Tag Archives: Cybercrime

?????????????: ????????????????????????

      No Comments on ?????????????: ????????????????????????
最近の大規模なデータ侵害を経て、アンダーグラウンド市場では活況を呈しています。盗まれた電子メールアカウントの価格は大幅に下落したものの、その他の違法な商品やサービスの価格は安定したままです。

Twitter Card Style: 

summary_large_image

underground-header-662x348.jpg

休暇シーズンには、最高の贈り物を最良の条件で求める買い物客がインターネットを探し回ります。この時期にお買い得品を探し求めるのは、一般消費者だけではありません。多くのサイバー犯罪者が、他人のお金で買い物をするとともに、アンダーグラウンド市場を利用して違法な商品やサービスを売買しようとしています。盗難データ、侵害されたオンラインアカウント、カスタムのマルウェア、攻撃サービスや攻撃インフラ、不正バウチャーなど、多種多様なものが購入できてしまうのです。

違法な商品やサービスの種類によって価格は大きく変動しますが、予算が非常に厳しいサイバー犯罪者にさえもお買い得品が存在します。攻撃者は、盗難データや侵害されたアカウントを 1 ドル未満で入手可能です。攻撃インフラなど大規模なサービスは、100 ドルから数千ドルで売買されています。それでも、こうしたインフラを利用して得られる利益を考えれば、初期投資に見合う価値があるのでしょう。

過去 12 カ月に発生したさまざまなデータ侵害や店頭レジ端末(POS)マルウェアの事案を考えると、アンダーグラウンド市場には盗難データがあふれていて、価格が下落していると思うかもしれません。ところが興味深いことに、市場で売買されている違法な商品の場合、これは当てはまらないようです。

アンダーグラウンドでの買い物
公衆インターネットで閲覧できる違法市場がある一方で、今年はアンダーグラウンドのサイトに関する報道が増えたため、多くの詐欺師たちがインターネットの暗部に移動することを余儀なくされました。たとえば、一部のフォーラムは隠しサービスとして匿名の Tor ネットワーク上でホストされています。また、招待者のみがアクセス可能で、かつ最近盗まれたばかりのクレジットカード情報 100 件など、金銭や商品の取引実績が必要とされる市場や、プライベートのチャットルームで運営され、新規ユーザーには厳しい審査手続きのある市場もあるのです。このような閉じたサークル内では通常、より多くの商品やサービスがより安い価格で取引されています。

販売されている盗難データ
データの販売価格は、電子メールアカウントなど一部については下落してきましたが、オンラインバンクの口座情報など利益が大きい情報については安定しています。2007 年には、盗まれた電子メールアカウントに 4 ドルから 30 ドルの値段が付いていました。2008 年には 0.10 ドルから 100 ドルの間で揺れ動き、2009 年には 1 ドルから 20 ドルの間を推移しています。現在は、盗まれた電子メールアカウント 1,000 件が 0.50 ドルから 10 ドルで入手可能です。この最新価格は、今や供給過剰となった状況が市場に反映されていることを示しています。

一方、クレジットカード情報の価格は、この数年下落していません。2007 年には、1 枚当たり 0.40 ドルから 20 ドルと広告されていました。カードのブランド、発行国、カードに関連するメタデータの量、大量購入割り引き、盗まれた時期など、さまざまな要因によって価格は変動します。2008 年、クレジットカード情報の平均的な希望価格は 0.06 ドルから 30 ドルとわずかに高くなり、同年の後半には 0.85 ドルから 30 ドルに上昇しました。現在では、0.50 ドルから 20 ドルです。クレジットカード情報の価格は、全般的にこの数年でわずかに下がっています。サイバー犯罪者が大量取引を行う場合は特にそうです。

もちろん、取引の詳細が闇の中であるため、どれだけの買い手が価格範囲内の高値を実際に支払っているかは不明です。また、一部の売り手は、古いデータを販売しようとしたり同じデータを何度も再販しようとしたりするなど、盗品の状態にも疑問があります。販売者の口座が有効かどうかや、クレジットカードが利用停止になっていないかどうかを確認する追加サービスが盛況なのは、このことが原因かもしれません。多くのアンダーグラウンド市場では、データの新鮮ささえも保証していて、クレジットカードが利用停止になっていたら購入後 15 分以内に交換することすら可能です。予想されるとおり、需要があるところには誰かが参入して、市場のギャップを埋めるのでしょう。

