黑客用新 Rootkit 攻击银行网络从 ATM 机上窃取资金
Hackernews 编译，转载请注明出处： 据观察，一个利益熏心的黑客正在部署一个全新的针对 Oracle Solaris 系统的 rootkit，目的是ATM机网络，并在不同银行使用伪造的卡进行未经授权的现金提款。 威胁情报和事件应急公司 Mandiant 正在追踪名为 UNC2891的组织，该组织的一些战术、技术和程序共享与另一个名为UNC1945的组织有相似之处。 Mandiant 公司的研究人员在本周发布的一份新报告中称，这名演员进行的入侵涉及“高度的 OPSEC，利用公共和私人恶意软件、公用程序和脚本来移除证据，阻碍应急行动。” 更令人担忧的是，在某些案例中，这些攻击持续了几年，在整个过程中，黑客利用一个名为 CAKETAP 的 rootkit ，且仍未被发现，这个 rootkit 被设计用来隐藏网络连接、进程和文件。 Mandiant 公司能够从受害的 ATM 交换服务器中恢复内存检测数据，该公司指出，内核 rootkit 的一种变体具有专门功能，使其能够拦截卡和 PIN 验证信息，并使用被盗数据从 ATM 终端进行欺诈性的现金提款。 同时使用的还有两个后门，即 SLAPSTICK 和 TINYSHELL，它们都属于 UNC1945，用于获得对任务关键系统的持久远程访问，以及通过 rlogin、 telnet 或 SSH 进行 shell 执行和文件传输。 研究人员指出: “由于该组织熟悉基于 Unix 和 Linux 的系统，unc2891经常使用伪装成合法服务的值命名和配置他们的 TINYSHELL 后门，这些值可能会被检测人员忽略，比如 systemd (SYSTEMD)、名称服务缓存守护进程(NCSD)和 Linux at 守护进程(ATD)。” 此外，攻击链使用了各种恶意软件和公开可用的实用程序，包括- STEELHOUND —— STEELCORGI 内存植入的变体，用于解密嵌入式有效载荷和加密新的二进制文件 WINGHOOK-一个基于 Linux 和 Unix 操作系统的键盘记录程序，以编码格式捕获数据 WINGCRACK-一个实用程序，用于解析由 WINGHOOK 生成的编码内容 Wiperiight ——一个 ELF 实用程序，用于删除基于 Linux 和 Unix 系统上属于特定用户的日志条目 MIGLOGCLEANER ——一个在基于 Linux 和 Unix 的系统上清除日志或删除某些字符串的 ELF 实用程序 研究人员说: “ UNC2891使用他们的技术和经验来充分利用 Unix 和 Linux 环境中经常出现的不明显的安全措施。”“虽然 UNC2891和 UNC1945之间的一些相似度是显而易见的，但不足以确定入侵是同一个威胁组织所为。” 消息来源：TheHackerNews，译者：Zoeppo； 本文由 HackerNews.cc 翻译整理，封面来源于网络； 转载请注明“转自 HackerNews.cc ” 并附上原文
“无文件攻击”威力初显：仅需一夜轻松窃走俄罗斯 ATM 80 万美元
据卡巴斯基安全实验室消息，黑客通过新型恶意软件 “ATMitch” 采用“无文件攻击”方式，一夜之间成功劫持俄罗斯 8 台 ATM 机窃走 80 万美元。 这起网络劫持事件成功引起了安全专家的注意，他们在分析闭路电视录像时发现一名男子至 ATM 机旁并未与机器交互即可获取现金。据悉，受影响银行的安全团队并未发现任何恶意软件入侵迹象，唯有一家目标银行表示曾在 ATM 中发现两份入侵日志： “Take the Money Bitch!” “Dispense Success.” 卡巴斯基 2017 年 2 月就 “ATMitch” 恶意软件发布分析报告表示，黑客曾利用恶意软件 ATMitch 攻击 140 家机构，其中包括银行、电信公司与 40 余家政府单位。 银行安全团队表示，他们不仅发现 Microsoft 域控制器（ DC ）的物理内存中存在其代码副本，还发现黑客将恶意代码直接注入受感染内存中与恶意软件一同在 RAM 系统中运行。目前卡巴斯基安全专家已将该此类恶意软件标记为 MEM：Trojan.Win32.Cometer 与 MEM：Trojan.Win32.Metasploit。 近期，在圣马丁举行的卡巴斯基安全分析高峰会期间，安全专家 Sergey Golovanov 和 Igor Soumenkov 提供了两家俄罗斯银行 ATM 机被黑客攻击的进一步调查。安全专家表示，该恶意软件首次在俄罗斯和哈萨克斯坦被发现。攻击者通过 SSH 隧道连接 ATM 机、安装恶意代码，并指示 ATM 机分配现金。由于恶意软件 ATMitch 利用机器现有的合法工具远程发送命令以分配资金，所以只需几秒即可快速运行，致使清空 ATM 机而不留痕迹。 安全专家强调，为避免触发警报，攻击者在 ATM 上钻出高尔夫球大小的洞孔，通过物理方式访问 ATM 机面板获取钞票。 研究人员提醒设备制造商与银行，黑客已横跨俄罗斯和欧洲银行对其采取 “ATM 电钻攻击”。目前不能确定攻击 ATM 机背后的具体犯罪团伙，但他们注意到攻击使用的源代码中包含俄语内容。此外，卡巴斯基发现该黑客组织使用的技术方法与网络犯罪团伙 Carbanak 和 GCMAN 存在相似之处。 原作者：Pierluigi Paganini ， 译者：青楚 ，审核：狐狸酱 本文由 HackerNews.cc 翻译整理，封面来源于网络。 转载请注明“转自 HackerNews.cc ” 并附上原文链接。