Банковский троянец BackSwap: новый способ кражи средств

Эксперты компании ESET обнаружили троянца, использующего новый способ кражи средств с банковских счетов. BackSwap работает с элементами графического интерфейса Windows и имитирует нажатие клавиш, чтобы избежать детектирования и обойти защиту браузера.

Чтобы получить доступ к счету жертвы, обычные троянцы внедряют в процессы браузера вредоносный код, отслеживая с его помощью посещение сайтов интернет-банков, чтобы затем изменить НТТР-трафик или перенаправить жертву на фишинговый сайт. Это сложная задача, поскольку антивирусные продукты и защитные механизмы браузера распознают такое внедрение кода. Кроме того, авторы вирусов вынуждены разрабатывать свою схему атаки для каждой версии браузера и менять тактику с выходом новых версий.

Авторы BackSwap, отмечают в ESET, избавились от этой проблемы тривиальным, но эффективным способом. Троянец не внедряет код в процессы браузера, а он «узнает», когда пользователь заходит в онлайн-банк, с помощью событий Windows в цикле ожидания сообщений. Обнаружив работу с интернет-банком, троянец внедряет вредоносный код в веб-страницу через консоль разработчика в браузере или в адресную строку.

Так, чтобы внедрить скрипт в адресную строку, BackSwap имитирует нажатие комбинаций клавиш: CTRL+L для выбора адресной строки, Delete для очистки поля, CTRL+V для вставки вредоносного скрипта и Enter для его выполнения. Когда процесс завершен, адресная строка будет очищена, чтобы скрыть следы компрометации. Простая на первый взгляд схема позволяет обходить продвинутые механизмы защиты от комплексных атак.

BackSwap поддерживает атаки на Google Chrome и Mozilla Firefox, в последних версиях появилась поддержка Internet Explorer. Метод подходит для большинства браузеров с консолью разработчика или возможностью выполнения кода JavaScript из адресной строки (это стандартные функции браузера). Троянец не требует специальных привилегий в системе и не зависит от версии браузера.

Сейчас BackSwap используется в атаках на пользователей пяти польских банков: PKO Bank Polski, Bank Zachodni WBK S.A., mBank, ING и Pekao, в случае переводов крупных сумм – от 10 тыс. до 20 тыс. польских злотых (168–337 тыс. руб.). Однако, напоминают эксперты, список потенциальных жертв может быть расширен, а новый способ обхода защитных механизмов использован другими кибергруппами.

Антивирусные продукты ESET детектируют новую угрозу как Win32/BackSwap.A.