• Зарегистрирован: 07.07.2012
  • Сообщений: 348
  • Репутация : [ 8 | 0 ]

Полное название - Выявлен троян, нацеленный на кражу параметров банковских аккаунтов у пользователей Linux

В Сети зафиксированы попытки распространения нового троянского ПО "Tand of Thief", предназначенного для осуществления банковского мошенничества. Примечательной особенностью нового вредоносного ПО является то, что оно нацелено на поражение пользователей Linux, а не Windows.

Троянская часть Tand of Thief, напоминает распространяемые для Windows троянские пакеты на основе наборов Citadel и Blackhole, и включает в себя систему перехвата параметров входа в банковские online-сервисы и реализацию бэкдора для приёма управляющих команд и отправки накопленных данных злоумышленникам (в состав также входит прокси SOCKS5 и backconnect shell). Примечательной особенностью Tand of Thief является поддержка расширенных методов атаки, например, тронское ПО может вставлять контролируемое злоумышленником содержимое в открываемые пользователем легитимные web-страницы банковских систем.

В силу разнородности Linux-систем и затруднения распространения ПО через эксплуатацию уязвимостей (для каждой сборки дистрибутива необходимо использовать отдельный вариант эксплоита), для интеграции Tand of Thief на машины пользователей разработчиками трояна предлагается использовать методы социальной инженерии. Для управления работой трояна подготовлен специальный web-интерфейс, позволяющий злоумышленнику контролировать поражённые машины.

Разработчики пытаются продавать систему в хакерских форумах по цене 2000$. По заявлению продавцов, троян уже опробован в работе в 15 дистрибутивах Linux, включая Ubuntu, Fedora и Debian, и поддерживает 8 типов десктоп-окружений, в том числе GNOME и KDE. Перехват HTTP- и HTTPS-сессий реализован для Linux-сборок Firefox, Google Chrome, Chromium, Aurora и Ice Weasel. После активации троян блокирует доступ к адресам, с которых осуществляется установка обновлений или загрузка антивирусного ПО. Для защиты от анализа в трояне предусмотрены средства противодействия отладке и запуску в изолированных и виртуальных окружениях.

Источник - http://www.opennet.ru/opennews/art.shtml?num=37625

2 Ответ от voral

  • voral
  • voral
  • Пользователь
  • Неактивен
  • Откуда: Иваново
  • Зарегистрирован: 23.02.2010
  • Сообщений: 1,993
  • Репутация : [ 53 | 6 ]
Драко Стаарн⇓ пишет:

использовать методы социальной инженерии.

Высокие технологии высокими технологиями, но утюг и бита лучший "вирус". ag

То что не убивает нас, делает нас сильнее! © Ницше.
When life puts you in tough situations, don’t say "why me". Just say "try me".
GNU/Linux Debian

Сайт voral

  • Зарегистрирован: 18.08.2012
  • Сообщений: 3,639

Походил по ссылкам. В целом понятно. Дополнение для браузера. Конечно, "серххкруто и очень нужное". Систему не затрагивает, живёт у юзера. Скучно-с!

  • Зарегистрирован: 07.07.2012
  • Сообщений: 348
  • Репутация : [ 8 | 0 ]
voral⇓ пишет:

но утюг и бита лучший "вирус".

Терморектальный криптоанализатор забыл!  ag

5 Ответ от Cruiser78

  • Cruiser78
  • Пользователь
  • Неактивен
  • Откуда: Санкт-Петербург
  • Зарегистрирован: 22.02.2010
  • Сообщений: 2,433
  • Репутация : [ 98 | 0 ]
karl_muenhgausen пишет:

Походил по ссылкам. В целом понятно. Дополнение для браузера. Конечно, "серххкруто и очень нужное". Систему не затрагивает, живёт у юзера. Скучно-с!

С другой стороны и весьма опасно. Фантазирую сценарий:
1. Система настроена на автоматизированный контроль обновлений из стандартных репозиториев (например, та же Fedora регулярно юзеру сообщает, что есть обновления и предлагает их установить).
2. Рисуется атакующий сайт, который выводит юзеру диалог полностью совпадающий со стандартным диалогом обновления.
3. Вопрос - что будет делать обычный юзер?

Так шта сценарий внедрения может быть очень прост. И не менее эффективен.

  • Зарегистрирован: 18.08.2012
  • Сообщений: 3,639

Cruiser78, я с Вами в принципе согласен, но если юзер по жизни му (утка, англ), то он и пенис сломать в состоянии, хоть там и костей нет.

7 Ответ от Nigelist

  • Nigelist
  • Nigelist
  • Добрый Санта
  • Неактивен
  • Откуда: Тараз
  • Зарегистрирован: 15.05.2010
  • Сообщений: 2,509
  • Репутация : [ 61 | 1 ]
karl_muenhgausen⇓ пишет:

он и пенис сломать в состоянии, хоть там и костей нет.

Хоть костей в нем и нет, его реально поломать. Так что, сравнение не в тему.

  • Зарегистрирован: 18.08.2012
  • Сообщений: 3,639

Nigelist, реально. Как и установить самому себе малварь на Линукс. При тех же качествах мозгов. Так что, вполне в тему.