雇われの攻撃サービス
サービスとして提供されるクライムウェアも、アンダーグラウンド市場での人気が高くなっています。攻撃者は、ボットネットやその他のオンライン詐欺の実行に必要なインフラをまるごと簡単にレンタルすることが可能です。新規参入した犯罪者が攻撃活動を自力で実行する技術力を持たない場合でも、容易にサイバー犯罪を実行できてしまいます。

ドライブバイダウンロード Web ツールキットが、年中無休 24 時間のサポートと更新を含めて、1 週間あたり 100 ドルから 700 ドルでレンタルすることができます。オンラインバンクを狙うマルウェア SpyEye(Trojan.Spyeye として検出)の 6 カ月リース価格は 150 ドルから 1,250 ドル、分散型サービス拒否(DDoS)攻撃の 1 日あたりの価格は 10 ドルから 1,000 ドルです。買い手の金銭的利益に直結するあらゆる商品やサービスの市場価格は、安定を保持しています。

不正バウチャーやチケットで利益をあげる
サイバー犯罪者は、利益をあげるための新しい手口を常に考え出します。現在多く利用されているのはバウチャーやオンラインギフトカードで、これはオンラインで簡単に売買できるからです。攻撃者は、バウチャーやオンラインギフトカードを、盗難クレジットカードを使用して購入したり、乗っ取ったオンラインストアアカウントから作成したりします。その後、正規価格の 50% から 65% で販売するのです。また、ホテル、航空機、電車のチケットを本来の希望価格の約 10% で販売することもできます。もちろん、このようなチケットを購入するのは非常に危険です。先日、国際的な摘発作戦によって、偽造チケットを使用したか、または盗難クレジットカード情報を入手して航空券を購入した疑いで 118 名が逮捕されました。航空業界では、不正チケットによって年間 10 億ドル前後の損失が発生していると考えられています。

代理人が商品を転送するなどの古い手口は、あまり使われなくなってきています。盗難クレジットカードで購入した高価な商品を無関係の協力者に発送し、受け取った協力者が攻撃者の匿名私書箱に転送するという手口です。多くの小売店では発送先をクレジットカードに登録された自宅住所に限っているため、この方法は難しくなりつつあります。このため一部の攻撃者は、商品をどこかに配送させるのではなく、近所の店舗で商品を受け取るようになってきたようです。

拡大するアンダーグラウンド市場
アンダーグラウンド市場で販売されているのは、これらにとどまりません。次のような商品やサービスも販売されています。

  • 身元詐称に利用できるパスポート現物のスキャン画像(1 ドルから 2 ドル)
  • 価値の高いバーチャルアイテムを取得可能できる盗難ゲームアカウント(10 ドルから 15 ドル)
  • ビットコインの支払先を攻撃者に書き換えて盗み取るツールなど、カスタムのマルウェア(12 ドルから 3,500 ドル)
  • ソーシャルネットワークのフォロワー 1,000 名(2 ドルから 12 ドル)
  • コマンド & コントロール(C&C)サーバーのホストに利用できる盗難クラウドアカウント(7 ドルから 8 ドル)
  • 確認済みの電子メールアドレス 100 万件宛てにスパムを送信(70 ドルから 150 ドル)
  • 登録済みで有効化済みのロシアの携帯電話 SIM カード(100 ドル)

保護対策
アンダーグラウンド市場が活況を呈していることから、自分自身のデータや ID を保護することが一層重要になっています。さもないと、この休暇シーズンに個人情報がサイバー犯罪者の買い物に悪用されることにもなりかねません。

シマンテックは、次の基本的なセキュリティ対策を講じることをお勧めします。

  • 常に強力なパスワードを使用し、決して複数の Web サイトで使いまわさない。
  • すべてのデバイス上のソフトウェアを定期的に更新して、攻撃者が既知の脆弱性を悪用することを防止する。
  • 個人情報や口座情報を入力する際は、アドレスバーで鍵アイコンまたは「HTTPS」が使われていることを確かめ、その Web サイトがセキュアソケットレイヤー(SSL)証明書で暗号化されていることを確認する。疑わしい動作があったら、重要な情報をオンラインで送信する前に報告する。
  • ノートン セキュリティなどの総合的なセキュリティソフトウェアを使用して、自分自身をサイバー犯罪から保護する。
  • 電子メールで送られてきたリンクや、ソーシャルネットワークに掲載されているリンクがどんなに魅力的でも不用意にクリックしない。嘘のようなうまい話には、たいてい裏がある。

underground-price-list-662x1870.jpg

* 日本語版セキュリティレスポンスブログの RSS フィードを購読するには、http://www.symantec.com/connect/ja/item-feeds/blog/2261/feed/all/ja にアクセスしてください。

Underground black market: Thriving trade in stolen data, malware, and attack services

The underground market is still booming after recent major data breaches. The price of stolen email accounts has dropped substantially, but the value of other illegal goods and services has remained stable.

