安全路透社
当前位置:安全路透社 > 网络转载 > 正文

“无文件”恶意软件的威力:悄无声息一夜之间从ATM机中窃取80万美元

atm-fileless-malware.png

最近,有一群黑客将目标瞄准了俄罗斯的至少8台ATM,一夜之间就窃取了80万美元。但是攻击者使用的方法却非常奇幻。监控显示一个黑客走向ATM机,甚至都没有触碰机器就把现金取了出来。

即使是那些被窃取的银行,在ATM上还是找不到任何入侵的痕迹。唯一线索是某家银行的专家在ATM的硬盘上发现的两个包含恶意软件日志的文件:kl.txt和logfile.txt。文件中的有两个字符串:“拿钱吧”和“取款成功”。

尽管这个线索看似微乎其微,但是对卡巴斯基的研究员们而言这已经足够。他们一直在调查针对ATM机的攻击,想要找到攻击背后所使用的病毒样本。研究人员创建了YARA识别规则来捕获样本。YARA是一款模式识别工具,帮助研究人员识别恶意软件。

今年2月,卡巴斯基实验室报道称,黑客使用“无文件病毒”成功攻击了140家企业,包括银行、电信和政府组织,范围包括美国、欧洲等地区,不过攻击的细节没有做过多披露。

研究人员称,攻击银行时所用的是一种无文件的病毒,它能够存在内存中,而非像传统恶意程序那样驻足在硬盘中。

在圣马丁岛举办的卡巴斯基安全分析员峰会上,研究员Sergey Golovanov和Igor Soumenkov深入介绍了ATM攻击,向大家描述了如何使用无文件病毒进入银行系统并提取现金

研究人员介绍ATM攻击

kaspersky-fileless-malware.png

这款被命名为ATMitch的恶意软件之前在哈萨克斯坦和俄罗斯被发现,病毒通过远程管理模块远程安装和执行的。黑客可以通过SSH隧道部署恶意软件并发送指令给ATM,从而获取现金。

无文件病毒利用了ATM设备上的合法工具,恶意程序不会被安装到系统上,ATM因此会把这些恶意代码识别为正规软件。然后远程操控者会发送指令,而他们的同伙则会与此同时等候在ATM前将钱取走,这也就是为什么取钱的犯罪分子可以不接触ATM机。一旦所有现金被取出,黑客就会“注销”,留下非常少的线索。

从技术上讲,恶意软件一旦通过远程桌面连接被安装执行,就会寻找一个名叫command.txt的文件。从文件中读取字符,这些字符关联着不同的命令,按照攻击者需要来执行。例如,“O”代表打开提款面板。 ATMitch会将命令的结果写入日志文件,随后从机器的硬盘中删除command.txt。

攻击的第一步依赖大量开源软件。银行发现了Meterpreter,黑客应该还使用了PowerShell脚本、NETSH和Mimikatz。为了消除痕迹,黑客有时还会使用SDelete,这是一款Windows命令行软件,用于删除他们的文件和目录掩盖痕迹。

然而,要进行这样的攻击,首先攻击者需要能够入侵银行的后端网络,这需要极高的网络入侵能力。

精准的物理入侵

atmitch.png

直接打开ATM的面板会触发警报,黑客转而使用了一种更加精准的物理入侵手段:在ATM机的前面板上钻一个高尔夫球大小的洞,然后用串行分布式控制线(SDC RS485 standard)传输9字节的加密数据,从而打开提现的面板。

这个方法被曝光的原因是之前警方逮捕了一名伪装成维修工的罪犯,当时他正在钻孔,尝试植入恶意代码触发提现面板,卡巴斯基的研究员借此还原了ATM攻击的经过。

嫌犯被捕时携带着笔记本、电缆和一个小盒子。尽管研究人员没有指明ATM机的生产商和受影响的银行,但是他们警告称,犯罪分子已经已经在俄罗斯和欧洲使用了这种钻孔攻击,并且实际上这种攻击能够影响全世界的ATM机。

目前大家还不知道这些ATM攻击背后的组织或国家。但研究人员发现的“tv.dll”中存在俄语资源。

而攻击的方法、过程与Carbanak和GCMAN组织十分相像。这些攻击攻击了30个国家的超过30个IP地址,但大多数影响的是美国和俄罗斯。犯罪分子利用后门安装键盘记录器来收集密码。一些罪犯雇佣钱骡收钱,并将其转移到SWIFT网络上,而其他犯罪分子则通过ATM欺诈发财。

在去年的会议上,Golovanov和另一位研究员Vladislav Roskov透露了另外两家银行抢劫团伙Metel和GCMAN的细节。就像ATMitch背后的黑客一样,这两个组织都使用了正规的渗透软件执行任务。 Metel使用了Mimikatz,而GCMAN使用了VNC、Putty和Meterpreter来控制系统。

最近无文件病毒攻击形式也变得普遍起来。就在上个月,研究人员发现了一种无文件病毒,命名为DNSMessenger,它会使用DNS请求生成恶意PowerShell命令,从而加大病毒检测的难度。

*参考来源:THN,本文作者:Sphinx

未经允许不得转载:安全路透社 » “无文件”恶意软件的威力:悄无声息一夜之间从ATM机中窃取80万美元

赞 (0)
分享到:更多 ()

评论 0

评论前必须登录!

登陆 注册