phishing bankowy

Phishing bankowy to wiadomość podszywająca się pod bank w celu przejęcia danych logowania do konta.

Anatomia i wektory ataku w phishingu bankowym

Phishing bankowy opiera się na łączeniu technik manipulacji socjotechnicznej z technicznymi metodami maskowania złośliwych zasobów w infrastrukturze sieciowej. Atakujący często wykorzystują technikę typosquattingu, rejestrując domeny internetowe wizualnie zbliżone do prawdziwych adresów instytucji finansowych. Dalszym rozwinięciem tej metody są ataki z użyciem homoglifów w standardzie kodowania Punycode. Zjawisko to polega na zastąpieniu wybranych znaków z alfabetu łacińskiego ich wizualnymi odpowiednikami pochodzącymi z cyrylicy lub innych zestawów znaków Unicode. W efekcie pasek adresu przeglądarki prezentuje ciąg znaków identyczny z domeną banku, podczas gdy ruch sieciowy kierowany jest na zewnętrzny serwer. Dopełnieniem wektora ataku jest powszechne wykorzystywanie darmowych, zautomatyzowanych certyfikatów SSL/TLS, co skutkuje wyświetleniem ikony kłódki w przeglądarce, często mylnie interpretowanej przez użytkowników jako weryfikacja tożsamości podmiotu zarządzającego witryną.

Dystrybucja złośliwych linków odbywa się poprzez pocztę elektroniczną, wiadomości SMS (smishing) oraz komunikatory internetowe. Treść wiadomości projektowana jest w sposób wymuszający szybką reakcję, na przykład poprzez komunikaty o zablokowaniu rachunku, zatrzymaniu nieautoryzowanego przelewu lub wymogu natychmiastowej aktualizacji oprogramowania bankowego. W architekturze systemów desktopowych i na laptopach częstym wektorem kompromitacji są także złośliwe załączniki. Dokumenty pakietu biurowego Microsoft Office zawierające makra napisane w języku VBA, czy archiwa ZIP z plikami wykonywalnymi, pełnią funkcję dropperów, których uruchomienie inicjuje pobieranie właściwego kodu złośliwego oprogramowania. Zamiast ograniczać się do jednorazowej kradzieży loginu i hasła, cyberprzestępcy wdrażają zaawansowane narzędzia typu RAT (Remote Access Trojan) lub wyspecjalizowane trojany bankowe. W przeszłości do przechwytywania danych logowania wykorzystywano sprzętowe keyloggery wpinane fizycznie między klawiaturę a port PS/2 lub USB komputera. Obecnie jednak sprzętowe metody przechwytywania danych to rzadkość dzisiejszych zgłoszeń serwisowych, ponieważ znacznie bardziej opłacalne skalowo dla atakujących jest dystrybuowanie złośliwego oprogramowania bezpośrednio przez warstwę sieciową do systemu operacyjnego ofiary.

Analiza metod omijania zabezpieczeń dwuskładnikowych (2FA)

Wczesne implementacje phishingu bankowego ograniczały się do statycznych formularzy HTML, które po wypełnieniu przesyłały poświadczenia w postaci jawnej do bazy danych kontrolowanej przez cyberprzestępców. Globalne wdrożenie mechanizmów uwierzytelniania dwuskładnikowego (2FA), obejmującego kody jednorazowe SMS, sprzętowe klucze kryptograficzne oraz aplikacyjne powiadomienia push, wymusiło ewolucję po stronie atakujących. Obecna architektura przechwytywania sesji opiera się w dużej mierze na modelu Adversary-in-the-Middle (AitM). Atak ten wymaga uruchomienia specjalistycznego oprogramowania proxy, takiego jak Evilginx2 czy Modlishka, na serwerze pośredniczącym.

