowych wariantów szkodliwego oprogramowania i ataków phishingowych?

Należy pamiętać, że rozwiązanie i proces bezpieczeństwa są tak "silne" jak najsłabsze ogniwo: w tym wypadku najsłabszym ogniwem jest klient. To od niego zależy, czy kliknie odsyłacz lub załącznik, czy posiada uaktualniony system z zainstalowanymi wszystkimi łatami. Instytucje finansowe już teraz biorą te czynniki pod uwagę, a niektóre organizacje zapowiadają, że nie będą zwracały strat, jeżeli zaatakowany system nie był w pełni załatany.

Niestety, branża bezpieczeństwa IT wie z doświadczenia, że edukacja użytkowników ma ograniczone efekty, a stosowane przez instytucje środki bezpieczeństwa mogą być chybione. Wygląda więc na to, że jeżeli chodzi o ataki na banki, branża antywirusowa nadal znajduje się na pierwszej linii obrony zarówno użytkowników jak i instytucji finansowych przed stratami.

Źródło: Kaspersky Lab