Ataki na banki - techniki hakerów

Przeczytaj także: Jak okradane są konta bankowe?

Inną metodą przekierowania ruchu jest umieszczenie na atakowanej maszynie trojana monitorującego odwiedzane strony. Gdy tylko użytkownik połączy się ze stroną banku (lub innej instytucji finansowej), trojan przekieruje ruch na fałszywą stronę internetową. Ruch może zostać przekierowany ze strony HTTPS na stronę HTTP (potencjalnie niezabezpieczoną). W takich przypadkach trojan potrafi zwykle ukryć ostrzeżenia wyświetlane przez przeglądarkę.

Jednak z punktu widzenia cyberprzestępców, metoda ta ma swoje słabe punkty: wykorzystywane trojany należą zwykle do grupy Browser Helper Object, co oznacza, że działają tylko w Internet Explorerze. Ponadto, mimo że ruch jest przekierowywany, nie musi być przetwarzany w czasie rzeczywistym, co daje ofierze możliwość skontaktowania się ze swoim bankiem w celu zablokowania transakcji.

Ataki typu Man-in-the-Middle

Bardziej zaawansowane szkodliwe oprogramowanie wykorzystuje atak MitM. Pozwala to cyberprzestępcom nie tylko na atakowanie większej liczby banków, ale również zapewnia wyższy zwrot, ponieważ dane są przetwarzane w czasie rzeczywistym. Atak MitM wykorzystuje zainfekowany serwer do przechwytywania całego ruchu między klientem a serwerem, tj. użytkownikiem a organizacją finansową. Chociaż użytkownik będzie myślał, że wszystko jest w porządku, gdy zostanie proszony o autoryzację transakcji, w rzeczywistości autoryzuje transakcję stworzoną przez cyberprzestępcę. Szkodliwe oprogramowanie, które wykorzystuje ataki MiTM, zwykle ukrywa powiadomienia przeglądarki o fałszywych certyfikatach stron internetowych lub częściej pokazuje fałszywe powiadomienie. Jednak w zależności od stosowanego podejścia szkodliwe oprogramowanie może nie użyć żadnego z tych sposobów, ponieważ nie ma takiej konieczności. Na przykład, jeżeli użytkownik zaloguje się na stronę internetową banku, a szkodnik przejmie kontrolę i zacznie przekierowywać ruch na serwer MitM, szkodliwe oprogramowanie po prostu "uaktualni" stronę banku, przez co użytkownik będzie sądził, że nadal przegląda tę samą stronę.

Wiele bardziej zaawansowanych finansowych szkodliwych programów wykorzystujących ataki MitM stosuje również wstrzykiwanie HTML.
Zwykle objawia się to na jeden lub dwa sposoby. Trojan-Spy.Win32.Sinowal, bardzo rozpowszechniona rodzina szkodliwych programów, które mogą atakować ponad 750 banków, często wyświetla okna wyskakujące, do których użytkownik ma wprowadzić informacje. Sinowal może pokazywać okna wyskakujące, które proszą o podanie zupełnie niepowiązanych informacji w celu skłonienia użytkownika do wprowadzenia innych poufnych danych.

O wiele częściej wstrzykiwanie HTML wykorzystywane jest w celu dodania dodatkowego formularza do strony internetowej banku: tekst towarzyszący formularzowi prosi użytkownika o wprowadzenie dodatkowych informacji. Dane, o które proszony jest użytkownik, obejmują zwykle dane uwierzytelniające niezbędne do podpisania transakcji. W ten sposób serwer MitM może automatycznie dokonać transakcji, nawet gdy wykorzystywane jest uwierzytelnienie dwukierunkowe.

Metoda ta, chociaż nie jest konieczna do przeprowadzenia ataku MitM, jest najłatwiejsza do zautomatyzowania przez szkodliwych użytkowników. Jednak niektóre ataki MitM wykorzystują inną taktykę. Umożliwiają dodanie transakcji lub zmodyfikowanie zatwierdzonej przez klienta oryginalnej transakcji - naturalnie bez powiadamiania ofiary. Mimo że ataki MitM zwykle kończą się powodzeniem, z punktu widzenia cyberprzestępcy posiadają kilka wad. Atak MitM znacznie spowalnia otwieranie się serwisów internetowych, co może wzbudzić podejrzenia użytkownika. Dodatkowo, banki rewidują swoje systemy bezpieczeństwa, zwłaszcza w celu heurystycznej identyfikacji nielegalnych transakcji. Na przykład, jeżeli klient zaloguje się 99 razy z określonego adresu IP, a za setnym razem zaloguje się z adresu IP zlokalizowanego w całkowicie innym państwie, system podniesie alarm.

Jak zauważa Roel Schouwenberg, chcąc zmaksymalizować zyski i jednocześnie pozostać na wolności, cyberprzestępcy badają inne sposoby przeprowadzania ataków. Dlatego obecnie jesteśmy świadkami wzrostu liczby tak zwanych finansowych szkodliwych programów nowej generacji - Man-in-the-Endpoint (MitE).