Twitter Card Style: 

summary

underground-header-662x348.jpg

During the holiday season, shoppers scour the internet to find the best deals for the perfect gifts. Ordinary consumers aren’t the only ones looking for bargains at this time of year. A host of cybercriminals are looking to shop at other people’s expense and use underground marketplaces to buy and sell illegal goods and services. Stolen data, compromised online accounts, custom malware, attack services and infrastructure, fraudulent vouchers, and much more can be bought if you know where to go.

Prices for illegal goods and services can vary widely, depending on what’s offered, but bargains exist even for cybercriminals on the tightest budgets. Attackers can pick up stolen data and compromised accounts for less than a dollar. Larger services, such as attack infrastructure, can cost anything from a hundred dollars to a few thousand. However, considering the potential gains that attackers could make by using this infrastructure, the upfront cost may be worth it for them.

Considering all of the data breaches and point-of-sale (POS) malware incidents that occurred in the last 12 months, you may think that underground markets are flooded with stolen data, causing prices to drop. Interestingly enough, this does not seem to be the case for all illegal goods on these marketplaces.

Shopping in the underground
While some illegal marketplaces are viewable on the public internet, news coverage around underground sites has increased this year, forcing many scammers to move to darker parts of the internet. For example, some forums are now hosted on the anonymous Tor network as hidden services. Other markets are only accessible with an invitation and require a buy-in, which could involve money or goods—like 100 freshly stolen credit cards. Other markets are run on private chat rooms and have rigid vetting procedures for new users. In these closed circles, prices are usually much lower and the traded amount of goods or services is higher. 

Stolen data for sale
Prices have dropped for some of the data offered, such as email accounts, but they remain stable for more profitable information like online bank account details. In 2007, stolen email accounts were worth between US$4 and $30. In 2008, prices fluctuated between $0.10 and $100. In 2009, the price hovered between $1 and $20. Today, you can get 1,000 stolen email accounts for $0.50 to $10.  The latest pricing is a good indication that there is now oversupply and the market has adjusted accordingly.

Credit card information, on the other hand, has not decreased in value in recent years. In 2007, this information was advertised at between $0.40 and $20 per piece. How much you pay can depend on a number of factors, such as the brand of the card, the country it comes from, the amount of the card’s metadata provided, volume discounts, and how recently the card data was stolen. In 2008, the average asking price for credit card data was slightly higher–$0.06 to $30–and later in the year it rose to from $0.85 to $30. Today, prices for stolen credit card information range between $0.50 and $20. In general, credit card data prices have fallen slightly over the last few years, especially in cases where cybercriminals trade in bulk volumes.

Of course, we have no visibility into transactions and do not know how many buyers actually pay the upper end of the price range. The quality of the stolen goods is also questionable, as some sellers try to sell old data or resell the same data multiple times. This may also explain why there has been a boom in additional service offerings that verify that the seller’s accounts are still active or that a credit card has not yet been blocked. Most underground marketplaces even provide a guarantee for the data’s freshness and replace blocked credit cards within 15 minutes of purchase. As expected, where there is demand, someone will step in and address the gap in the market.

Attack services for hire
Crimeware-as-a-service has also become popular on underground marketplaces. Attackers can easily rent the entire infrastructure needed to run a botnet or any other online scams. This makes cybercrime easily accessible for budding criminals who do not have the technical skills to run an attack campaign on their own.

A drive-by download web toolkit, which includes updates and 24/7 support, can be rented for between $100 and $700 per week. The online banking malware SpyEye (detected as Trojan.Spyeye) is offered from $150 to $1,250 on a six-month lease, and distributed denial-of-service (DDoS) attacks can be ordered from $10 to $1,000 per day. Any product or service directly linked to monetary profit for the buyer retains a solid market price.