W modelu AitM fałszywy serwer pośredniczy w czasie rzeczywistym między ofiarą a oryginalnym serwerem bankowym. Gdy użytkownik wprowadza login i hasło na spreparowanej stronie, węzeł proxy natychmiast przekazuje te parametry do banku. Instytucja finansowa w odpowiedzi wysyła żądanie wprowadzenia kodu 2FA. Strona atakującego dynamicznie aktualizuje interfejs, wyświetlając użytkownikowi pole na ten kod. Nieświadomy procesu użytkownik autoryzuje logowanie na urządzeniu mobilnym lub przepisuje kod jednorazowy. Po przesłaniu zautoryzowanej odpowiedzi do serwera bankowego następuje proces weryfikacji, po którym bank generuje ciasteczko sesyjne (session cookie) uwierzytelniające konkretną stację roboczą. Proxy przechwytuje to ciasteczko, nie przekazując go do przeglądarki ofiary, co pozwala przestępcom na sklonowanie stanu aktywnej sesji i realizację transakcji finansowych bez konieczności ponownego podawania danych logowania.

Innym zaawansowanym wariantem jest wykorzystanie trojanów bankowych działających na poziomie systemu Windows, takich jak ZeuS, TrickBot czy Emotet. Oprogramowanie to uruchamia się w tle, instaluje pętle monitorujące (hooking) na funkcjach API systemowych przeglądarek i stosuje technikę web injects. Mechanizm ten wstrzykuje złośliwy kod HTML i JavaScript do pamięci operacyjnej RAM, modyfikując układ i treść autentycznej strony banku już po jej odebraniu z serwera, po zdekodowaniu warstwy TLS. Certyfikat bezpieczeństwa pozostaje poprawny, ale wstrzyknięty skrypt potrafi dynamicznie modyfikować numery rachunków docelowych i kwoty w wysyłanym formularzu przelewu, prezentując jednocześnie użytkownikowi pierwotnie zadeklarowane wartości w celu uśpienia czujności.

Identyfikacja złośliwych ładunków i ślady aktywności trojanów

Model zagrożenia różni się w zależności od sposobu interakcji użytkownika ze stroną phishingową. W przypadku samego wpisania danych na spreparowanej witrynie, bez pobierania zewnętrznych plików na dysk komputera, incydent dotyczy wyłącznie kompromitacji poświadczeń na danym koncie bankowym. Standardowa procedura polega wtedy na zmianie hasła z izolowanego urządzenia oraz nawiązaniu kontaktu z infolinią banku w celu zablokowania dostępu do kanałów bankowości elektronicznej. Jeśli natomiast kampania phishingowa wiązała się z nakłonieniem użytkownika do pobrania i manualnego uruchomienia pliku binarnego lub skryptu roboczego, system operacyjny komputera ulega infekcji.

Działanie złośliwego oprogramowania bankowego w systemie Windows generuje charakterystyczne artefakty. Trojany bankowe dokonują zmian w parametrach konfiguracyjnych interfejsów sieciowych, podmieniając adresy serwerów DNS lub edytując lokalny plik hosts (C:\Windows\System32\drivers\etc\hosts). Celem takich modyfikacji jest wymuszenie przekierowania całego ruchu sieciowego adresowanego na zaufane domeny bankowe do infrastruktury kontrolowanej przez przestępców. Typowymi symptomami infekcji są ponadto awarie procesów systemowych, niekontrolowane instalacje rozszerzeń przeglądarek posiadających uprawnienia do odczytu danych z formularzy, a także intencjonalne wyłączanie usług oprogramowania antywirusowego realizowane z uprawnieniami administratora.

