Trojan.ProSto.1 продвигает отечественные технологии

Тема в разделе "Новости информационной безопасности", создана пользователем regist, 1 апр 2014.

  1. regist
    Оффлайн

    regist гоняюсь за туманом Ассоциация VN/VIP VIP Разработчик

    Сообщения:
    11.382
    Симпатии:
    5.268
    1 апреля 2014 года

    События последних нескольких недель, в течение которых компании Visa и MasterCard приостановили процессинг платежей по пластиковым картам для ряда российских банков, породили множество дискуссий о целесообразности развития национальной платежной системы Про100, не зависящей от каких-либо зарубежных организаций. По всей видимости, определенный интерес к этой ситуации проявили и злоумышленники, специализирующиеся на создании вредоносных программ для банкоматов и платежных терминалов. Так, троянец Trojan.ProSto.1 ориентирован в первую очередь на зарубежных держателей банковских карт, пользующихся банкоматами и платежными терминалами на территории России.

    Большинство современных банковских карт помимо магнитной полосы имеет встроенный чип с перезаписываемой памятью, позволяющей хранить определенный объем информации о типе карты, реквизитах и валюте счета клиента. Так, в память универсальных электронных карт (УЭК), используемых в российской платежной системе Про100, можно записывать дополнительные данные — в том числе банковское приложение для осуществления дистанционных платежных операций, идентификационные данные держателя карты (включающие цифровую подпись) и электронный кошелек, предназначенный для оплаты проезда в общественном транспорте.
    Обнаруженный специалистами компании «Доктор Веб» троянец Trojan.ProSto.1 способен инфицировать банкоматы нескольких производителей, работающие под управлением 32-разрядных операционных систем Microsoft Windows XP, Windows Embdedded и WEPOS (Windows Embedded POSReady). При этом сам троянец не обладает какими-либо модулями для обеспечения саморепликации, поэтому механизм его распространения до настоящего момента остается неизученным. Запустившись на инфицированном устройстве, вредоносная программа проверяет систему на наличие ранее осуществленного заражения во избежание повторной установки. Затем Trojan.ProSto.1 создает собственную копию в папке инсталляции ОС под именем taskmgr.exe и регистрирует ее в качестве системной службы, после чего операционная система принудительно перезагружается. Во временную папку сохраняется файл динамической библиотеки, в которой реализована часть функционала троянца. После повторной загрузки Windows в системе оказываются запущенными два процесса taskmgr.exe, один из которых является легальным. При попытке выгрузить вредоносный процесс троянец выводит на экран диалоговое окно с сообщением об ошибке:
    [​IMG]
    В случае успешной установки Trojan.ProSto.1 с заданной периодичностью опрашивает состояние банкомата. При обнаружении в считывающем устройстве банковской карты с интегрированным чипом троянец осуществляет динамическую проверку значения IIN (Issuer identification number) — номера, в котором закодировано наименование платежной системы и банка-эмитента карты. Если процессинг карты осуществляется международными системами Visa или MasterCard и карта эмитирована банком, расположенным за пределами Российской Федерации, Trojan.ProSto.1 генерирует команду на удаление содержимого чипа, после чего извлекает из динамической библиотеки хранящийся в ней бинарный образ, расшифровывает его и записывает в память карты. При этом предпочтение отдается держателям карт класса Gold и Platinum. В образе содержится банковское приложение российской национальной платежной системы Про100, а также ряд других данных. Таким образом, обладатели банковских карт международного стандарта неожиданно для себя становятся пользователями российской национальной платежной системы со всеми вытекающими последствиями — включая возможность оплаты проезда в общественном транспорте, парковки в Москве, а также дистанционного перечисления средств за коммунальные услуги, штрафов ГИБДД и выплат налогов в российский бюджет.
    Специалисты по информационной безопасности склоняются к мнению, что к распространению угрозы могут быть причастны активисты подпольной хакерской организации «Киберпатриоты», ратующие за развитие и повсеместное внедрение информационных технологий российского производства. С 1 апреля 2014 года Trojan.ProSto.1 успешно детектируется и удаляется Антивирусом для встроенных систем Dr.Web ATM Shield.

     
    Sandor, Drongo и edde нравится это.
  2. Phoenix
    Оффлайн

    Phoenix Активный пользователь

    Сообщения:
    1.856
    Симпатии:
    1.842
    Опровержение первоапрельской шутки «Доктор Веб» от 1 апреля
    1 апреля 2014 года

    1 апреля 2014 года компания «Доктор Веб» опубликовала новость о распространении троянской программы Trojan.ProSto.1, якобы заражающей банкоматы и несанкционированно записывающей на банковские карты пользователей различную информацию. К сожалению, данное сообщение было воспринято излишне серьезно и неадекватно сегодняшнему празднику некоторыми представителями компаний, имеющих отношение к платежным системам.

    Компания «Доктор Веб» уточняет, что указанная новость является первоапрельской шуткой, и ее текст не только содержит отдельные технические неточности, но и является «технической неточностью» от начала и до конца. Никакой вредоносной программы Trojan.ProSto.1 не существует в природе, поэтому пользователям платежных систем Visa, MasterCard и отечественной национальной платежной системы «Про100» ничего не угрожает. Пока.

    P.S. Эта новость НЕ является шуткой. Убедительная просьба не рассматривать ее как продолжение первоапрельского розыгрыша. Даже несмотря на день публикации опровержения.

    И сегодня новостей у нас больше точно не будет! :)
     
    orderman, Sandor, akok и ещё 1-му нравится это.

Поделиться этой страницей