NEW BOT Телеграм, страница

Verdächtige Aktivität in Malwarelytics deutet auf zukünftige Cyber-Attacke hin, die auf 775 Banken abzielt

26 April, 2021 von Petr Dvořák

Wir möchten eine frühzeitige Warnung an die Banken herausgeben, die betroffen sein könnten. Nicht alle von ihnen sind derzeit unsere Kunden.

Empfehlung

Wir empfehlen die folgenden nächsten Schritte:

Intensivieren Sie die "Seien Sie vorsichtig"-Botschaft an Ihren Kundenstamm.

Fordern Sie Ihre Kunden auf, mobile Apps nur von Google Play herunterzuladen.

Erinnern Sie die Kunden daran, die Internetbanking-Zugangsdaten nicht in der mobilen App zu teilen.

Bitten Sie Ihre Kunden, jede verdächtige App-Aktivität zu melden - eine fehlerhafte Benutzeroberfläche, plötzliche Änderungen in der App-Authentifizierung, verdächtige Anweisungen, etc.

Bitten Sie Ihre Kunden, ihre Zugangsdaten, wie z. B. das Passwort oder die SMS OTPs, nicht über die Telefon- oder Chat-Anwendungen weiterzugeben.

Bleiben Sie wachsam und seien Sie bereit, schnell zu reagieren, wenn die mobile Malware zuschlägt.

Was ist passiert?

Wir haben in unseren Systemen zur Erkennung von mobiler Banking-Malware mehrere verdächtige Anfragen identifiziert. Die Struktur dieser Anfragen und die Art und Weise, wie diese Anfragen gestellt wurden, deuten darauf hin, dass sie manuell erstellt wurden. Der Angreifer erstellte die Anfragen in einem fortgeschrittenen Setup, indem er zuerst Banking-Apps zurückentwickelte und mehrere Schutzmechanismen umging, die wir im mobilen SDK eingerichtet haben. Obwohl das Entfernen dieser Sicherheitsschichten allein kein Sicherheitsproblem darstellt oder die Sicherheit der Kundenkonten direkt bedroht, sind wir uns nun zu 100 % sicher, dass jemand aktiv versucht, unsere Systeme zu manipulieren, um die Auswirkungen des Angriffs zu maximieren und die Hindernisse zu beseitigen.

Worauf hat der Angreifer abgezielt?

Wir gehen davon aus, dass der Angreifer versucht hat, unsere Malware-Erkennungssysteme zu untersuchen und sie darauf zu "trainieren", problematische Malware-Apps (die sich als Banking-Apps ausgeben) nicht zu erkennen, indem er die On-Device-Erkennungsergebnisse fälscht. Glücklicherweise verlassen wir uns nicht nur auf diese Erkennungen, wenn wir die Signale der mobilen App annehmen und das Risiko bewerten, das die Apps für das mobile Banking darstellen.

Woher stammen diese Anfragen?

Wir haben die Spur der Angreifer bei der bekannten VPN-Proxy-Infrastruktur verloren. Wir haben den Anbieter über die ursprünglichen Anfragen informiert, und der Anbieter hat sofort mit der Untersuchung auf seiner Seite fortgefahren. Aufgrund der Art des Angriffs glauben wir, dass der Angreifer bereits gegen das Gesetz verstoßen hat. Wir werden uns mit den lokalen Behörden in Verbindung setzen, um sie bei den Ermittlungen zu unterstützen.

Welche Banken könnten betroffen sein?

Wir haben die folgenden Paketnamen in den Anfragen identifiziert. Bei der Liste handelt es sich wahrscheinlich um eine aktualisierte Liste, die zuvor von BankBot-Kampagnen verwendet wurde:

Medium

@Q_D_R_A

660 views09:31