Контакты
Подписка 2024
ITSEC 2024
Персональные данные в 2025 году: новые требования и инструменты. 16 октября, Москва, Форум ITSEC 2024
Регистрируйтесь и приходите!

Данные банков Латинской Америки под угрозой от расширения ParaSiteSnatcher

27/11/23

 

hack97-Nov-27-2023-01-09-35-9222-PM

Компания Trend Micro обнаружила вредоносное расширение для Google Chrome под названием ParaSiteSnatcher, которое нацелено на пользователей в Латинской Америке, в частности в Бразилии. Расширение позволяет злоумышленникам отслеживать, манипулировать и похищать чувствительную информацию из различных источников, включая финансовые данные и данные банковских счетов. Это передаёт Securitylab.

Отмечается, что помимо Google Chrome, расширение может работать на других Chromium-браузерах, включая новые версии Microsoft Edge, Brave и Opera. ParaSiteSnatcher также потенциально может быть совместимо с Firefox и Safari, но только при внесении изменений в исходный код расширения, чтобы адаптировать его для работы в этих браузерах.

Согласно отчёту Trend Micro, ParaSiteSnatcher использует API браузера Chrome для перехвата и эксфильтрации всех POST-запросов, содержащих конфиденциальную информацию, до инициации TCP-соединения. Особенно под угрозой находятся данные, связанные с крупнейшими бразильскими банками Banco do Brasil и Caixa Econômica Federal, а также операции в местной системе мгновенных платежей PIX и платежи через метод Boleto Bancario. Также обнаружено похищение бразильских ИНН и cookie-файлов, в том числе тех, которые используются для учетных записей Microsoft​​.

ParaSiteSnatcher распространяется через загрузчик на VBScript, размещенный на Dropbox и Google Cloud. Выявлено 3 варианта загрузчика, отличающихся уровнем обфускации и сложности:

  • Вариант 1. Простой, без обфускации полезной нагрузки, что упрощает анализ;
  • Вариант 2. Использует технику Reverse String для обфускации критических строк;
  • Вариант 3. Включает дополнительные техники обфускации, защиту от отладки и вмешательства, а также использование случайно сгенерированных имен для переменных и функций​​.

Для установки связи с сервером управления и контроля (Command and Control, C2), вредоносное ПО отправляет GET-запрос на адрес hxxps[:]//storage.googleapis[.]com/98jk3m5azb/-. Ответ сервера представляет собой обфусцированный список URL, который затем деобфусцируется с помощью серии манипуляций со строками, возвращая строку в исходный порядок и заменяя определенные символы их правильными аналогами для восстановления URL.

Использование вредоносных расширений Google Chrome путем использования API Chrome способами, специально предназначенными для перехвата, извлечения и потенциального изменения конфиденциальных данных, подчеркивает важность бдительности при установке расширений и при использовании веб-браузеров.

Темы:Банки и финансыПреступленияTrend MicroЛатинская Америка
Безопасная разработка
Москва | 15 октября 2024 | Доверенные решения для защиты российских ОС на базе Linux и миграции
Регистрируйтесь и приходите на Форум ITSEC 2024
Статьи по темеСтатьи по теме

  • Как соответствовать требованиям ЦБ РФ при защите мобильных приложений
    Юрий Шабалин, Ведущий архитектор Swordfish Security
    Профиль защиты прикладного программного обеспечения – это методический документ Банка России, согласно которому приложения должны проходить оценку на соответствие госстандарту в специальных лабораториях.
  • Ключевые индикаторы риска: как ими правильно пользоваться
    Кирилл Чекудаев, ведущий консультант по информационной безопасности RTM Group
    Ключевые индикаторы риска (КИР) необходимо корректно определить, и на этом этапе, как показывает практика, у многих организаций финансового сектора возникают проблемы.
  • Кто зарабатывает на вэйлинге в России?
    Алексей Гусев, старший советник председателя правления банка “ЦентроКредит”, преподаватель РТУ РУДН и НИЯУ МИФИ
    Вэйлинг – специализированный и таргетированный вариант привычного фишинга, нацеленный на VIP-клиентов, относится к не столь распространенному и потому редко упоминаемому виду. Однако в последнее время хакеры начинают обращать на него внимание, а его методики используются в качестве базы для более сложного таргетированного фишинга.
  • Топ-8 ошибок соответствия ГОСТ 57580.1
    Константин Чмиль, консультант по ИБ RTM Group
    Регулятор вводит все новые положения, которые собраны в ГОСТ 57580.1 и ужесточаются год от года. Если постоянно проходить проверку на соответствие требованиям этого документа, то вероятность возникновения инцидентов можно свести к минимуму.
  • КиберНЕустойчивость и как с ней бороться
    Александр Пуха, начальник отдела аудита и консалтинга АМТ-ГРУП
    Определение показателей операционной надежности для технологических процессов
  • Кибербезопасность ЦВЦБ – цифровой валюты центрального банка
    Александр Подобных, Независимый эксперт по ИБ в SICP.ueba.su
    Если все планы реализуются, то с 1 апреля 2023 г. цифровой рубль должен появиться в экономическом пространстве

Участвуйте в проектах

редакции журнала
"Информационная безопасность" 

КАЛЕНДАРЬ МЕРОПРИЯТИЙ 2024
ПОСЕТИТЬ МЕРОПРИЯТИЯ
ВЫСТУПИТЬ НА КОНФЕРЕНЦИЯХ
СТАТЬ АВТОРОМ
SOAR, IRP, SOC
Защита АСУ ТП и КИИ: готовимся к 2025 году
Обсуждаем на ITSEC 2024!

Еще темы...

More...