Ang mga mananaliksik ay natagpuan ang bagong punto ng pagbebenta ng malware na tinatawag na BlackPOS

Ang isang bagong piraso ng malware na nagdudulot ng point-of- ang mga sistema ng pagbebenta (POS) ay ginagamit upang ikompromiso ang libu-libong mga card ng pagbabayad na kasali sa mga kustomer ng mga bangko ng US, ayon sa mga mananaliksik mula sa Group-IB, isang kompanya ng seguridad at computer forensics na nakabase sa Russia.

POS malware ay hindi isang bagong uri ng pagbabanta, ngunit ito ay unting ginagamit ng mga cybercriminals, sinabi Andrey Komarov, ang pinuno ng mga internasyonal na proyekto sa Group-IB, Miyerkules sa pamamagitan ng email.

Komarov sinabi na ang mga mananaliksik ng Group-IB ay nakilala ang limang iba't ibang POS malware pagbabanta sa nakaraang anim na buwan. Gayunpaman, ang pinaka-kamakailan lamang, na natagpuan mas maaga sa buwang ito, ay sinisiyasat ng malawakan, na humahantong sa pagtuklas ng isang command-and-control server at ang pagkakakilanlan ng cybercriminal gang sa likod nito, sinabi niya.

[Karagdagang pagbabasa: Paano tanggalin ang malware mula sa iyong Windows PC.

Ang malware ay na-advertise sa mga forum sa ilalim ng lupa sa ilalim ng halip ng pangkaraniwang pangalan ng "Dump Memory Grabber ni Ree," ngunit ang mga mananaliksik mula sa koponan ng tugon sa emergency na computer ng Group-IB (CERT-GIB) nakakita ng isang panel ng pangangasiwa na nauugnay sa malware na ginamit ang pangalang "BlackPOS."

Ang isang pribadong video demonstration ng control panel na inilathala sa isang mataas na profile na cybercriminal na forum ng may-akda ng malware ay nagpapahiwatig na libu-libong mga card ng pagbabayad na ibinigay ng US Ang mga bangko kabilang ang Chase, Capital One, Citibank, Union Bank of California at Nordstrom Bank, ay nakompromiso.

Nakilala ng Group-IB ang live command-and-control server at na-notify ang mga apektadong bangko, Ang VISA at U.S. law enforcement agencies tungkol sa pagbabanta, sinabi ni Komarov.

BlackPOS ay nagdudulot ng mga computer na tumatakbo sa Windows na bahagi ng mga sistema ng POS at may mga card reader na nakalakip sa kanila. Ang mga computer na ito ay karaniwang natagpuan sa panahon ng awtomatikong pag-scan sa Internet at nahawaan dahil wala silang mga kahinaan sa OS o gumamit ng mga mahina na remote na kredensyal sa administrasyon, sinabi ni Komarov. Sa ilang mga bihirang kaso, ang malware ay din-deploy na may tulong mula sa mga tagaloob, sinabi niya.

Sa sandaling naka-install sa isang sistema ng POS, tinukoy ng malware ang proseso ng pag-uugnay na nauugnay sa credit card reader at pagnanakaw ang pagbabayad card Track 1 at Track 2 data mula sa memory nito. Ito ay ang impormasyon na nakaimbak sa magnetic strip ng mga card sa pagbabayad at maaaring magamit sa ibang pagkakataon upang i-clone ang mga ito.

Hindi tulad ng ibang POS malware na tinatawag na vSkimmer na natuklasan kamakailan lamang, ang BlackPOS ay walang paraan ng pagkuha ng offline na data, sinabi ni Komarov. Ang nakunan impormasyon ay na-upload sa isang remote server sa pamamagitan ng FTP, sinabi niya.

Ang may-akda ng malware nakalimutan upang itago ang isang aktibong window ng browser kung saan siya ay naka-log in sa Vkontakte - isang social networking site na sikat sa mga bansang nagsasalita ng Ruso - kapag nagre-record ang pribadong video ng pagtatanghal. Pinapayagan nito ang mga mananaliksik ng CERT-GIB na magtipon ng higit pang impormasyon tungkol sa kanya at sa kanyang mga kasama, sinabi ni Komarov.

Ang may-akda ng BlackPOS ay gumagamit ng online na alyas na "Richard Wagner" sa Vkontakte at ang administrator ng isang social networking group na ang mga miyembro ay naka-link sa ang sangay ng Anonymous na Ruso. Ang mga mananaliksik ng Grupo-IB ay nagpasiya na ang mga miyembro ng grupong ito ay wala pang 23 taong gulang at nagbebenta ng mga serbisyong DDoS (ipinamamahagi na pagtanggi sa serbisyo) sa mga presyo na nagsisimula sa US $ 2 kada oras.

Dapat mahigpit ng mga kumpanya ang malayuang pag-access sa kanilang mga sistema ng POS isang limitadong hanay ng mga pinagkakatiwalaang IP (Internet Protocol) na mga address at dapat tiyakin na ang lahat ng mga security patch ay naka-install para sa software na tumatakbo sa kanila, sinabi ni Komarov. Ang lahat ng mga pagkilos na isinagawa sa naturang mga sistema ay dapat na subaybayan, sinabi niya.