Trojan Ursnif został wskrzeszony i teraz jest ukierunkowany na twoje hasła

Czasami niektóre infekcje nie znikają przez dziesięciolecia. Cyberprzestępcom udaje się dostosowywać złośliwe kody i wykorzystywać je do kradzieży informacji i pieniędzy w kółko. Dzisiaj chcielibyśmy zwrócić uwagę na starą infekcję trojana bankowego, która została zaktualizowana i teraz ponownie krąży w cyberprzestrzeni. Trojan Ursnif powrócił ponownie i wzywa do większej ostrożności ze strony użytkowników korporacyjnych i indywidualnych, ponieważ nigdy nie wiadomo, kiedy ta infekcja może dostać się do twojego systemu. Naszym głównym celem w tym poście na blogu jest zwiększenie świadomości na temat takich niebezpiecznych infekcji cybernetycznych.

Co to jest trojan Ursnif?

Być może zastanawiasz się, dlaczego mówimy o trojanie bankowym, skoro naszym głównym zakresem wiedzy specjalistycznej są hasła i bezpieczeństwo danych osobowych. Cóż, prawda jest taka, że ten trojan bankowy atakuje twoje hasła, dlatego uważamy, że naszym obowiązkiem jest ci o tym powiedzieć, nawet jeśli zwykli użytkownicy mogą nie być zbyt chętni, aby dowiedzieć się, jak usunąć wirusa trojana, ponieważ jest to coś, co należy to zrobić za pomocą licencjonowanego narzędzia antyszpiegowskiego.

Niemniej jednak oto kilka podstawowych informacji o trojanie Ursnif, które naszym zdaniem powinieneś wiedzieć. Według komórki NJCCIC (New Jersey Cybersecurity and Communications Integration Cell), trojan Ursnif jest jedną z najbardziej aktywnych wersji złośliwego oprogramowania Gozi. Możesz go również znaleźć pod nazwą Dreambot. Zwykle ten trojan bankowy rozprzestrzenia się za pośrednictwem zestawów exploitów, załączników wiadomości spamowych i złośliwych łączy.

Sam trojan pochodzi z 2007 roku, ale stał się powszechnie dostępny dopiero w 2010 roku, kiedy wyciekł kod źródłowy złośliwego oprogramowania Gozi. W rezultacie cyberprzestępcy, którzy mogli zdobyć kod, mogli łatwo dostosować złośliwy kod, co doprowadziło do pojawienia się wielu różnych trojanów bankowych. Te trojany bankowe atakowały wiele banków, a zagrożenie wciąż istnieje, ponad 12 lat po tym, jak to złośliwe oprogramowanie po raz pierwszy wyskoczyło z paskudną głową.

Najnowsza fala infekcji trojanem Ursnif

Najnowszy atak infekcji został zauważony przez Cisco Talos Intelligence Group. Grupa stwierdziła na swoim blogu, że śledziła złodzieja informacji, gdy ich własny silnik zapobiegania exploitom ostrzegł ich o tych infekcjach.

Najnowszy typ tego trojana bankowego jest dystrybuowany za pośrednictwem wiadomości e-mail typu phishing. To oczywiście pokazuje, że użytkownicy zezwalają na to złośliwe zainfekowanie, aby dostać się na ich komputery, a następnie desperacko szukają metod usuwania wirusa trojana.

Te wiadomości phishingowe zawierają załączone pliki, które wyglądają jak dokumenty Microsoft Word. Nie trzeba dodawać, że trudno sobie wyobrazić coś mniej niewinnego niż zwykły plik MS, a zatem użytkownicy nie wyczuwają w tym nic niebezpiecznego. Gdy docelowi użytkownicy otwierają ten dokument, widzą obraz z prośbą o włączenie makr. Jest to już duża czerwona flaga, ponieważ włączone makra są często wykorzystywane przez trojany bankowe i inne złośliwe oprogramowanie do infekowania komputerów docelowych.

