Le ultime funzionalità di SpyEye includono Man-in-the-Browser

Il post seguente è stato tradotto per gentile concessione di S21sec.

Meno di un mese fa, S21sec e-crime ha rilevato una nuova minaccia che elude il secondo vettore di autenticazione basato sugli SMS.

Oggi presentiamo una nuova tecnica che, pur essendo già nota, nelle ultime settimane sta colpendo alcune organizzazioni : Man in the Browser

Questa nuova tecnica (MitB) viene utilizzata da un trojan, che infettando e prendendo il controllo di un web browser, modifica pagine, informazioni sulle transazioni, ecc…; tutto questo furtivamente, senza che l’utente o l’applicazione della banca online se ne accorgano.

In questo caso il trojan non è il ben noto Zeus/Zbot ma il suo “concorrente” conosciuto come SpyEye. Prima della fine del 2009, un nuovo Trojan bancario chiamato SpyEye, ha fatto la sua comparsa nel mondo underground. È scritto in C ++ e la gamma dei sistemi supportati spazia da Windows 2000 a Windows 7. Funziona in ring3 (modalità utente), come il suo concorrente ZeuS, anche se questa non è l’unica somiglianza tra i due trojan.

SpyEye è venduto in diversi forum e si dice che non sia rilevabile dalla maggior parte dei software antivirus; ma nasconde anche diversi file e chiavi di registro. SpyEye possiede molte delle caratteristiche di Zeus, anche se è ancora in sviluppo. Il pacchetto di distribuzione di questo trojan è simile a Zbot/Zeus e altri fraud kit solitamente distribuiti nei forum dell’Europa orientale e della Russia.

Le caratteristiche principali delle versioni precedenti di SpyEye sono le seguenti:

  • Form Grabbing: cattura i dati inseriti dall’utente nei campi dei form presentati dal browser.
  • Iniezione di codice: questa tecnica comporta l’iniezione di codice HTML nel browser della vittima per ottenere ulteriori informazioni che l’organizzazione non potrebbe mai chiedere. Nei file di configurazione analizzati, l’informazione richiesta è, di solito, il codice di sicurezza completo.
  • Furto delle credenziali FTP e POP3: comprende il monitoraggio del traffico di rete, intercettando le funzioni API per il filtering e la memorizzazione delle credenziali, soprattutto per monitorare il traffico e individuare i valori “USER” e “PASS”

  • Furto dell’autenticazione di base http : un approccio simile al furto delle credenziali FTP e POP3

La versione trattata in questo caso include anche le seguenti caratteristiche.:

  • Screenshots: nel file di configurazione è possibile impostare gli URL che attiveranno la cattura degli screenshot, catturando una specifica zona dello schermo mantenendo le dimensioni originali.

    Un esempio è:

    https://onlineaccess.mybank.com/authenticate* 500 200 10 60

  • Capacità di effettuare Man in the Browser (MitB).
  • Abbiamo notato un aumento del numero dei campioni di SpyEye in the wild rispetto a settembre, perciò crediamo che questa campagna trojan sia iniziata in questo mese:


    I primi casi di frode sono stati rilevati intorno alla metà di ottobre, con almeno due diversi campioni di trojan. È importante dire che questa tecnica ha colpito soltanto una delle organizzazioni analizzate. Anche se questo attacco è completamente operativo, crediamo che sia ancora in una fase di testing.

    Stiamo ancora lavorando sull’analisi dei binari, ma il comportamento osservato è il medesimo rilevato nel file binario scoperto lo scorso febbraio. Tuttavia alcuni miglioramenti sono stati notati in relazione all’algoritmo di cifratura del suo file di configurazione. Il rilevamento dei campioni è rispettivamente di 62% e 20%.

    La caratteristica principale e che desta maggiore preoccupazione, è l’iniezione di codice HTML. In questo caso l’iniezione è stata effettuata interamente con codice javascript, consentendo al binario di eseguire l’ MITB:

    • Il trojan riceve i dati dai conti e li invia al server C&C
    • Se il saldo del conto supera una certa quantità di denaro, restituisce l’account di dati in cui deve effettuare il trasferimento fraudolento (mulo), utilizzando il seguente formato:
      [
      "trans" = 1,
      "info"  = [
       "check" = [
                  0 = XXXX,
                  1 = XXXX,
                  2 = XX,
                  3 = XXXXXXXXXX
                 ],
       "sum"     = 493,
       "name"    = "Peter",
      "address" = "12 street, nº1 1ºA",
       "city"    = "NY",
       "comment" = "Transfer"
      ]
      ]

    • Il trojan compila il form con questi dati e rimane in modalità di attesa.
    • Vengono richiesti numerosi dettagli all’utente, ad esempio la chiave della firma.
    • Tramite i dati recuperati, viene inviato il form di trasferimento alla banca.
    • Il saldo viene modificato per nascondere la frode.
    • Come potete notare, intercettando la sessione dell’utente legittimo, la frode è realizzata in modo tale che sia più difficile rivelarla da parte dell’organizzazione

      Nei campioni analizzati sembra che vengano utilizzati tre differenti conti per eseguire il trasferimento fraudolento. In questo caso, tutti appartenenti a organizzazioni spagnole.

      S21sec e-crime vi aggiornerà non appena avrà ulteriori informazioni in merito a questa nuova tecnica.


      Santiago Vicente
      S21sec e-crime

      Fonte: SpyEye latest features include Man-in-the-Browser

    Written by admin

    Lascia un commento

    Il tuo indirizzo email non sarà pubblicato. I campi obbligatori sono contrassegnati *

    Questo sito usa Akismet per ridurre lo spam. Scopri come i tuoi dati vengono elaborati.