Патриотичный троянец продвигает российские технологии

«События последних нескольких недель, в течение которых компании Visa и MasterCard приостановили процессинг платежей по пластиковым картам для ряда российских банков, породили множество дискуссий о целесообразности развития национальной платежной системы Про100, не зависящей от каких-либо зарубежных организаций. По всей видимости, определенный интерес к этой ситуации проявили и злоумышленники, специализирующиеся на создании вредоносных программ для банкоматов и платежных терминалов. Так, троянец Trojan.ProSto.1 ориентирован в первую очередь на зарубежных держателей банковских карт, пользующихся банкоматами и платежными терминалами на территории России.

Большинство современных банковских карт помимо магнитной полосы имеет встроенный чип с перезаписываемой памятью, позволяющей хранить определенный объем информации о типе карты, реквизитах и валюте счета клиента. Так, в память универсальных электронных карт (УЭК), используемых в российской платежной системе Про100, можно записывать дополнительные данные — в том числе банковское приложение для осуществления дистанционных платежных операций, идентификационные данные держателя карты (включающие цифровую подпись) и электронный кошелек, предназначенный для оплаты проезда в общественном транспорте.

Обнаруженный специалистами компании «Доктор Веб» троянец Trojan.ProSto.1 способен инфицировать банкоматы нескольких производителей, работающие под управлением 32-разрядных операционных систем Microsoft Windows XP, Windows Embdedded и WEPOS (Windows Embedded POSReady). При этом сам троянец не обладает какими-либо модулями для обеспечения саморепликации, поэтому механизм его распространения до настоящего момента остается неизученным. Запустившись на инфицированном устройстве, вредоносная программа проверяет систему на наличие ранее осуществленного заражения во избежание повторной установки. Затем Trojan.ProSto.1 создает собственную копию в папке инсталляции ОС под именем taskmgr.exe и регистрирует ее в качестве системной службы, после чего операционная система принудительно перезагружается. Во временную папку сохраняется файл динамической библиотеки, в которой реализована часть функционала троянца. После повторной загрузки Windows в системе оказываются запущенными два процесса taskmgr.exe, один из которых является легальным. При попытке выгрузить вредоносный процесс троянец выводит на экран диалоговое окно с сообщением об ошибке:



В случае успешной установки Trojan.ProSto.1 с заданной периодичностью опрашивает состояние банкомата. При обнаружении в считывающем устройстве банковской карты с интегрированным чипом троянец осуществляет динамическую проверку значения IIN (Issuer identification number) — номера, в котором закодировано наименование платежной системы и банка-эмитента карты. Если процессинг карты осуществляется международными системами Visa или MasterCard и карта эмитирована банком, расположенным за пределами Российской Федерации, Trojan.ProSto.1 генерирует команду на удаление содержимого чипа, после чего извлекает из динамической библиотеки хранящийся в ней бинарный образ, расшифровывает его и записывает в память карты. При этом предпочтение отдается держателям карт класса Gold и Platinum. В образе содержится банковское приложение российской национальной платежной системы Про100, а также ряд других данных. Таким образом, обладатели банковских карт международного стандарта неожиданно для себя становятся пользователями российской национальной платежной системы со всеми вытекающими последствиями — включая возможность оплаты проезда в общественном транспорте, парковки в Москве, а также дистанционного перечисления средств за коммунальные услуги, штрафов ГИБДД и выплат налогов в российский бюджет.

Специалисты по информационной безопасности склоняются к мнению, что к распространению угрозы могут быть причастны активисты подпольной хакерской организации «Киберпатриоты», ратующие за развитие и повсеместное внедрение информационных технологий российского производства. С 1 апреля 2014 года Trojan.ProSto.1 успешно детектируется и удаляется Антивирусом для встроенных систем Dr.Web ATM Shield.»