بدافزار کارت‌خوان FastPoS

به گزارش واحد متخصصین سایبربان، به دلیل نزدیک شدن روزهای جشن سال نو میلادی، بدافزارهای کارت‌خوان نیز در حال ارتقاء و توسعه هستند تا بیشترین بهره را از تراکنش‌های مالی خرید سال نو ببرند.

توسعه‌دهندگان بدافزار FastPoS، کدهای مخرب خود را ارتقاء داده و کارایی آن را افزایش داده‌اند. این بدافزار اولین بار در سال گذشته شناسایی شده بود. FastPoS کشورهای مختلفی ازجمله امریکا، برزیل، فرانسه، ژاپن، هنگ‌کنگ و تایوان را هدف قرار داده است. این بدافزار توسط وب‌گاه‌های آلوده، VNC، حمله‌های Brute-Force یا اشتراک فایل گسترش می‌یابد.

هدف کنونی توسعه‌دهندگان بدافزار FastPoS، ارسال سریع داده‌های سرقت شده است، به‌نحوی‌که قبل از آگاه شدن بانک و از کار انداختن کارت، سرقت خود را پایان دهند. معمولاً بدافزارهای کارت‌خوان دارای مرحله‌های نفوذ، ذخیره و ارسال داده هستند. به‌روزرسانی جدید FastPoS مرحله ذخیره را حذف کرده و مستقیماً اقدام به ارسال داده به سرور C&C می‌کند. این بدافزار به‌مانند بدافزارهای جدید به‌صورت ماژولار طراحی شده است و دارای بخش‌های سرقت از حافظه و کی‌لاگر(Key Logger) است.

بخش‌های مختلف بدافزار شامل موارد زیر است:

Serv32.exe: ایجاد و مانیتور mailslots،ارسال اطلاعات به سرور

Kl32.exe: کی‌لاگر 32 بیتی

Kl64.exe: کی‌لاگر 64 بیتی

Proc32.exe: سرقت از حافظه نسخه 32 بیتی

Proc64.exe: سرقت از حافظه نسخه 64 بیتی

محققان امنیتی دریافته‌اند، بدافزار به‌روز شده FastPoS از فایل‌های mailslots که توسط ویندوز به‌صورت موقت در حافظه ایجاد می‌شوند برای ذخیره داده استفاده می‌کند که باعث افزایش خروج داده‌های سرقت شده می‌شود. هم‌چنین استفاده از mailslots مانع شناسایی بدافزار توسط سامانه‌های امنیتی می‌شود.