Cashing out with fraudulent vouchers and tickets
Cybercriminals are always coming up with new strategies to cash out their profits. Vouchers and online gift cards are currently in vogue, as they can easily be traded or sold online. Attackers pay for them using stolen credit cards or generate them from hijacked online retailer accounts. They then sell the vouchers and online gift cards for 50 to 65 percent of the nominal value. Cybercriminals can also sell hotel, airline, and train tickets for approximately ten percent of the original asking price. Of course, this is very risky for the people who buy these tickets. Recently, 118 people were arrested in a global operation on suspicion of using fake tickets or obtaining stolen card data to purchase airline tickets. The airline industry believes that fraudulent tickets are costing it around $1 billion annually.

Older methods such as packet re-sending agents have declined in popularity. This method involved buying expensive goods with stolen credit cards and having them shipped to an uninvolved volunteer, who then reships the goods to the attacker’s  anonymous PO box.  This is getting harder to do, as many shops will only ship to the registered home address of the credit card. This also led to some attackers picking up the items in a physical store nearby, rather than shipping them somewhere first.

The expansive underground marketplace
These examples aren’t the only goods and services on offer on underground marketplaces. Also for sale are:

  • Scans of real passports ($1 to $2), which can be used for identity theft purposes
  • Stolen gaming accounts ($10 to $15), which can yield valuable virtual items
  • Custom malware ($12 to $3,500), for example tools for stealing bitcoins by diverting payments to the attackers
  • 1,000 followers on social networks ($2 to $12)
  • Stolen cloud accounts ($7 to $8), which can be used for hosting a command-and-control (C&C) server
  • Sending spam to 1 million verified email addresses ($70 to $150)
  • Registered and activated Russian mobile phone SIM card ($100)

Protection
The booming underground marketplace is another reason it’s important to protect your data and identity. Otherwise, you may find your personal information in the shopping basket of a cybercriminal during this holiday season.

Symantec recommends the following basic security guidelines:

  • Always use strong passwords, and never reuse them across other websites.
  • Update the software on all of your devices regularly to prevent attackers from exploiting known vulnerabilities.
  • When entering personal or financial information, ensure that the website is encrypted with a Secure Sockets Layer (SSL) certificate by looking for the padlock icon or “HTTPS” in the address bar. Report any suspicious behavior before submitting sensitive information online.
  • Use comprehensive security software, such as Norton Security, to protect yourself from cybercriminals.
  • Exercise caution when clicking on enticing links sent through emails or posted on social networks. If something looks too good to be true, then it likely is.

underground-price-list-662x1870.jpg

¿Cuánto cuestan los datos robados y servicios de ataque en el mercado clandestino?

Como resultado de las numerosas fugas de datos registradas en los últimos meses, el mercado clandestino de información sigue en auge y, si bien el precio de las cuentas de correo electrónico robadas ha bajado de forma importante, el valor de otros datos y

Twitter Card Style: 

summary_large_image

Durante la temporada de vacaciones, los compradores buscan en Internet las mejores ofertas para encontrar el regalo perfecto. Sin embargo, los compradores en línea no son los únicos que buscan gangas en esta época del año; los ciberdelincuentes también, aunque ellos, a expensas de los demás. Los delincuentes de Internet utilizan el mercado clandestino para comprar y vender bienes y servicios ilegales, como datos robados, cuentas comprometidas en línea, malware personalizado, servicios e infraestructura de ataque, cupones fraudulentos y mucho más.

Los precios de los bienes y servicios ilegales llegan a variar ampliamente dependiendo de lo que se ofrece pero pueden satisfacer a los ciberdelincuentes que tengan poco presupuesto, ya que, por ejemplo, se pueden obtener datos robados y cuentas comprometidas por menos de un dólar. Servicios más grandes, tales como infraestructuras de ataque, pueden costar desde unos cientos de dólares hasta miles de ellos. Sin embargo, considerando los beneficios potenciales que los atacantes podrían tener mediante el uso de esta infraestructura, el costo inicial puede valer la pena para ellos.

Tomando en cuenta todas las fugas y violaciones de datos, así como los incidentes relacionados con malware en puntos de venta (PoS) que han tenido lugar en el último año, se podría pensar que el mercado clandestino está inundado con información robada, haciendo que los precios bajen, pero, curiosamente, este no parece ser el caso para todos los bienes ilegales que se anuncian en dicho mercado.

