Dell SecureWorks最近檢測到了針對多家俄羅斯銀行和支付服務提供商的網絡攻擊行為,而且這波攻擊行為正在進行中。據說,本次攻擊的幕后黑客當前或許正在運行一個非常大型的僵尸網絡,大面積覆蓋了Tinda 2.0銀行木馬,這個僵尸網絡會將銀行和支付用戶的信息匯總回傳給黑客。
Tinda在網絡安全領域是比較知名的安全威脅,這種木馬已經活躍了好幾年時間,主要遍布在日本、歐洲和北美。不過Tinda 1.0的源碼已經于去年泄露,所以絕大部分黑客組織已經不再使用Tinda 1.0。所以不久Tinda 2.0就浮出水面。
Tinda 2.0一直在黑市上作為僵尸網絡套裝出售,購買了Tinda 2.0套裝的人都可以構建起自己的C&C服務器,以各種安全和認證方式,防止被輕易檢測到,而且能夠針對特定的目標。絕大部分Tinda攻擊被控制得很好,僅針對小范圍區域幾家銀行,或者有限幾個類型的用戶。
而Dell SecureWorks檢測到的本次攻擊針對的是俄羅斯的銀行和支付服務提供商——很多類似的僵尸網絡會避免以俄羅斯作為目標,因為絕大部分黑客組織本身就駐扎在俄羅斯,所以不愿意得罪所在地的相關部門,Dell SecureWorks檢測到的這波攻擊算是個例外。
之前有家黑客組織沒有遵循這種“潛規則”,該組織名為Carberp。2013年他們就將俄羅斯銀行作為目標,當局很快就抓捕了28歲的領頭人。
Dell表示,本次攻擊的傳播方式主要是通過電子郵件,還有類似Angler、Neutrino和Nuclear這樣的工具。計算機被感染以后,Tinda就會開始記錄各種相關金融的操作,并將數據回傳到C&C服務器,黑客可將之用于欺詐性交易。