Proteggi ciò che crei

Le altre nostre risorse

Chiudi

La mia libreria
La mia libreria

+ Aggiungi alla libreria

Supporto
Supporto 24/7 | Regole per contattare

Richieste

Profile

Back to news

Doctor Web ha esaminato un nuovo trojan banker

24 novembre 2017

I trojan studiati per rubare denaro dai conti bancari rappresentano una seria minaccia. Di solito, i trojan banker sono programmi malevoli multicomponente abbastanza complessi, per cui vengono al mondo raramente. Gli analisti dei virus Doctor Web hanno esaminato una nuova versione di un programma malevolo appartenente alla famiglia ampiamente conosciuta Trojan.Gozi.

Il nuovo banker, denominato Trojan.Gozi.64, si basa sul codice sorgente delle versioni precedenti del programma Trojan.Gozi che già da tempo si trova in pubblico dominio. Come gli altri rappresentanti di questa famiglia, Trojan.Gozi.64 è capace di infettare computer con le versioni di Windows a 32 e 64 bit. Il trojan ha un'architettura a moduli, ma, a differenza delle varianti precedenti, è costituito interamente da singoli plugin scaricati. Inoltre, Trojan.Gozi.64 non dispone di algoritmi per la generazione dei nomi di server di controllo — i relativi indirizzi sono trascritti nella sua configurazione, mentre una delle prime versioni di Gozi utilizzava come il dizionario un file di testo scaricato da un server di NASA.

Gli autori hanno imposto al trojan un limite grazie a cui esso è in grado di funzionare nei sistemi operativi Microsoft Windows 7 e superiori, mentre nelle versioni di Windows più antecedenti il malware non si avvia. Moduli addizionali vengono scaricati dal server di gestione tramite una specifica libreria loader e il protocollo di comunicazione utilizza crittografia. Il loader di Trojan.Gozi.64 può svolgere sulla macchina infetta le seguenti funzioni malevole:

  • controllo degli aggiornamenti del trojan;
  • download da server remoto dei plugin di browser attraverso cui vengono effettuati code injection;
  • download da server remoto della configurazione dei code injection;
  • ottenimento di task personali, in particolare, per il download di ulteriori plugin;
  • gestione remota del computer.

Per effettuare i code injection in ciascun browser Trojan.Gozi.64 utilizza un rispettivo plugin configurabile. Al momento gli analisti dei virus sanno dei plugin di Microsoft Internet Explorer, Microsoft Edge, Google Chrome e Mozilla Firefox. Dopo aver installato il relativo plugin, il trojan riceve dal server di gestione un archivio ZIP con una configurazione per l'esecuzione dei code injection. Come risultato, Trojan.Gozi.64 può integrare nelle pagine web visualizzate dall'utente contenuto arbitrario – per esempio, falsi moduli di autenticazione sui siti bancari e nei sistemi di home-banking. In quanto la manipolazione delle pagine web avviene direttamente sul computer infetto, l'URL di tale sito nella barra degli indirizzi del browser rimane corretto, il che può fuorviare l'utente e abbassare la sua vigilanza. I dati inseriti in un falso modulo vengono trasmessi ai malintenzionati per cui un account dell'utente vittima del trojan può essere compromesso.

screenshot Android.RemoteCode.106.origin #drweb

Oltre a ciò, sul computer infetto possono essere scaricati e installati ulteriori moduli – in particolare, un plugin che registra le battiture sulla tastiera (keylogger), un modulo per l'accesso in remoto alla macchina infetta (VNC), un componente di server proxy SOCKS, un plugin per il furto di credenziali dai mail client e altri ancora.

Il banker Trojan.Gozi.64 non rappresenta alcun pericolo per gli utenti dei prodotti antivirus Dr.Web in quanto le firme antivirali del programma malevolo e dei suoi moduli sono aggiunti ai nostri database dei virus.

Informazioni sul trojan

#banker #trojan_banker #home-banking #trojan

La tua opinione conta per noi

Per ogni commento viene accreditato 1 punto Dr.Web. Per fare una domanda relativa alla notizia all'amministrazione del sito, inserire @admin all'inizio del commento. Se una domanda si fa all'autore di uno dei commenti — inserire @ prima del suo nome.


Altri commenti

Sviluppatore russo degli antivirus Dr.Web
Esperienza di sviluppo dal 1992
Dr.Web viene utilizzato in 200+ paesi del mondo
L'antivirus viene fornito come un servizio dal 2007
Supporto ventiquattro ore su ventiquattro

Dr.Web © Doctor Web
2003 — 2020

Doctor Web — sviluppatore russo dei software di protezione antivirus delle informazioni Dr.Web. I prodotti Dr.Web vengono sviluppati fin dal 1992.

125040, Russia, Mosca, la 3° via Yamskogo polya, 2, 12A