Internet

NASK unieszkodliwił trzy domeny powiązane z wirusem atakującym polskie serwisy finansowe

Instytut NASK przejął trzy domeny będące bazą wypadową dla wirusa atakującego głównie polskie serwisy finansowe.

instytut badawczy nask logo przejęcie trzy domeny

Eksperci z instytutu badawczego NASK dla bezpieczeństwa użytkowników sieci przejęli trzy polskie domeny internetowe wykorzystywane do rozpowszechniania i zarządzania odmianą botnetu o nazwie Citadel. Wśród ofiar wirusa, który zainfekował co najmniej 164 tysiące adresów IP na całym świecie, znaleźli się głównie polscy użytkownicy serwisów finansowych. Jest to kolejna, po przejęciu ponad 40 domen obsługujących botnet Virut, akcja NASK wymierzona w cyberprzestępców.

Botnet Citadel najprawdopodobniej powstał w wyniku wycieku kodu źródłowego innego groźnego wirusa komputerowego o nazwie „Zeus” w 2011 roku. Na jego podstawie stworzono wiele różnych mutacji złośliwego oprogramowania, wśród których znalazł się także Citadel. Twórcy odsprzedają oprogramowanie umożliwiające budowę własnego botnetu wraz z panelem kontrolnym pozwalającym na sterowanie jego pracą.

Dzięki temu klienci mogą samodzielnie infekować wybrane maszyny. Zaatakowane wirusem urządzenia stają się komputerami-zombie, które bez wiedzy swoich właścicieli łączą się w sieci i są wykorzystywane często do działań niezgodnych z prawem.

komunikat wysłany przez citadel

Botnety Citadel, chociaż głównie wykorzystywane do kradzieży poufnych danych, umożliwiają również ściąganie innego złośliwego oprogramowania, a więc docelowo również mogą zostać wykorzystane np. do prowadzenia ataków sieciowych typu DDoS, czy dystrybucji spamu.  Specjalistom z działającego w NASK zespołu CERT Polska udało się ustalić, że polska infrastruktura sieciowa była wykorzystywana do rozpowszechniania i kontrolowania odmiany botnetu Citadel o nazwie „plitfi”.

Dzięki niej cyberprzestępcy mogli śledzić i rejestrować, w formie zrzutów ekranu lub nagrań, aktywności na komputerze atakowanego. Pozwalało im to na przechwytywanie danych logowania w momencie, gdy użytkownik był proszony o ich wprowadzenie. Dodatkowo osoby odpowiedzialne za ataki zyskiwały możliwość dowolnej modyfikacji wyglądu witryny systemu transakcyjnego. Przykładem takiego działania było wyświetlanie komunikatów o rzekomo błędnym przelewie, jaki został dokonany na konto ofiary. Ponadto Citadel umożliwiał przekierowanie danej domeny na inny adres IP w celu zablokowania użytkownikowi dostępu do stron, które mogłyby mu pomóc w usunięciu złośliwego oprogramowania.

Ze względu na fakt wykorzystywania do działalności jednoznacznie szkodliwej dla użytkowników sieci Internet, NASK przejął trzy nazwy domenowe: infocyber, secblog oraz online-security, związane z działaniem wirusa Citadel. Ruch z wyżej wymienionych domen został przekierowany na serwer kontrolowany przez zespół CERT Polska, co umożliwiło gromadzenie i analizę danych dotyczących działalności botnetu.

nask dane tabela liczba adresów ip

Jak się okazało, dziennie odnotowywano średnio 8 tysięcy połączeń z różnych komputerów. Między 11 marca a 4 kwietnia 2013 roku eksperci z CERT Polska zanotowali całkowitą liczbę 164 323 unikalnych adresów IP zaatakowanych przez Citadel. Dotknięte nim komputery pochodziły z 75 krajów, a największą liczbę połączeń wykonały urządzenia korzystające z polskich adresów sieciowych. Odpowiadały za blisko 80 procent wszystkich wysyłanych komunikatów.

Przejęte domeny były wykorzystywane do prowadzenia nielegalnych działań i stanowiły realne zagrożenie dla użytkowników Internetu. Złośliwe oprogramowanie atakowało nie tylko użytkowników, dostawców usług pocztowych i użytkowników portali społecznościowych, ale przede wszystkim użytkowników takich instytucji jak banki czy firm pośredniczących w płatnościach online. Oznacza to, że w wyniku funkcjonowania wirusa, osoby korzystające z bankowości elektronicznej były narażone na kradzież swoich danych, a przez to wymierne straty finansowe. Działania NASK związane z botnetem Citadel są kolejnym krokiem na rzecz zwiększania bezpieczeństwa sieciowego.” - mówi Michał Chrzanowski, Dyrektor instytutu badawczego NASK.

Źródło: NASK, inf. prasowa

Komentarze

2
Zaloguj się, aby skomentować
avatar
Komentowanie dostępne jest tylko dla zarejestrowanych użytkowników serwisu.
  • avatar
    Sakret
    -1
    Ciekawe czy osoby z zainfekowanym ip zostana poinformowane ze znalazly sie na tej nieszczesnej liscie .