ورود بدافزار به دستگاه‌های پایانه‌ فروشگاهی

به گزارش واحد متخصصین سایبربان؛ بدافزار پایانه‌های فروشگاهی (POS) که پیش‌تر تابه‌حال شناسایی نشده بود به تازگی توسط محققان شرکت تراست‌ویو (Trustwave) بررسی شد.
کارشناسان امنیتی این شرکت بدافزار مخرب پایانه‌های فروشگاهی چری پیکر (Cherry Picker) که در اواخر سال 2011 شناخته ‌شد را بررسی کردند. این تهدیدها از روش‌های پیچیده‌ای استفاده می‌کنند که اجازه می‌دهد در طول سال‌ها تحت نظر قرار بگیرد.
بدافزار پایانه فروشگاهی برای اولین بار در سال 2011 توسط محققان شرکت تراست‌ویو آشکار شد محققان روش‌های زیادی را تجزیه‌وتحلیل کردند و به این نتیجه رسیدند که این تجزیه و تحلیل برای اجرای فرایند مدیریت اطلاعات کارت طراحی‌ شده است. یکی از کدهای بررسی‌شده توسط محققان این شرکت شامل دو جزء است، رابط خط فرمان sr.exe و searcher.dll که این کدها به‌طور مستقیم بر روی روش‌ bysr.exe اجرا می‌شوند.
این بدافزار به خانواده نابودکنندگان حافظه تعلق دارد و از یک فایل آلوده برای تداوم این حملات استفاده می‌کند.
محققان این شرکت اعلام کردند که بدافزار برای پیکربندی فایل‌ها، رمزگذاری و اثبات خطوط فرمان طراحی شده است و اجازه می‌دهد که بدافزار تحت نظر قرار بگیرد. برای تجزیه حافظه یک آلوده‌کننده پیشرفته بدافزار فایل یک برنامه پاک‌کننده را مورد هدف قرار می‌دهد که اجازه می‌دهد از فضای امنیتی دور بماند.
تهدیدات شامل پاک کردن ماژول‌ها که اجازه می‌دهد تمام آثار باقی‌مانده از بدافزار در سامانه را حذف کند.

نسخه‌های گذشته بدافزار پایانه‌های فروش برای نابود کردن حافظه و جمع‌آوری اطلاعات کارت رابط برنامه‌نویسی که QueryWorkingSet نام‌گذاری می‌شود استفاده می‌شود. اطلاعات کارت‌ها نوشته‌شده و سپس به یک سرور کنترل کننده ارسال می‌شود.
هنگامی‌که بدافزار داده‌های مورد نیاز خود را به دست بیاورد فرایند سرقت را شروع می‌کند توسعه دهندگان این بدافزار ابزار حذف اهداف را طراحی کرده‌اند برای بازگردانی سامانه به حالت اول خود.
کارشناسان به این نتیجه رسیده‌اند که بدافزار چری‌پیکر بر اساس بدافزارهای Autolt POS و Rdasrv ساخته‌شده است که از اولین سرقت کنندگان اطلاعات در این سامانه به شمار می‌روند.
محققان شرکت تراست‌ویو سه روش مختلف در بدافزار پایانه‌های فروش گزارش دادند، از قبیل نسخه‌های مختلف برای تکمیل کردن دیگر نسخه‌ها.
محققان دریافتند برای تداوم این سیر تکاملی و ورود به تنظیمات از نسخه‌های جدید استفاده کنند، در موارد اخیر از نسخه‌های بروزرسانی sr.exe و srf.exe توسط بدافزار مورد استفاده قرار می‌گرفتند و در فرایند کتابخانه پویا مورد استفاده قرار می‌گیرند.
چری‌پیکر متفاوت‌تر از تهدیدات در حال حاضر است که بر روی فرایند مدیریت اطلاعات کارت تمرکز دارد. این فرایند در پیکربندی فایل‌ها گزارش شده است.