Mechanizmy persystencji, gwarantujące wznowienie działania złośliwego kodu po ponownym uruchomieniu zasilania komputera, opierają się na modyfikacjach rejestru systemowego. Klucze typu Run w gałęziach HKCU\Software\Microsoft\Windows\CurrentVersion oraz HKLM\Software\Microsoft\Windows\CurrentVersion należą do standardowych lokalizacji infekcji. Bardziej zaawansowane ładunki tworzą ukryte zadania w systemowym module harmonogramu (Task Scheduler), wykorzystując do tego celu nazwy plików imitujące natywne procesy Microsoftu, co utrudnia wizualną identyfikację w Menedżerze Zadań. Nowoczesne szczepy trojanów polegają także na wykorzystaniu subskrypcji zdarzeń interfejsu WMI (Windows Management Instrumentation), co pozwala na przechowywanie skompresowanych skryptów bezpośrednio w bazie CIM, umożliwiając wykonywanie kodu w pamięci ulotnej komputera bez zapisywania pliku wykonywalnego na dysku.

Oczyszczanie nośników danych i reinstalacja systemów operacyjnych

Lokalne serwisy komputerowe nie posiadają kompetencji operacyjnych ani prawnych do przeprowadzania postępowań śledczych, odzyskiwania przetransferowanych środków z kont bankowych czy analizy powłamaniowej infrastruktury korporacyjnej. Zadania związane z rozpracowywaniem sieci przestępczych czy monitorowaniem ruchu serwerów brzegowych zarezerwowane są dla dedykowanych komórek do walki z cyberprzestępczością oraz korporacyjnych audytorów. Rola sprzętowego serwisu laptopów i komputerów stacjonarnych ogranicza się ściśle do zlikwidowania skutków infekcji oprogramowania systemowego zainstalowanego na stacji roboczej klienta oraz odtworzenia pełnej sprawności urządzenia po incydencie phishingowym.

Próby ręcznego usuwania zaawansowanych trojanów bankowych za pomocą konsumenckich skanerów antywirusowych bywają nieskuteczne. Złośliwe oprogramowanie pracujące na poziomie jądra systemu operacyjnego (rootkity) dysponuje mechanizmami zdolnymi do przechwytywania zapytań o pliki, co pozwala na skuteczne maskowanie obecności zainfekowanych bibliotek przed oprogramowaniem ochronnym. Właściwa procedura serwisowa wymaga demontażu obudowy komputera, fizycznego wyjęcia nośnika SSD lub HDD z gniazda na płycie głównej i podłączenia go do niezależnego stanowiska roboczego poprzez interfejs blokujący zapis informacji (write-blocker). Warszawskie Pogotowie Komputerowe wykonuje na tym etapie wybiórczą kopię zapasową profili użytkowników. Transfer danych ogranicza się wyłącznie do plików pasywnych – dokumentów biurowych, baz danych, plików graficznych czy archiwów wideo. Pliki binarne, takie jak rozszerzenia .exe, .dll, .bat czy .scr, podlegają kwarantannie i nie są przenoszone, aby wyeliminować ryzyko reinfekcji środowiska docelowego.

Oryginalny nośnik poddany zostaje procedurze niskopoziomowego zerowania lub sprzętowej instrukcji "secure erase", aktywowanej z poziomu firmware'u kontrolera dysku, co skutecznie kasuje układ tabel partycji i nadpisuje komórki pamięci NAND w dyskach półprzewodnikowych. Kolejnym krokiem jest instalacja czystej kompilacji systemu Windows z nośnika zewnętrznego z zachowaniem schematu partycjonowania GPT oraz struktury rozruchowej UEFI, a także wgranie dedykowanych sterowników chipsetu i układów graficznych. Jeśli infekcja phisingowa wykazuje charakter wielowarstwowy i docelowy ładunek zdołał nadpisać oprogramowanie bazowe komputera z poziomu systemu operacyjnego, konieczna staje się bezpośrednia ingerencja w warstwę sprzętową. Używa się do tego programatora układów SPI z klipsem podłączanym bezpośrednio do pinów kości pamięci flash na płycie głównej, co umożliwia wgranie czystego pliku binarnego z kodem weryfikowanym sumą kontrolną, dostarczonego przez producenta danego modelu laptopa.