Forskare upptäcker stor cyberfraud-verksamhet som riktar sig mot australiska bankkunder

Säkerhetsforskare från ryska cyberbrottsutredningsföretag Group-IB har upptäckt en cyberfraud-operation som använder specialiserad ekonomisk malware för att rikta sig till kunder hos flera stora australiensiska banker.

Över 150 000 datorer, de flesta av dem som tillhör australiensiska användare, har smittats med denna malware sedan 2012 och lagts till ett botnät som grupp-IB-forskare har kallat "Kangaroo" eller "Kangoo" efter en kängurulogo som används på kommandot och kontrollen serverns gränssnitt, Andrey Komarov, chef för internationella projekt på Group-IB, sa onsdag via email.

Malware är en modifierad version av Carberp, ett finansiellt trojanprogram som hittills har använts främst mot Internetbankanvändare från rysktalande länder. Faktum är att samma Carberp-variant används som en del av en annan operation som riktar sig till Sberbanks kunder i Ryssland, säger Komarov.

[Läs vidare: Så här tar du bort skadlig kod från din Windows-dator]

Liksom majoriteten av den finansiella trojanen program stödjer Carberp användningen av "Webinjektioner" -speciala skript som berättar om skadlig programvara hur man interagerar med specifika webbsidor på internet. Dessa skript tillåter angripare att piggybacka på offerets aktiva internetbanksession, initiera oseriösa överföringar, dölja kontosaldon och visa skurna formulär och meddelanden som verkar härröra från banken.

Den Carberp-variant som riktar sig till australiensiska användare innehåller webbinjektioner för Internet bank webbplatser av Commonwealth Bank, Bank of Queensland, Bendigo Bank, Adelaide Bank och ANZ. Malware kan kapabla destinationen för penningöverföringar i realtid och använder specifika överföringsgränser för att undvika att röda flaggor höjs, säger Komarov.

Group-IB anser att de cyberkriminella bakom denna operation befinner sig i tidigare Sovjetunionen. Koncernen har dock kontakter med pengar mule tjänster i Australien samt sina egna "företagsdroppar" -bankkonton registrerade till sham-företag i landet, sade Komarov.

Anfallarna skapar tusentals webbsidor riddled med villkor från banksektorn som senare visas i webbsökresultat för specifika sökord, en teknik som kallas svart hatt sökmotoroptimering, sade Komarov. Användare som besöker dessa sidor omdirigeras för att attackera webbplatser som värd utnyttjar sårbarheter i pluginprogram för webbläsare som Java, Flash Player, Adobe Reader och andra.

Antalet 150 000 infekterade datorer är inte numret för aktiva aktiva botnet klienter, men en historisk räkning av unika infektioner sedan 2012 samlades från botnet kommandot och kontroll server, sade Komarov. Också, inte alla drabbade användare använder faktiskt webbbank, sa han. Räntan är ungefär en av de tre offren, beräknas han.

Group-IB sa att den arbetar med de riktade bankerna och har delat den information som samlats in från botnets kommando- och kontrollservern med dem, inklusive komprometterade kontouppgifter och Internet-protokolladresser på de infekterade datorerna.