Yazılar

Zeus alternatifi bankacılık trojanı Pandemiya iddialı geldi

Bir süredir hybrid bankacılık zararlı yazılımlarının yükselişe geçtiği malum. Fakat yine de Zeus’a güçlü bir alternatif bekleyişi hakimdir. Bu uzun sürmedi ve Zeus’a alternatif olabilecek güçlü bir zararlı yazılım olan Pandemiya ortaya çıktı.

Pandemiye trojanının en temel paketi 1500 dolar gibi bir rakama satılıyor. Eğer ek modüller alırsanız bu rakam 2000 doları bulabiliyor. Zararlı yazılım bir bankacılık trojanında olması gereken her türlü gelişmiş özelliğe sahip. Bunlar arasında dosya yakalama, antivirus atlatma, veri çalma, ekran görüntüsü yakalama, C&C merkeziyle şifreli iletişim gibi özellikler var. Pandemiya zararlısı modüler şekilde geliştirilmiş adeta iddialı bir yazılım projesi gibi. Eklenti sistemi sayesinde istenen özellikler ana yazılıma kazandırılabiliyor.

Bu arada özellikle belirtmek gereken konu Pandemiya’nın sıfırdan yazılan bir trojan olduğu. Yani Zeus, Citadel, Carberp vb. diğer bankacılık zararlı yazılımlarıyla ortak bir kod paylaşmıyor. Pandemiya kodlanırken bir yıl içerisinde 25.000 C kodu yazılmış. Bu da ciddi bir efor anlamına geliyor. Developer veya developerların ana hedefi ise zararlının tespit edilmesini olabildiğince güçleştirmek. Özellikle son olarak yürütülen uluslararası Gameover/Zeus operasyonundan da ders alan developer alıntı kod kullanmamak ve zararlının analiz sürecini uzatarak kodu korumak için büyük bir çaba göstermiş.

Pandemiya’nın ek ücretle sunulan eklentileri arasında ise reverse proxy, FTP stealer, PE infector gibi modüller bulunuyor. Bunun dışında gizli RDP, Facebook spreader gibi henüz test aşamasında olan eklentiler de mevcut.

Bakalım ileriki zamanlarda Pandemiye Türkiye ve bulunduğu bölgede ne derece yayılacak. Son aylarda MITB (Man in the Browser) saldırılarının, bankacılık şifresi ileten cep telefonu zararlılarının kol gezdiği ülkemizdeki siber suçlular bunu ne zaman değerlendirecek.

zeus-alternatifi-bankacilik-trojani-pandemiya-iddiali-geldi

“Man in the browser” tehditi

man-in-the-browser-internet-bankaciligiSiber suçların hızla arttığı günümüzde bankacılık sektörü, adına Man in the browser denilen saldırı çeşidiyle daha da risk altında. Internet bankacılığı operasyonlarının zayıf karnı platformların sosyal medya, mobil gibi riskli alanlara açılıyor olması. Phishing, sosyal mühendislik gibi tehditler bu yüzden halen revaçta olmayı sürdürüyor. Diğer yandan keylogger içeren zararlı yazılımlar, ekran görüntülerini yakalayıp aktaran zararlı yazılım modülleri de mevcut. Fakat bu etkin zararlı yazılım bulaştırma yolu artık Man in the browser saldırıları için kullanılıyor.

Man in the browser saldırı tekniği diğer tekniklerle bir yönde ayrışıyor. Burada kurbanın şifresini almak yerine kullandığı browser üzerine zararlı yazılım yerleştirilerek saldırı gerçekleştiriliyor. Man in the browser tekniği ile yazılan zararlı yazılım bir browser eklentisi tarzında Active X, Browser eklentisi, Add-on, Plugin, API aracı gibi yüklenebiliyor.

Bir nevi proxy gibi çalışan zararlı yazılım içeren browser eklentisi kullanıcının yaptığı transferleri, değiştiriyor veya hiç gerçekleştirmediği transferleri gerçekleştiriyor. İki aşamalı şifrelerin de korumadığı bu saldırı biçiminde zararlı yazılım para transfer etmek veya diğer işlemler için kullanıcının internet bankacılığına giriş yapmasını veya bir para transfer işlemi yapmasını bekliyor.

TerraMedusa Blog’un önceki yazılarda da bir çoğunu incelediğimiz Man in the browser yeteneklerine sahip internet bankacılığı zararlı yazılımları şu an için Zeus, Carberp, Sinowal ve Clampi olarak sıralanabilir.

KINS herkes için tehdit

kins-internet-bankaciligi-trojani2013’ün başlarında keşfedilen yeni internet bankacılığı trojanı KINS, yeni nesil bankacılık trojanlarının temsilcisi olarak görülüyor. SpyEye, Zeus ve artık geliştirilmeyen Citadel trojanlarından sonra artık KINS ile ilgili gelişmelere daha çok rastlayacağız.