Compras clandestinas

Mientras que algunos mercados ilegales son visibles en el Internet público, la cobertura de noticias en la prensa sobre los sitios clandestinos ha aumentado este año, lo que ha obligado a muchos estafadores a moverse a lugares más oscuros de la web. Por ejemplo, algunos foros están alojados en la red anónima Tor como servicios ocultos. Otros mercados solo son accesibles a través de una invitación y requieren un pago inicial, lo que podría implicar dinero o bienes como 100 tarjetas de crédito recién robadas. Algunos más se ejecutan en salas de chat privadas que realizan investigación de antecedentes para que los usuarios puedan unirse. En estos círculos cerrados, los precios son generalmente mucho más bajos y el monto negociado de bienes o servicios es mayor.

Datos robados a la venta

Los precios han caído para cierta información que se vende, tal como las cuentas de correo electrónico; otras se mantienen estables para obtener información más rentable como detalles de cuentas bancarias en línea. En 2007, las cuentas de correo electrónico robadas valían entre $4 y $30 dólares (en Estados Unidos). Para el año siguiente, los precios fluctuaron entre $0.10 y $ 100 dólares. Ya en 2009, las ofertas estaban entre $1 y $20 dólares; hoy en día, se pueden conseguir 1,000 cuentas de correo electrónico robadas por $0.50 a $10 dólares. El rango de precios más reciente es un buen indicador de que hay un suministro abundante de datos robados disponibles, por lo que el mercado se ha ajustado.

La información de tarjetas de crédito, por otro lado, no ha disminuido en valor en los últimos años. En 2007, esta información se anunciaba entre $0.40 y $20 dólares por pieza. El precio depende de diferentes aspectos, como la marca de la tarjeta, el país de origen, la cantidad de metadatos proporcionados, descuentos por volumen y cómo fueron robados los datos de la tarjeta.

En 2008, el precio promedio de venta de datos de tarjetas de crédito era un poco más alto – $0.06 a $30 dólares – y más tarde subió a $0.85 y $30 dólares. Actualmente, el rango de precios para la información de tarjetas de crédito robadas es de entre $0.50 y $20 dólares. En general, los precios se han reducido ligeramente en los últimos años, especialmente en los casos en que los cibercriminales comercian paquetes de datos a granel.

Por supuesto, no sabemos si estas ventas realmente suceden o cuántos compradores pagan el extremo más alto de la escala de precios. Sin embargo, la calidad de los bienes robados es cuestionable, ya que algunos anunciantes tratan de vender datos antiguos o revender los mismos datos varias veces. Esto también puede explicar por qué se ha producido un auge en la oferta de servicios adicionales que verifican que las cuentas del vendedor están todavía activas o que la tarjeta de crédito no haya sido bloqueada. La mayoría de los mercados clandestinos incluso ofrecen una garantía de vigencia de los datos y reemplazo de tarjetas de crédito bloqueadas dentro de los primeros 15 minutos después de la compra. Como era de esperarse, en donde existe una demanda de algo, habrá alguien que lo venda.

Renta de servicios de ataque

El crimeware-como-servicio también se ha vuelto popular en los mercados clandestinos. Los atacantes pueden alquilar fácilmente toda la infraestructura necesaria para armar un botnet o cualquier otro tipo de ataque o estafa en línea. Esto hace que la delincuencia informática sea de fácil acceso para los cibercriminales que no tienen la capacidad técnica para generar una campaña de ataque por su propia cuenta.

Por ejemplo, un manual descargable drive-by, que incluye actualizaciones y soporte 24/7, se puede alquilar por entre $100 y $700 dólares por semana. El malware para banca en línea, SpyEye (detectado como Trojan.Spyeye) se ofrece a partir de $150 y hasta $1,250 dólares en un contrato de arrendamiento de seis meses y ataques de negación de servicio (DDoS) se pueden pedir a partir de $10 a $1,000 dólares por día. Esto demuestra que cualquier producto o servicio directamente vinculado a un beneficio monetario para el comprador, sigue siendo un objeto de deseo con un precio sólido en el mercado.

Obteniendo dinero con cupones y boletos fraudulentos

Los criminales cibernéticos están siempre creando nuevas estrategias para cobrar las ganancias de sus ataques. Cupones y tarjetas de regalo en línea son las más comunes para este propósito, ya que pueden cambiarse o venderse fácilmente en Internet. Los atacantes pagan por ellos con tarjetas de crédito robadas o las generan desde cuentas de tiendas secuestradas en línea. Después, ofrecen los cupones y/o las tarjetas de regalo en Internet, al 50% o 65% del valor nominal. Los cibercriminales también venden boletos de hotel, tren o avión a 10% del precio original. Por supuesto, esto es muy riesgoso para las personas que compran estos boletos. Hace algunos días, 118 personas fueron detenidas en todo el mundo bajo la sospecha de uso de boletos falsos y/o por obtener datos de tarjetas robadas para comprar boletos de avión. La industria aérea sospecha que, al año, los boletos fraudulentos están causando cerca de mil millones de dólares en daños y perjuicios para las aerolíneas.

