Win32 / कॉर्को बैंकिंग ट्रोजन रूसी उपयोगकर्ताओं पर हमला करता है

हमारी एंटी-वायरस प्रयोगशाला ने रूसी मूल के एक जटिल बैंकिंग मैलवेयर Win32 / कॉर्को की उच्च गतिविधि का पता लगाया, जिसकी मदद से हजारों कंप्यूटर संक्रमित हुए। कॉर्को का पहला संशोधन 2011 में वापस दिखाई दिया, फिर इसे एंटी-वायरस डेटाबेस में जोड़ा गया। कार्बरप के विपरीत, जिसे दुनिया भर में प्रसिद्धि मिली, कॉर्को को शोधकर्ताओं या जनता से समान ध्यान नहीं मिला और वे हर समय काफी अदृश्य थे।



अन्य बैंकिंग मैलवेयर, जैसे हेस्परबोट, जिसे ईएसईटी शोधकर्ताओं ने पिछले सितंबर में खोजा था, विन 32 / कॉर्को के पास एक मॉड्यूलर वास्तुकला है। इसका मतलब है कि हमलावर आवश्यक प्लग-इन के साथ इस मैलवेयर की क्षमताओं का विस्तार कर सकते हैं। इस तरह के मॉड्यूल या प्लग-इन हमलावरों को निम्नलिखित विशेषताओं के माध्यम से गोपनीय उपयोगकर्ता डेटा तक पहुंच प्रदान करते हैं: कीलॉगर, डेस्कटॉप के स्क्रीनशॉट, वेब इंजेक्शन और वेब फॉर्म डेटा की चोरी।

उपरोक्त सुविधाओं के अलावा, Win32 / Corkow एक संक्रमित कंप्यूटर (पिछले दरवाजे) से रिमोट एक्सेस के साथ हमलावर भी प्रदान करता है और एक अन्य दुर्भावनापूर्ण प्रोग्राम की प्रणाली में एक इंस्टॉलर (डाउनलोडर) है जो पोनी पासवर्ड ( Win32 / PSW.Fareit के रूप में ESET एंटीक उत्पादों द्वारा पाया गया) चोरी करने के लिए है। इस प्रकार, इस दुर्भावनापूर्ण कार्यक्रम का उपयोग करते हुए, हमलावरों को एक समझौता किए गए उपयोगकर्ता के डेटा तक पूरी पहुंच है।



जैसा कि ऊपर चित्र में दिखाया गया है, रूस में संक्रमण की सबसे बड़ी संख्या 73% है, जबकि यूक्रेन दूसरे स्थान पर 13% है। यह आश्चर्य की बात नहीं है कि इन देशों को दूसरों की तुलना में अधिक नुकसान उठाना पड़ा, क्योंकि कॉर्को स्वयं रूसी मूल के हैं और इसमें iBank2 ऑनलाइन बैंकिंग प्रणाली से समझौता करने के उद्देश्य से एक दुर्भावनापूर्ण मॉड्यूल है, जिसका उपयोग रूसी बैंकों और उनके ग्राहकों द्वारा बैंकिंग कार्यों को जल्दी से करने के लिए किया जाता है। इसके अलावा, कॉर्को में Sberbank एप्लिकेशन पर हमला करने के लिए एक मॉड्यूल है, जिसका उपयोग ऑनलाइन बैंकिंग के लिए किया जाता है।



ऊपर दिया गया स्क्रीनशॉट जावा में दुर्भावनापूर्ण कोड का हिस्सा दिखाता है, जिसमें रूसी और यूक्रेनी भाषाओं के तार शामिल हैं। उपयोगकर्ता के खाते की शेष राशि के बारे में जानकारी प्रदर्शित करते समय इन लाइनों का उपयोग iBank2 में किया जाता है।

इस दुर्भावनापूर्ण कार्यक्रम का उपयोग करते हुए, हमलावर एक समझौता किए गए उपयोगकर्ता के कंप्यूटर पर निम्नलिखित जानकारी एकत्र करते हैं: एक वेब ब्राउज़र पर जाने का इतिहास, स्थापित एप्लिकेशन की सूची, उनके अंतिम उपयोग का समय और चलने वाली प्रक्रियाओं की सूची। कॉर्को जिन अनुप्रयोगों के लिए शिकार कर रहा है, उनकी सूची के आधार पर, यह हमारे लिए स्पष्ट है कि हमलावर ट्रेडिंग प्लेटफॉर्म के विभिन्न अनुप्रयोगों में रुचि रखते हैं, साथ ही ऑनलाइन बैंकिंग के साथ काम करने के लिए भी आवेदन करते हैं।

कॉर्को की एक और दिलचस्प विशेषता वेबसाइटों और संबंधित सॉफ़्टवेयर के लिए उसका अभिविन्यास है जो बिटकॉइन की आभासी मुद्रा से संबंधित है, साथ ही साथ कंप्यूटर जो एंड्रॉइड अनुप्रयोगों के डेवलपर्स के स्वामित्व में हैं जो Google Play पर अपने अनुप्रयोगों की मेजबानी करते हैं। इसके अलावा, हमलावर सभी अनुमानित परिणामों के साथ समझौता किए गए उपयोगकर्ताओं के बिटकॉइन खातों के अनधिकृत उपयोग को अंजाम दे सकते हैं।

Corkow C: ड्राइव वॉल्यूम के सीरियल नंबर पहचानकर्ता का उपयोग करके अपने पेलोड को एन्क्रिप्ट करता है, इस प्रकार इसे किसी अन्य कंप्यूटर पर कहीं विश्लेषण करने के लिए व्यर्थ बनाता है।

हमारे टेलीमेट्री सिस्टम ने अक्टूबर 2011 में इसकी पहली पहचान की शुरुआत से इस दुर्भावनापूर्ण कार्यक्रम की गतिविधि में तेज गिरावट और उतार-चढ़ाव दर्ज किया। 2012 की दूसरी छमाही में इसकी गतिविधि में गिरावट देखी गई, जिसके बाद गतिविधि फिर से बढ़ गई।



शायद कॉर्कोव को वितरित करने वाले समूह पर मुकदमा चलाया गया था, जिसे 2012 की दूसरी छमाही में मैलवेयर गतिविधि में लंबे समय तक गिरावट से निकाला जा सकता है।

अगले भाग में, हम इस मैलवेयर का विस्तृत अध्ययन प्रकाशित करेंगे।