9 Ответ от Cruiser78

  • Cruiser78
  • Пользователь
  • Неактивен
  • Откуда: Санкт-Петербург
  • Зарегистрирован: 22.02.2010
  • Сообщений: 2,433
  • Репутация : [ 98 | 0 ]
karl_muenhgausen пишет:

Nigelist, реально. Как и установить самому себе малварь на Линукс. При тех же качествах мозгов. Так что, вполне в тему.

простой вопрос - как обычный юзер сможет отличить процесс установки малвари от процесса установки легального обновления. При условии что внешне оно будет выглядеть совершенно одинаково? Что мешает атакующему сайту сделать окошко типа http://alv.me/wps/wp-content/img/pkgkit14.png? Ну и потом запросить рутовый пароль?

Да, кстати, а как вообще отключить такую проверку в PackageKit (в gnome3)? Никто не знает? Ну, чтобы юзера не провоцировать на дурное действие и чтобы yum update мог давать только root в своей консоли?

  • Зарегистрирован: 18.08.2012
  • Сообщений: 3,639

Cruiser78, Вы текст читали? Социальная инженерия. То есть, впаривание левого ПО. Из неизвестного непроверенного источника. Вот так и отличить.

11 Ответ от Cruiser78

  • Cruiser78
  • Пользователь
  • Неактивен
  • Откуда: Санкт-Петербург
  • Зарегистрирован: 22.02.2010
  • Сообщений: 2,433
  • Репутация : [ 98 | 0 ]
karl_muenhgausen пишет:

Cruiser78, Вы текст читали? Социальная инженерия. То есть, впаривание левого ПО. Из неизвестного непроверенного источника. Вот так и отличить.

А Вы читали то, что я пишу? Какой идиот будет признаваться большими буквами о том, что он сейчас начнет впаривать Вам свой малварный левак?
А вот нарисовать свое интрудерское окошко, более чем похожее на правильное, в котором вывести несколько слов о том, что юзеру предлагается провести обновление нескольких стандартных пакетов, например, timezone и SEPolicy (у кого их нет???)... И под это дело спровоцировать юзера нажать на кнопку Submit... Ну а далее вписаться с малварью в какой либо юзерский профиль? Что мешает? Или я на воду дую?

  • Зарегистрирован: 18.08.2012
  • Сообщений: 3,639

Cruiser78, и с какого перепуга юзер станет подписываться на обновления из браузера? Конечно, в Винде наверное находятся те, кто покупается на "Обнаружен вирус, бесплатная проверка", ну так не меньшая степень идиотизма.

  • Зарегистрирован: 07.07.2012
  • Сообщений: 348
  • Репутация : [ 8 | 0 ]
Cruiser78⇓ пишет:

Или я на воду дую?

Ну, лучше быть слегка параноиком, чем сдать собственноручно свои же данные.

14 Ответ от Cruiser78

  • Cruiser78
  • Пользователь
  • Неактивен
  • Откуда: Санкт-Петербург
  • Зарегистрирован: 22.02.2010
  • Сообщений: 2,433
  • Репутация : [ 98 | 0 ]
karl_muenhgausen пишет:

Cruiser78, и с какого перепуга юзер станет подписываться на обновления из браузера? Конечно, в Винде наверное находятся те, кто покупается на "Обнаружен вирус, бесплатная проверка", ну так не меньшая степень идиотизма.

А как понять, что оно (диалоговое окно с предложением обновиться) именно из броузера? Конечно, если это предложение есть элемент страницы, то надо быть клиническим идиотом, здесь согласен. Но если такой диалог оформлен вполне себе независимым окошком?.. Юзер вполне жамкнет на Submit.

  • Зарегистрирован: 18.08.2012
  • Сообщений: 3,639

Cruiser78, оно может появиться только в браузере, как его ни оформляй. И таки да, можно его покрасить в дефолтную Юнити, но уж никак не в полное разнообразие остальных оформлений.  Пользователь десктопа потому, в частности, на Линуксе, что малварь надоела и всяко поинтресуется, что за неведома CENSORED. Вот на Андройде сканать может, если разрешены сторонние приложения. Я на Линуксе с прошлого века, но у меня запрещены.

16 Ответ от Oleg65

  • Oleg65
  • Oleg65
  • Пользователь
  • Неактивен
  • Откуда: Московская обл. г.Коломна
  • Зарегистрирован: 01.02.2012
  • Сообщений: 1,165
  • Репутация : [ 44 | 0 ]
karl_muenhgausen пишет:

Походил по ссылкам. В целом понятно. Дополнение для браузера. Конечно, "серххкруто и очень нужное". Систему не затрагивает, живёт у юзера. Скучно-с!

Я с Вами полностью.... bq

17 Ответ от redix

  • redix
  • redix
  • Белый и пушистый
  • Неактивен
  • Зарегистрирован: 04.04.2013
  • Сообщений: 4,750
  • Репутация : [ 117 | 0 ]
Cruiser78⇓ пишет:

атакующему сайту сделать окошко типа http://alv.me/wps/wp-content/img/pkgkit14.png? Ну и потом запросить рутовый пароль?

Обновляться нужно из консоли, как я и делаю.  ag

In Tux We Trust     Centos 6.5
Самурай без меча подобен самураю с мечом, но только без меча, однако как-будто с мечом, которого у него нет, но и без него он как с ним...
+ BWR