La popularidad de métodos más antiguos, tales como agentes de re-envío de paquetes ha disminuido. Este método consiste en la compra de productos caros con tarjetas de crédito robadas, que los delincuentes envían a un voluntario no involucrado, quien manda de vuelta las mercancías al apartado postal anónimo del atacante. Sin embargo, esto se ha vuelto algo complicado de realizar, ya que muchas tiendas sólo envían al domicilio registrado o asociado con la tarjeta de crédito, lo que ha generado que algunos atacantes prefieran pasar por los artículos en una tienda física cercana, en lugar de enviarlos a otra dirección.

Mercado clandestino en crecimiento

Los ejemplos y datos de los que hemos hablado, no son los únicos bienes y servicios que se ofrecen en el mercado clandestino, también se han identificado:

  • Pasaportes reales escaneados que pueden ser utilizados con fines de robo de identidad ($1 a $2 dólares)
  • Cuentas de juegos en Internet que pueden llevar a obtener artículos virtuales valiosos ($12 a $3,500 dólares)
  • Malware personalizado para robar bitcoins, reemplazando carteras en la memoria
  • 1,000 seguidores en las redes sociales ($2 a $12 dólares)
  • Cuentas en la nube robadas para hospedar un servidor de comando y control (C&C) ($7 a $8 dólares)
  • Enviar spam a 1 millón de direcciones de correo electrónico verificadas ($70 a $150 dólares)
  • Registrar y activar la tarjeta SIM de un teléfono móvil ruso ($100 dólares)

¿Cómo protegerse?

El auge del mercado clandestino es una razón más que pone en evidencia la importancia de proteger nuestros datos y nuestra identidad. De lo contrario, posiblemente nuestra información personal quede a disposición de un criminal cibernético durante esta temporada de vacaciones o en cualquier época del año.

Por eso, Symantec recomienda los siguientes lineamientos básicos de seguridad:

  • Utilizar siempre contraseñas seguras y únicas, nunca reutilizarlas en otros sitios web
  • Actualizar el software en todos nuestros dispositivos con regularidad para evitar que los atacantes exploten vulnerabilidades conocidas
  • Al teclear o dar información personal o financiera, hay que asegurarse de que el sitio web está encriptado con un SSL (Secure Sockets Layer), verificando el ícono del candado o “https” en la barra de direcciones. Se recomienda reportar cualquier comportamiento sospechoso antes de enviar información confidencial en línea.
  • Usar software de protección integral, más allá de un antivirus, como por ejemplo Norton Security, para reducir los riesgos de un ataque de la ciberdelincuencia.
  • Tener cuidado al hacer clic en enlaces o ligas enviadas a través de correos electrónicos o publicadas en redes sociales. Si algo parece demasiado bueno para ser verdad, entonces probablemente no lo sea.

Infograph DatosMercadoClandestino LR.jpg

?? ?? ????? ???? ???? ?? ???, ?? ??, ?? ???

      No Comments on ?? ?? ????? ???? ???? ?? ???, ?? ??, ?? ???

최근 대형 데이터 유출 사고에도 불구하고 지하 경제 시장은 여전히 호황을 누리고 있습니다. 훔쳐낸 이메일 계정은 값이 대폭 하락했지만, 다른 불법 상품 및 서비스는 여전히 안정적인 가격으로 거래되고 있습니다.

Read More

Mercado negro oculto: Cresce por meio de dados roubados, malware e serviços de ataque

O mercado negro continua a properar após as grandes violações de dados. O preço de contas de e-mail roubadas caiu significativamente, mas o valor de outros bens e serviços ilegais se manteve estável.

Read More

Sony PlayStation Network down due to hacker attack

Poor Sony. They are getting it from all directions these days.  On Sunday, the PlayStation Network, the online store for games, movies, and TV shows, suffered a hacker attack and was knocked offline. Visitors to the store got a message that said, ‘Page Not Found! It’s not you. It’s the Internet’s fault.’ I just visited […]

??????????????????? Snifula ???????????????

      No Comments on ??????????????????? Snifula ???????????????