Włączone makra uruchamiają zaciemniony kod, który uruchamia kilka funkcji matematycznych i ostatecznie uruchamia PowerShell. To polecenie łączy się ze złośliwym centrum dowodzenia i sterowania za pośrednictwem zdalnego serwera i pobiera Unsnif do systemu docelowego. W rezultacie trojan instaluje się na komputerze docelowym. Następnie Ursnif zaczyna przeszukiwać system w poszukiwaniu informacji bankowych, danych logowania i tak dalej.

Ponieważ rzeczywisty plik instalacyjny nie jest dystrybuowany za pośrednictwem wiadomości e-mail typu phishing, znacznie trudniej jest zarejestrować i śledzić złośliwą aktywność. Możesz także powiedzieć, że łatwo jest uniknąć zarażenia tym trojanem bankowym, ponieważ wszystko, co musisz zrobić, to powstrzymać się od otwarcia złośliwego pliku MS Word.

Jeśli jednak zastanowimy się trochę nad systemem korporacyjnym i liczbą wiadomości e-mail, które pracownicy dużych firm muszą codziennie otwierać; może być łatwiej zrozumieć, jak Ursnif udaje się wejść do wielu systemów na całym świecie. Jeśli otwieranie załączonych plików jest rutyną, pracownik rzadziej zwraca uwagę na podejrzane aspekty nowo otrzymanej wiadomości e-mail.

Dlatego, aby uniknąć szaleńczego myślenia o tym, jak usunąć wirusa trojana, o wiele skuteczniejsze byłoby edukowanie pracowników w zakresie zapobiegania złośliwemu oprogramowaniu. Niektóre praktyki bezpieczeństwa zalecają także egzekwowanie polityki haseł.

Jeśli masz złożone hasła, trojan bankowy może mieć trudności z łamaniem plików haseł na twoim komputerze. Chociaż nie jest w stanie zapobiec uszkodzeniu infekcji złośliwym oprogramowaniem w 100%, nadal może go ograniczyć, gdy system zostanie naruszony. Jednym z najlepszych sposobów tworzenia i stosowania złożonych haseł jest użycie menedżera haseł. Menedżer haseł może pomóc w generowaniu silnych haseł i przechowywaniu ich w przechowalni haseł. Dobrym pomysłem jest także zastosowanie zapory ogniowej do blokowania połączeń przychodzących, które próbują połączyć się z usługami, które nie powinny być publicznie dostępne. Zawsze możesz przejrzeć listę środków bezpieczeństwa, które możesz zastosować, aby uniknąć trojana bankowego na dowolnej stronie internetowej zajmującej się cyberbezpieczeństwem.

Wniosek jest taki, że ten trojan bankowy faworyzuje trwałość „bezplikową”. Utrudnia to usługom antywirusowym wykrycie go w normalnym ruchu internetowym. Nie możemy nawet oczekiwać, że zwykły użytkownik będzie mógł zainwestować w środki bezpieczeństwa, które mogłyby odfiltrować złośliwy ruch ze zwykłego przepływu informacji. Eksperci ds. Bezpieczeństwa zgadzają się, że powstrzymanie instalowania trojana Ursnif w systemie docelowym po uruchomieniu procesu pobierania jest naprawdę trudne.

Jeśli prowadzisz dużą sieć systemów komputerowych, możesz poprosić profesjonalnych techników o bardziej szczegółowe zalecenia. Rozumiemy, że czasami mniejsze firmy nie mają środków na inwestycje w bezpieczeństwo cybernetyczne, ale nawet wtedy powinieneś rozważyć edukację swoich pracowników na temat potencjalnych zagrożeń cybernetycznych, takich jak ten trojan bankowy, który może być jednym kliknięciem. O wiele lepiej jest egzekwować szereg środków zapobiegawczych niż wspinać się, aby poszukać sposobów na usunięcie infekcji trojanem w późniejszym czasie.