Criminelen halen pinautomaten leeg met nieuwe malware
Cybercriminelen blijken met behulp van malware pinautomaten in zijn geheel te kunnen leegroven. De malware maakt het mogelijk door een pincode in te voeren de automaat het aanwezige geld uit te laten geven.
Het gaat om de GreenDispenser malware, die ontdekt is door het beveiligingsbedrijf Proofpoint. De malware kan vermoedelijk alleen worden geïnstalleerd door aanvallers die fysieke toegang weten te verkrijgen tot pinautomaten. Proofpoint vermoedt dan ook dat bankmedewerkers die verantwoordelijk zijn voor het beheer van de automaten betrokken zijn bij aanvallen met de malware.
Tijdelijk buiten gebruik
Indien een pinautomaat met de GreenDispenser malware wordt besmet kan deze een ‘tijdelijk buiten gebruik’ melding laten zien, waardoor ‘normale’ gebruikers de machine niet kunnen gebruiken. Zodra de juiste pincode wordt ingevoerd werkt het apparaat echter wel degelijk en kunnen aanvallers geld uit de automaat halen.
De malware zou veel lijken op malware voor pinautomaten die eerder al werd ontdekt. In functionaliteiten zou de malware veel overeenkomsten vertonen met de malware Padpin. GreenDispenser bevat echter een aantal unieke functionaliteiten. Zo bleek de malware die door Proofpoint was onderzocht zichzelf automatisch uit te schakelen in september 2015. Waarschijnlijk is deze feature ontworpen om de kans op detectie van de malware te verkleinen.
Twee-staps-authentificatie
Daarnaast wordt twee-staps-authentificatie gebruikt. Naast een hardcoded pincode moet ook een dynamische pincode worden ingevoerd. Deze dynamische pincode is uniek voor iedere installatie van de malware en zorgt dus dat alleen de aanvallers die de malware hebben geïnstalleerd deze kunnen gebruiken. Deze pincode wordt verstrekt via een QR-code die op het scherm van de pinautomaat wordt vertoond zodra deze met malware wordt geïnfecteerd. Proofpoint vermoedt dat de aanvallers een speciale mobiele app hebben ontwikkeld om de dynamische pincode uit deze QR-code te kunnen bemachtigen.
Tot slot bevat GreenDispenser ook een feature waarmee de malware zijn sporen nauwkeurig uitwist. Hiervoor wordt SDelete van Microsoft gebruikt, dat is ontwikkeld om data permanent te verwijderen. De malware wordt op dit moment in een beperkt aantal geografische gebieden ingezet, waaronder Mexico. Proofpoint waarschuwt dat het echter een kwestie van tijd is voordat de malware ook op andere locaties opduikt.
Meer over
Lees ook
Proofpoint ontdekt Microsoft Office 365-functionaliteit die bestanden op SharePoint en OneDrive versleutelt
Ransomware-aanvallen zijn van oudsher gericht op data op endpoints of netwerkschijven. Tot nu toe dachten IT- en beveiligingsteams dat de cloud beter bestand was tegen ransomware-aanvallen. Immers, de nu bekende "AutoSave"-functie, samen met versiebeheer en de welbekende prullenbak, zouden voldoende moeten zijn geweest als back-ups. Dat is mogelij1
Lookout ontdekt dat Android spyware ‘Hermit’ wordt ingezet in Kazakhstan
Securitybedrijf Lookout heeft ontdekt dat Android-surveillanceware van enterprise niveau, momenteel door de regering van Kazachstan wordt gebruikt binnen de grenzen van het land. Onderzoekers van Lookout troffen ook bewijs van de inzet van deze spyware - die door onderzoekers ‘Hermit’ is genoemd - in Italië en in het noordoosten van Syrië.
Nerbian RAT gebruikt COVID-19 als dekmantel
Sinds eind april 2022 hebben onderzoekers van Proofpoint een malwarecampagne waargenomen via e-mail, genaamd Nerbian RAT. Een klein aantal e-mails (minder dan 100 berichten) werden naar meerdere sectoren gestuurd, waarbij vooral organisaties in Italië, Spanje en het VK werden getroffen.