Poseidon le nouveau malware de terminaux de cartes bancaires

Un nouveau malware de terminaux de cartes bancaires a été repéré par les chercheurs en sécurité de Cisco's Talos Security Intelligence, le groupe de recherche de Cisco a annoncé qu'il est plus sophistiqué qu'auparavant en comparaison des malwares déjà connus de terminaux de CB.

Le malware, surnommé "Poseidon", est conçu de façon qu'il ait les capacités à la fois du cheval de Troie bancaire Zeus et l'infâme malware BlackPOS qui ont volé des millions de détaillants américains, cible en 2013 et Home Depot en 2014.

Le malware Poseidon inspecte la mémoire des terminaux de paiements pour rechercher les numéros de carte des principaux émetteurs de cartes comme Visa, MasterCard, AMEX et Discover, le logiciel malveillant utilise l' algorithme Luhn afin de vérifier que les numéros de carte de crédit ou de débit sont valables.

Le malware siphonnent alors les données capturées de carte de crédit vers des domaines (.ru) russes pour moissonner et probablement revendre ces données, indiquent les chercheurs.

"Poseidon est nouveau dans le nombre croissant de logiciels malveillants ciblant les systèmes de point de vente qui démontrent les techniques sophistiquées et les approches d'auteurs de logiciel malveillant," ont écrit les chercheurs de l'équipe de sécurité de Cisco dans un article de blog.

 "Les attaquants vont continuer à cibler les systèmes de points de vente et d'employer diverses techniques d'obscurcissement  afin d'éviter la détection. Tant que les attaques de point de vente continuent à procurer des rendements, les attaquants vont continuer à investir dans l'innovation et le développement de nouvelles familles de logiciels malveillants." 

Les composants de Poséidon sont illustrés dans le diagramme ci-dessus.

Le malware Poseidon comporte un chargeur binaire qui maintient la persistance sur la machine cible afin d'essayer de survivre à des redémarrages et lorsque l'utilisateur se déconnecte. Le chargeur reçoit alors d'autres composants des serveurs de commande et de contrôle.

En suite le fichier binaire télécharge est installe FINDSTR un composant Keylogger qui scanne la mémoire de l'appareil pour récupérer les numéros de carte de crédit.

Les numéros identifiés sont vérifiées en utilisant l'algorithme de Luhn, puis cryptées et envoyées à l'un des serveurs d'exfiltration, dont la majorité appartiennent à des domaines russes:

linturefa.com
xablopefgr.com
tabidzuwek.com
lacdileftre.ru
tabidzuwek.com
xablopefgr.com
lacdileftre.ru
weksrubaz.ru
linturefa.ru
mifastubiv.ru
xablopefgr.ru
tabidzuwek.ru

Au cours des dernières années, aux États-Unis, un certain nombre de points de vente ont été touchés par des logiciels malveillants, ceux-ci collectaient les données de cartes de crédit à bande magnétique des utilisateurs pour les vendre sur les marchés noirs.

Les administrateurs réseau doivent rester vigilants et doivent se conformer aux meilleures pratiques du secteur afin qu'ils puissent se protéger contre l'avancée des menaces des logiciels malveillants de terminaux bancaires, disent les chercheurs.

Source: Thehackernews

Comments

[Pierre]

Plus les technologies avancent, plus les voleurs deviennent intelligents. Les attaques à main armée ne seront bientôt plus que de lointains souvenirs, la dématérialisation des biens en sera la cause.