KINS tamamıyla yeni bir proje. Yani Zeus veya SpyEye’dan türetilmiş bir versiyon değil. Ama bu demek değil ki benzeri işleri yapan diğer trojanlardan ek özellikler almasın. KINS, Zeus’un web injectionlarını içeriyor ve SpyEye’ın Anti-Report eklentisi ile uyumlu çalışıyor.

KINS’in en ilginç özelliği ise Rus kullanıcılara bulaşmıyor olması. Sistemde Rus ülkelerinden birine ait bölgesel ayar gördüğü zaman trojan kendini siliyor. Trojan modüler bir yapıya sahip. En temel paket bootkit, dropper, DLL dosyaları ve Zeus uyumlu web injectleri içeriyor. Trojan’ın temel paketi 5.000$ gibi bir fiyata satılıyor. Her ek plugin ise 2.000$ gibi bir fiyata alıcı buluyor.

Bootkit modülü gerçekten ilginç. KINS benzeri Zeus, SpyEye gibi bankacılık trojanlarında olmayan bu özellik sayesinde trojan kendini VBR (Volume Boot Record) yazarak sistemdeki varlığını daha uzun süre saklayabiliyor. Bootkit modülünün değerini anlamak için Carberp trojanına bakmak gerek. Carberp için bootkit modülü siber suçlular dünyasında 40.000$’a rahatlıkla alıcı buluyor.

Tehlikeli trojan Carberp yenileniyor

carberp-internet-bankaciligi-zararli-yazilimiBilinen en gelişmiş internet bankacılığı zararlı yazılımlarından olan Carberp ile ilgili sıcak gelişmeler oluyor. Aralık 2012’de yayınlanan son versiyonu yeni bir bootkit modülüne sahip olan zararlı yazılım siber mafya tarafından 10.000 dolar ile 40.000 dolar arasında rakamlarla “aylık” kiralama yöntemiyle satılıyordu.

Carberp ilk olarak 3 yıl önce tespit edilmişti. O zamandan beridir diğer ünlü internet bankacılığı zararlı yazılımları Zeus ve SpyEye için tam bir alternatif oluşturuyor. Boot sektörüne bulaşmaya izin veren modülü sayesinde siber suçlular epeyi bir süre antivirus yazılımlarını atlatarak kurbanlarının sistemini yönetebildiler.

İlk kez Haziran 2012’de zararlı yazılım ABD İçişleri Bakanlığının izni ve sağladığı imkanlar ile yakalanan 6 kişilik bir dolandırıcılık şebekesinin sistemlerinde incelenebildi. Bu olaydan gizemi çözülen Carberp’i programlayanlar yeni bir yöntem tercih etmeye başladı. Artık yazılımı sınırsız yönetim ve dağıtım imkanlarıyla satmak yerine kiralama şeklinde sunmaya başladılar. Bunun yarattığı en büyük tehdit çok az teknik bilgiye sahip kişilerin bile zararlı kod içeren bir dosya ile rahatlıkla insanların paralarını internetten çalabilmesine olanak tanımasıydı.

Satıcılar sıkı çalışarak aralarında WellsFargo, Citi, JP Morgan Chase, Bank of America, TD Bank ve TerraMedusa Siber İstihbarat Altyapısının tespit ettiği “2 Türk bankasını” içeren web-injection modüllerini piyasaya sundular.

Son gelişmeyle ise işler iyice karıştı. Bir süredir siber suçlular 5.000 dolar gibi bir rakama Carberp internet bankacılığı zararlı yazılımının kaynak kodunu satmaya başladılar. Satılan kaynak kodu Carberp’in full kaynak kodu. Kod içerisinde yazanın notlarını bile görmek mümkün. Paket içerisinde kaynak kodu, web-injection modülleri, solucan modülü Gavazar, bootkit modülü, köle sistemleri yönetmek için admin paneli, yaması yayınlanmış Windows açıkları için exploitler bulunuyor.

Aslında Carberp’in kaynak kodunun böyle düşük bir fiyata satılması bir sondan çok başlangıcı temsil ediyor. Son 2 yılda Carberp’in 10 milyondan fazla sisteme kurulduğu düşünülüyor. Bu sayının içerisine zararlı bulaşan sistemler, tespit edilebilen varyantlar, banka sistemleri dahil. Daha önceki zararlı yazılım frameworklerinde olduğu gibi eğer çok güçlü bir projenin kaynak kodları sızıyorsa, yolda yayınlanmayı bekleyen çok daha güçlü bir zararlı yazılım geliyor demektir.