Il post seguente è stato tradotto per gentile concessione di S21sec.
Recentemente la nostra unità e-crime ha rilevato un nuovo trojan bancario, chiamato Tatanga , con funzioni Man in the Browser (MitB) che colpisce banche della Spagna, Regno Unito, Germania e Portogallo.
Come SpyEye è in grado di eseguire transazioni automatiche, recuperare muli da un server ed effettuare lo spoofing del saldo reale e delle operazioni bancarie degli utenti.
Il suo tasso di individuazione è molto basso e i pochi motori antivirus che sono in grado di rilevarlo forniscono risultati generici.
Il trojan in questione è piuttosto complesso. È scritto in C ++ e utilizza tecniche rootkit per nascondere la propria presenza, anche se a volte i suoi file sono visibili. Il trojan scarica un certo numero di moduli cifrati (DLL), che vengono decifrati in memoria quando vengono iniettati nel browser, o altri processi per evitare il rilevamento da parte di software antivirus. I moduli sono i seguenti:
- ModEmailGrabber : Raccoglie gli indirizzi e-mail
- Coredb : Gestisce la configurazione del trojan. Il file corrispondente è cifrato con algoritmo 3DES.
- Comm Support Library : Questo modulo implementa la cifratura della comunicazione tra il trojan e il pannello di controllo.
- File Patcher : La funzione di questo modulo non è ancora chiara. Si sospetta che sia responsabile della diffusione nelle cartelle di contenuti multimediali, file zippati o eseguibili.
- ModMalwareRemover : Utilizzato per la rimozione di altre famiglie di malware, tra cui Zeus.
- ModBlockAVTraffic : Blocca l’applicazione antivirus installata nel sistema
- ModDynamicInjection : relativo alle HTML injection
I nomi dei moduli ModEmailGrabber e ModMalwareRemover potrebbero essere stati utilizzati in un bot nel 2008, quindi, probabilmente, sono il risultato dell’evoluzione di quel malware.
Come altri trojan di questo tipo, utilizzano un file di configurazione cifrato. Questo file è in formato XML e ha un
^^monitorized_url1~~monitorized_url2||code_replaced_in_legit_webpage||code_to_replace_for
A seconda della banca presa di mira, il trojan può catturare le credenziali passivamente, o spingersi oltre per effettuare la transazione fraudolenta nella sessione utente. In alcuni casi le credenziali richieste includono la chiave mobile OTP e hanno successo grazie a un buon social engineering presente nelle loro injection:
Sette siti web compromessi sono hardcoded e agiscono come proxy nei confronti del pannello di controllo reale. Le loro funzioni spaziano dall’invio di dati, alla notifica delle infezioni e a ottenere conti money mules. Il formato degli URL è il seguente:
http://hacked_site.com/com/m.php?f=module.dll
http://hacked_site.com/com/c.php italic;”>
http://hacked_site.com/com/d.php italic;”>
http://control_panel/srvpnl/upload/module.dll
Questo malware colpisce otto browser, in pratica quasi tutti gli utenti Windows:
- Internet Explorer
- Mozilla Firefox
- Google Chrome
- Opera
- MinefieldMaxthoon
- Netscape
- Safari
- Konqueror
Alcune funzionalità aggiuntive del trojan:
- supporto 64-bit: nei sistemi a 32-bit si inietta in explore.exe ed è eseguito come un normale processo nei sistemi a 64 bit
- Tecniche Anti-VM e anti-debugging
- Dump delle pagine di online banking e successivo invio al server, probabilmente al fine di migliorare il codice iniettato
- Algoritmo di cifratura debole nella comunicazione basata su C&C con operazioni XOR.
- Comandi accettati dalla C&C:
modinfo, softstat, cmd, stopos, startos, reboot, winkill, die, instsoft, proclist, clearcookies, setlevel, kill - Funzioni per impedire che venga scaricato Trusteer Rapport
Abbiamo notato molti commenti e funzioni di test, probabilmente, quindi, potrebbe essere solo un test per migliorarne le funzionalità prima della diffusione. Stay tuned!
Jozsef Gegeny & Jose Miguel Esparza S21sec e-crime