Snifula の亜種は、セキュリティ製品 PhishWall のインストールを推奨する画像が銀行の Web サイト上に表示されないよう妨害します。

GameOver Zeus May not be as Over as You Think

The FBI, along with the Department of Justice, announced a multinational effort on their website that has disrupted a botnet called GameOver Zeus. GameOver Zeus has infected millions of Internet users around the world and has stolen millions of dollars.   The UK’s National Crime Agency (NCA) has worked closely with the FBI to crack […]

iBanking: Exploiting the Full Potential of Android Malware

3509155_-_mobile_device_iBanking.png

Powerful Russian cybercrime gangs have begun to use premium Android malware to broaden their attacks on financial institutions. The tool, known as iBanking, is one of the most expensive pieces of malware Symantec has seen on the underground market and its creator has a polished, Software-as-a-Service business model. 

Operating under the handle GFF, its owner sells subscriptions to the software, complete with updates and technical support for up to US$5,000. For attackers unable to raise the subscription fee, GFF is also prepared to strike a deal, offering leases in exchange for a share of the profits. 

iBanking often masquerades as legitimate social networking, banking or security applications and is mainly being used to defeat out-of-band security measures employed by banks, intercepting one-time passwords sent through SMS. It can also be used to construct mobile botnets and conduct covert surveillance on victims. iBanking has a number of advanced features, such as allowing attackers to toggle between HTTP and SMS control, depending on the availability of an Internet connection. 

Its high price tag meant that use was initially confined mainly to well-resourced cybercrime gangs but, with the recent leak of its source code, Symantec has seen a significant increase in activity around iBanking and attacks are likely to grow further in the near future.

How it works
Attackers use social engineering tactics to lure their victims into downloading and installing iBanking on their Android devices. The victim is usually already infected with a financial Trojan on their PC, which will generate a pop up message when they visit a banking or social networking website, asking them to install a mobile app as an additional security measure. 

iBanking_infection_diagram.png
Figure 1. How an iBanking victim is infected

The user is prompted for their phone number and the device operating system and will then be sent a download link for the fake software by SMS. If the user fails to receive the message for any reason, the attackers also provide a direct link and QR code as alternatives for installing the software. In some cases, the malware is hosted on the attackers’ servers. In other cases, it is hosted on reputable third-party marketplaces. 

iBanking can be configured to look like official software from a range of different banks and social networks. Once it is installed on the phone, the attacker has almost complete access to the handset and can intercept voice and SMS communications. 

History
iBanking has evolved from a simple SMS stealer into a powerful Android Trojan, capable of stealing a wide range of information from an infected handset, intercepting voice and text communications, and even recording audio through the phone’s microphone.

Early, pre-sale versions were seen in August 2013. They had limited functionality and could simply redirect calls and steal SMS messages. iBanking’s owner, who operates under the handle GFF, has continually refined the malware. By September 2013, it had gone on sale on a major Eastern European underground forum and was already replete with a broad range of functionality. 

iBanking can be controlled through both SMS and HTTP. This effectively provides online and offline options for command and control. By default, the malware checks for a valid Internet connection. If one is found, it can be controlled over the Web through HTTP. If no Internet connection is present, it switches to SMS.

iBanking’s main features now include:

  • Stealing phone information –phone number, ICCID, IMEI, IMSI, model, operating system
  • Intercepting incoming/outgoing SMS messages and uploading them to the control server 
  • Intercepting incoming/outgoing calls and uploading them to the control server in real time
  • Forwarding/redirecting calls to an attacker-controlled number 
  • Uploading contacts information to the control server
  • Recording audio on the microphone and uploading it to the control server 
  • Sending SMS messages
  • Getting the geolocation of the device 
  • Access to the file system 
  • Access to the program listing 
  • Preventing the removal of the application if administrator rights are enabled 
  • Wiping/restoring phone to the factory settings if administrator rights are enabled 
  • Obfuscated application code  

While iBanking was initially only available from GFF at a premium price of US$5,000, the source code for the malware was leaked in February. Not surprisingly, this resulted in an immediate increase in bot activity relating to iBanking. Symantec predicts that this upsurge in activity will continue as news of the leaked source code spreads through the underground. 

However, we believe that the more professional cybercrime groups will continue to pay for the product, allowing them to avail of updates, technical support and new features. The leaked version of iBanking is unsupported and contains an unpatched vulnerability.

GFF continues to develop iBanking and add new features. They have also claimed that they are developing a version for BlackBerry, although this has yet to go on sale. 

