Skimmer de cartão de crédito foge da detecção de máquinas virtuais

Skimmer de cartão de crédito foge da detecção de máquinas virtuais para evitar que as técnicas de detecção de malware os identifiquem.

Existem muitas técnicas que os agentes de ameaças usam para desacelerar a análise ou, ainda melhor, evitar a detecção. Talvez o método mais popular seja detectar máquinas virtuais comumente usadas por pesquisadores de segurança e soluções de área restrita.

Os engenheiros reversos estão acostumados a encontrar trechos de código que verificam certas chaves de registro, procurando por valores específicos que indicam a presença de VMware ou Virtual Box, duas das peças mais populares de software de virtualização. Muitas famílias de malware incorporam esses recursos antivm, geralmente como uma primeira camada.

Para ameaças da web, é mais raro ver a detecção de máquinas virtuais por meio do navegador. Normalmente, os atores de ameaças se contentam com filtros de alvos baseados em geolocalização e strings de agente de usuário. Mas esse recurso existe em navegadores modernos e pode ser bastante eficaz.

Nesta postagem, a malwarebytes mostra como um agente de ameaça Magecart distribuindo um skimmer digital está evitando pesquisadores e possivelmente sandboxes, garantindo que os usuários estejam executando computadores genuínos e não virtuais.

Detecção de máquina virtual

A investigação começou examinando um domínio recentemente relatado que poderia estar relacionado ao Magecart, onde um JavaScript suspeito está sendo carregado junto com uma imagem de métodos de pagamento. Observe que navegar diretamente para a URL retornará uma biblioteca Angular .

Há uma função interessante dentro desse script skimmer que usa a API WebGL JavaScript para reunir informações sobre a máquina do usuário. Podemos ver que ele identifica o renderizador gráfico e retorna seu nome.

Para muitas máquinas virtuais, o driver da placa gráfica será um renderizador de software substituto do renderizador de hardware (GPU). Como alternativa, ele pode ser suportado pelo software de virtualização, mas ainda assim vazar seu nome.

Os pesquisadores notaram que o skimmer está verificando a presença das palavras swiftshader , llvmpipe e virtualbox . O Google Chrome usa o SwiftShader, enquanto o Firefox depende do llvmpipe como substituto do renderizador.

Ao realizar essa verificação no navegador, o agente da ameaça pode excluir pesquisadores e caixas de proteção e apenas permitir que vítimas reais sejam alvo do skimmer.

Exfiltração de dados

Se a máquina for aprovada na verificação, o processo de exfiltração de dados pessoais pode ocorrer normalmente. O skimmer raspa uma série de campos, incluindo o nome do cliente, endereço, e-mail e número de telefone, bem como os dados do cartão de crédito.

Ele também coleta qualquer senha (muitas lojas online permitem que os clientes registrem uma conta), o agente do usuário do navegador e um ID de usuário exclusivo. Os dados são então codificados e exfiltrados para o mesmo host por meio de uma única solicitação POST:

Evasão e defensores

Não é surpreendente ver essas técnicas de evasão sendo adotadas por criminosos; no entanto, mostra que, à medida que melhoramos a detecção e o relato de ataques, os agentes de ameaças também desenvolvem seus códigos. Esta é uma compensação natural que devemos esperar.

Além de ofuscação de código, truques anti-depurador e agora verificações antivm, os defensores terão que gastar mais tempo para identificar e se proteger contra esses ataques ou pelo menos apresentar contra-medidas eficazes.

Indicadores de compromisso (IOCs)

cdn [.] megalixe [.] org
con [.] velocidade digital [.] net
apis [.] murdoog [.] org
static[.]opendwin[.]com
css[.]tevidon[.]com
mantisadnetwork [.] org
static [.] mantisadnetwork [.] org
stage[.]sleefnote[.]com
js [.] speed-metrics [.] com
troadster[.]com
nypi [.] dc-Storm [.] org
web [.] webflows [.] net
js[.]librarysetr[.]com
librarysetr[.]com
opendwin[.]com
app[.]rolfinder[.]com
libsconnect [.] net
artesfut[.]com
js[.]artesfut[.]com
js [.] rawgit [.] net
js [.] demo-metrics [.] net
demo-metrics [.] net
dev [.] crisconnect [.] net
m[.]brands-watch[.]com
gráfico [.] nuvem-gráfico [.] líquido
thing-data [.] org
estágio [.] libsconnect [.] net
app[.]iofrontcloud[.]com
iofrontcloud[.]com
alligaturetrack[.]com
webflows [.] net
web [.] webflows [.] net
tag[.]listrakbi[.]biz
api [.] abtasty [.] net
cloud-chart [.] net
gráfico [.] nuvem-gráfico [.] líquido
cdn [.] getambassador [.] net
climpstatic[.]com
stst[.]climpstatic[.]com
marklibs[.]com
st [.] adsrvr [.] biz
cdn [.] cookieslaw [.] org
clickcease [.] biz
89.108.127[.]254
89.108.127[.]16
82.202.161[.]77
89.108.116[.]123
82.202.160[.]9
89.108.116[.]48
89.108.123[.]28
89.108.109[.]167
89.108.110[.]208
50.63.202[.]56
212.109.222[.]225
82.202.160[.]8
82.202.160[.]137
192.64.119[.]156
89.108.109[.]169
82.202.160[.]10
82.202.160[.]54
82.146.50[.]89
82.202.160[.]123
82.202.160[.]119
194.67.71[.]75
77.246.157[.]133
82.146.51[.]242
89.108.127[.]57
82.202.160[.]8
185.63.188[.]84
89.108.123[.]168
77.246.157[.]133
185.63.188[.]85
82.146.51[.]202
185.63.188[.]59
89.108.123[.]169
185.63.188[.]71
89.108.127[.]16
82.202.161[.]77

Fonte:  por Jérôme Segura

Veja também:

 

Sobre mindsecblog 2401 Artigos
Blog patrocinado por MindSec Segurança e Tecnologia da Informação Ltda.

4 Trackbacks / Pingbacks

  1. Skimmer de cartão de crédito foge da detecção de máquinas virtuai – Neotel Segurança Digital
  2. GoDaddy - vazamento afeta 1,2Milhões de dados de clientes
  3. Panasonic divulga violação de dados após hack de rede
  4. Impressora HP permite  execução de código privilegiado por invasores

Deixe sua opinião!

HTML Snippets Powered By : XYZScripts.com