Tiny Banker

Tiny Banker, Tinba — троянская программа, известная с 2012 года. Эта вредоносная программа нацелена на сайты финансовых учреждений США, предназначена для кражи конфиденциальных данных пользователей, таких как данные для входа в учетную запись и банковские коды. Представляет собой модифицированный троян ZeuS^[1][2].

На момент появления это была новая форма банковского трояна, намного меньшая по размеру и более мощная, чем известные ранее. Tinba действует путем организации атак типов «злоумышленник в браузере (англ. Man-in-the-browser)» и «перехват сети». С момента его обнаружения было установлено, что этот троян заразил более двух десятков крупных банковских учреждений в США, включая TD Bank, Chase, HSBC, Wells Fargo, PNC и Bank of America^[3][2].

Tiny Banker был впервые обнаружен в середине 2012 года, когда он заразил тысячи компьютеров в Турции^[4]. После его обнаружения исходный код этого вредоносного ПО попал в Сеть и был подвергнут изменениям, что усложнило процесс его обнаружения^[1].

Tiny Banker представляет собой сильно модифицированную версию трояна Zeus, у которого был очень похожий метод атаки. Однако намного меньший размер Tinba затрудняет его обнаружение. При размере всего 20 КБ Tinba намного меньше любого другого известного компьютерного трояна^[1].

Tinba использует анализ пакетов (иначе — анализ сетевого трафика), чтобы определить, когда пользователь переходит на веб-сайт банка. Затем вредоносная программа может запустить одно из двух различных действий, в зависимости от её варианта. В своей самой популярной форме Tinba будет перехватывать введённые пароли, проводя атаку «человек посередине». Троянец использует захват форм для захвата нажатий клавиш перед их шифрованием по HTTPS. Затем Тинба отправляет нажатия клавиш на сервер управления ботнетом. В результате крадётся информация пользователя.

Второй метод, использованный в Tinba, — разрешить пользователю войти на веб-страницу. Как только пользователь войдет в систему, вредоносная программа будет использовать информацию о странице для извлечения логотипа компании и форматирования сайта. Затем он создаст всплывающую страницу, информирующую пользователя об обновлениях системы и запрашивающую дополнительную информацию, такую как номера социального страхования^[4]. Большинство банковских учреждений информируют своих пользователей о том, что они никогда не будут запрашивать эту информацию как способ защиты от подобных атак. Tinba был изменен с учетом этой защиты и начал запрашивать у пользователей тип информации, задаваемой в качестве вопросов безопасности, например, девичью фамилию матери пользователя, чтобы злоумышленники позже смогли использовать эту информацию для сброса пароля^[5].

Tinba также внедряется в другие системные процессы, пытаясь превратить хост-машину в зомби (участника ботнета). Чтобы поддерживать соединение в ботнете, Tinba закодирован с четырьмя доменами, поэтому, если один из них выйдет из строя или потеряет связь, троян с помощью оставшихся может немедленно найти новый(е)^[6].