How one hacker’s search for stolen Bitcoins led to an attack on the BBC and the leak of iBanking’s source code
The source code for iBanking was leaked following a bizarre series of events in which a hacker went on an attacking spree as part of a quest to retrieve 65,000 stolen Bitcoins. 

3509155_-_ReVOLVeR_Twitter_1.png
Figure 2. ReVOLVeR uses Twitter to brag about attacking the BBC

It began in December 2013 when hacker ReVOLVeR began investigating the theft of 65,000 Bitcoins from a friend. ReVOLVeR traced the theft to the friend’s mobile phone and found an iBanking infection which they believed had leaked the username and password for their Bitcoin wallet. At the time, one Bitcoin was worth approximately US$1,000, which means that ReVOLVeR’s friend had lost over US$70 million. 

ReVOLVeR discovered that the infected phone was communicating with a C&C server, myredskins.net, which they went on to compromise. On this server, they discovered leaked FTP credentials for the BBC’s website. The credentials may have been stolen from an SMS sent to a mobile phone owned by a BBC staff member infected with iBanking. Alternatively, they may have been taken from a third party who had been given access to the server. 

ReVOLVeR then used these credentials to log into the BBC server, root the account and begin cracking additional credentials. He posted about his progress on Twitter, updating his followers with screenshots and dumps on SendSpace. 

Once finished with the BBC, ReVOLVeR then turned his attention to iBanking and attempted to sell the malware as his own on an underground forum. He did little to cover up the origin of the malware, simply reusing the post GFF had originally used to advertise iBanking on a different forum. Not surprisingly, ReVOLVeR was promptly banned from the forum. 

Not long after this, in February, another hacker who uses the handle Rome0 posted the source code to iBanking on a carding forum along with a simple script which could re-configure the iBanking application. Instead of charging for the malware, this version was made available for free. It is unclear whether Rome0 acquired the source code from ReVOLVeR or simply read about his attack on the C&C server and imitated it, but the two incidents appear to be linked. 

The release of the source code coincided with a significant uptick in iBanking activity. Despite the availability of a free version, our research suggests that most of the large cybercrime actors are continuing to opt for the paid-for version. They appear to be willing to pay a premium for the updates and support provided by GFF.

The gangs using iBanking
One of the most active iBanking users is the Neverquest crew, a prolific cybercrime group that has infected thousands of victims with a customized version of Trojan.Snifula. This financial Trojan can perform Man-in-the-Middle (MITM) attacks against a range of international banks. The Neverquest crew utilizes iBanking to augment its Snifula attacks, capturing one-time passwords sent to mobile devices for out-of-band authentication and transaction verification. Control numbers (the mobile numbers that the bots can receive instructions from) indicate that the Neverquest crew is likely operating out of Eastern Europe. 

Another threat actor utilizing iBanking is Zerafik, who also appears to operate from Eastern Europe. Zerafik operated a command-and-control (C&C) server located in the Netherlands which was subsequently hacked, with details posted publicly on ProtectYourNet. The leak revealed that iBanking installations controlled by this C&C server were configured to target customers of Dutch bank ING, with the app disguised to look like an official app from the company. The iBanking campaigns uncovered by this breach involved multiple segregated botnets that could be controlled through a single panel, allowing for the attacker to control multiple campaigns from a single user interface. 

One of the first users of iBanking was an actor known as Ctouma, who has a history of involvement with scam websites and trading in stolen credit card data. Their email address (Ctouma2@googlemail.com) had been used to set up a service which sells stolen credit card information. 

Ctouma employed one of the earliest versions of the malware, which wasn’t even for sale at the time. It was disguised as a mobile application for a Thai bank. While Thailand itself is not typically associated with financial fraud attacks, it is possible that these attacks may have served as a test bed for early versions of the malware, in order to test its effectiveness. 

Protection
Symantec detects this threat as Android.iBanking

Since iBanking victims are usually tricked into installing the app by a desktop financial Trojan, keeping your desktop antivirus software up to date will help avoid infection. 

You should be wary of any SMS messages which contain links to download APKs (Android application package files), especially from non-reputable sources. IT administrators should consider blocking all messages which contain a link to install an APK. 

Some iBanking APKs have been seeded onto trusted marketplaces and users should be aware of this as a potential avenue of infection

Users should be aware of sharing sensitive data through SMS, or at least be aware that malicious programs are sniffing this data.