Какой банковский троян связан с Маркусом Хатчинсом?

Самые ранние упоминания о вредоносном ПО Kronos относятся к 2014 году, однако банковский троян стал мейнстримом после ареста Маркуса Хатчинса.

Хатчинсу, который оказался в центре внимания, когда он «случайно» остановил вирус WannaCry в мае, как сообщается, было предъявлено обвинение ФБР после двухлетнего расследования киберпреступлений. В частности, Хатчинса обвиняют в продаже и обслуживании вредоносного ПО Kronos из своего дома в Девоне, Великобритания, вместе с неназванным сообщником. Судебные материалы свидетельствуют о том, что к этому предполагаемому преступлению относятся шесть обвинительных заключений.

Вредоносное ПО Кронос

Что такое банковский троян Kronos?

Kronos был замечен на продаже на российском форуме по киберпреступности в 2014 году за ошеломляющую сумму в 7000 долларов. Эта цена вызвала интерес многих исследователей безопасности, поскольку вредоносное ПО обычно продается за сотни, а не тысячи долларов. Обычный вредоносное ПО также обычно предлагается бесплатно или распространяется через утечки исходного кода вредоносного ПО. За эту цену в 7000 долларов хакер предлагал бесплатные обновления, а также исправления ошибок.

Согласно рекламе, Kronos был разработан для работы на так называемых «инъекциях», аналогичных тем, что использовались в банковском трояне Zeus. Zeus — один из самых известных троянских программ. Впервые он был обнаружен в 2007 году, а затем был отключен от сети.

Что такое троян?

Троянец — это разновидность вредоносного ПО, которое маскируется под безобидное приложение. Его сила заключается в том, что жертвы обманом заставляют загружать и запускать вредоносный код, например, с помощью подозрительных вложений в электронных письмах.

Название, как и у многих программ, связанных с безопасностью, пришло из мифологии. В частности, троянские вирусы названы в честь троянского коня, положившего конец Троянской войне, в которой солдаты спрятались внутри большого деревянного коня и напали на греков. С точки зрения безопасности, троянский вирус остается скрытым в приложении или вложении до тех пор, пока не будет готов атаковать зараженный компьютер.

Помимо вложений электронной почты, трояны часто поставляются с легальным программным обеспечением или панелью закладок, загруженной из Интернета. Оригинальное программное обеспечение работает так, как должно, чтобы избежать подозрений, в то время как троянец использует его, чтобы сеять хаос на компьютере жертвы. После установки троян может быть использован хакерами для установки другого вредоносного программного обеспечения, кражи имен пользователей и паролей, регистрации нажатий клавиш и многого другого.

Как распространяется вредоносное ПО Kronos?

Поведение Kronos типично для банковского трояна. В ноябре 2016 года исследователи безопасности из компании Proofpoint обнаружили несколько крупных рассылок по электронной почте, рассылающих десятки тысяч сообщений и нацеленных на различные отрасли: от университетов до банков и больниц.

Эти кампании были направлены по всему миру, но в первую очередь были нацелены на Великобританию и Северную Америку. Вредоносное ПО Кронос было отправлено с вложениями, которые выглядели законными. Если получатель электронного письма нажимал на вложение, троянец заражал его компьютер.

В оригинальном объявлении, увиденном на российском форуме в 2014 году, говорилось, что Kronos может красть учетные данные из сеансов просмотра в Internet Explorer, Firefox и Chrome, используя так называемые методы «захвата форм» и внедрения HTML-контента. Захват форм — более сложная альтернатива кейлоггеру. Кейлоггинг нацелен на нажатия клавиш, которые часто могут пропускать конфиденциальные данные, которые пользователь может вставить в форму или выбрать из раскрывающегося меню, а не вводить. Для сравнения, грабберы форм захватывают все данные формы перед их отправкой. Более того, Kronos был спроектирован так, чтобы быть совместимым с «веб-инъекциями», разработанными для Zeus. Говорят, что это было сделано намеренно, чтобы хакеры могли легко перейти от Zeus к использованию Kronos.

Вредоносное ПО Kronos не только способно красть информацию, но и содержит так называемый «руткит пользовательского режима», который работает как в 32-битных, так и в 64-битных системах Windows и помогает вредоносному ПО Kronos защитить себя от конкурирующих вредоносных программ. , а также оставаться вне поля зрения антивирусного программного обеспечения.

Изображение: Касперский/Proofpoint