malware bancario
Neverquest è un nuovo Trojan bancario che si diffonde attraverso i social network, le email e i protocolli di trasferimento file. È in grado di riconoscere centinaia di siti Internet di home banking e di altri prodotti finanziari.
Dopo aver rubato le credenziali bancarie dell’utente, Neverquest invia i dati al server command and control, da dove gli hacker possono utilizzarle per accedere agli account via VNC (Virtual Network Computing), software di controllo in remoto.
Questo Trojan, reso pubblico da Kaspersky Lab all’inizio di questa settimana, ha già infettato migliaia di computer ma, come ci spiega l’esperto di malware Sergey Golovanov, potrebbe fare ancora più danni durante le vacanze di Natale, in quanto è capace di autoreplicarsi con grande rapidità. Nel 2009, il malware Bredolab, che impiegava le stesse tecniche di diffusione di Neverquest, è stato una vera e propria piaga per gli utenti e, di fatto, è diventato il terzo malware in assoluto più diffuso su Internet.
“Quando l’utente di un computer infetto visita uno dei siti bancari (presenti in una lista a disposizione dei cybercriminali), il malware prende il controllo della connessione del browser con il server”, ha dichiarato Golovanov su Securelist. “S’impossessa così dello username e della password digitati dall’utente e poi modifica il contenuto della pagina. Tutti i dati dell’utente saranno inseriti nella pagina modificata e poi trasmessi ai cybercriminali”.
Una volta aver preso il controllo dell’ account della vittima, gli hacker trasferiscono l’intera somma presente sul conto su un altro account. Golovanov ha notato, infatti, che i cybercriminali spostano più volte il denaro rubato da un conto all’altro per mescolare le acque e per non essere facilmente rintracciabili.
Sappiamo che il malware Neverquest è in vendita sottobanco almeno su un forum. Per il momento sembra interessare solo gli utenti che navigano con Internet Explorer e Mozilla Firefox, ma i suoi creatori affermano, a mo’ di vanto, di poterlo modificare per poter poi attaccare “qualsiasi banca del mondo”.
Il malware contiene, inoltre, una funzionalità grazie alla quale può ricercare su Internet delle parole chiave relazionate a una specifica banca. Se l’utente visita un sito Internet che comprende queste parole chiave, il Trojan si attiva e inizia a intercettare le comunicazioni tra l’utente e il sito e rinvia queste informazioni agli hacker. Se alla fine risulta essere davvero il sito di una banca, gli hacker aggiungono questa nuova risorsa alla lista delle pagine che Neverquest monitora automaticamente. L’aggiornamento di questa sorta di “banca dati” viene inviata a tutti i dispositivi infetti attraverso le infrastrutture command and control di Neverquest.
Secondo un report, il sito Internet di Fidelity.com, una delle più importanti aziende nel campo dei fondi d’investimento, è stato uno dei principali obiettivi del Trojan.
“Questo sito Internet offre ai propri clienti diversi metodi per gestire online il proprio denaro”, ha affermato Golovanov su Securelist. “Gli hacker hanno quindi la possibilità non solo di trasferire i fondi degli utenti sui propri account, ma anche di giocare in Borsa sfruttando gli account e i soldi delle vittime del malware”.
Neverquest è stato disegnato anche per raccogliere dati quando l’utente del computer infetto visita altri siti di tipo non bancario ma comunque rilevanti per lo scopo come Google, Yahoo, Amazon AWS, Facebook, Twitter, Skype e molto altro.
“Le settimane precedenti alle vacanze di Natale e Capodanno sono caratterizzate da una grande attività da parte dei cybercriminali”, ha scritto Golovanov. “Già a novembre, Kaspersky Lab ha individuato dei post su alcuni forum riguardo la compravendita di database in grado di garantire l’accesso agli account bancari o ad altri documenti utilizzati per aprire e gestire gli account dove vengono inviati i soldi rubati. Prevediamo un’intensificazione degli attacchi via Neverquest verso la fine dell’anno, periodo nel quale gli utenti sono maggiormente vittima del furto di denaro online”.
Infine ha aggiunto:
“Per proteggersi da minacce come Neverquest, un antivirus standard non è sufficiente; gli utenti necessitano di una soluzione specifica in grado di salvaguardare le proprie transazioni online. In particolare, bisogna monitorare l’attività dei browser con il fine di prevenire qualsiasi tipo di manipolazione da parte di applicazioni esterne”.
