- Kaspersky vừa phát hiện ra một loại malware gần như "vô hình" đang tấn công hàng loạt ngân hàng trên thế giới để rút tiền từ chính các máy ATM. Cách đây 2 năm, các chuyên gia bảo mật của 
"Điều thú vị ở đây là các cuộc tấn công này đang được tiến hành trên toàn cầu và nhằm vào bản thân các ngân hàng. Ngân hàng không có sự chuẩn bị đầy đủ trong nhiều trường hợp để đối phó với hacker" - chuyên gia Kurt Baumgartner của Kaspersky Labs cho biết. Ông nói thêm rằng, hacker đứng đằng sau các cuộc tấn công "đang rút tiền khỏi ngân hàng ngay bên trong ngân hàng" bằng cách cấy malware vào các máy tính đang vận hành máy rút tiền tự động (ATM).
140 tổ chức (không được nêu tên cụ thể) bị ảnh hưởng bởi malware nằm ở 40 quốc gia khác nhau. Trong số này, Mỹ, Pháp, Ecuador, Kenya, và Anh là top 5 nước bị ảnh hưởng nặng nhất. Các nhà nghiên cứu của Kaspersky Lab hiện chưa rõ liệu hacker cá nhân đơn lẻ hay 1 nhóm hacker có tổ chức, đứng đằng sau vụ tấn công. Việc sử dụng loại malware không tồn tại dưới dạng tập tin, cũng như sử dụng tên miền command-server không liên kết với bất kỳ tổ chức nào khiến các nhà nghiên cứu khó có thể quy kết ai là kẻ đứng sau.
Thu thập mật khẩu
Danh sách một số quốc gia bị malware tấn công.
Các nhà nghiên cứu lần đầu tiên phát hiện ra malware là hồi cuối năm ngoái, khi đội bảo mật của 1 ngân hàng tìm thấy 1 bản copy của Meterpreter— một thành phần trong bộ nhớ của Metasploit—residing - nằm trong bộ nhớ vật lý của 1 bộ điều khiển tên miền Microsoft (Microsoft domain controller). Sau khi tiến hành phân tích, các nhà nghiên cứu tìm thấy rằng, mã Meterpreter được tải và 'tiêm' vào bộ nhớ bằng các lệnh PowerShell. Máy tính bị nhiễm malware cũng sử dụng công cụ mạng NETSH của Microsoft để chuyển dữ liệu tới các máy chủ mà hacker kiểm soát. Để có được các đặc quyền quản trị nhằm đạt được mục đích, kẻ tấn công sử dụng công cụ Mimikatz. Nhằm làm giảm khả năng để lại bằng chứng tấn công trong nhật ký hoạt động (log) hay ổ cứng, hacker giấu các lệnh PowerShell bên trong registry của Windows.
Tuy nhiên, rất may là bằng chứng trên bộ điều khiển tên miền còn nguyên vẹn, và nguyên nhân có lẽ là bởi nó đã không được khởi động lại trước khi các chuyên gia của Kaspersky Lab bắt đầu cuộc điều tra. Sau khi tiến hành phân tích các nội dung bộ nhớ bị xoá, cũng như xem lại các Windows registry, Kaspersky đã có thể khôi phục mã Meterpreter và Mimikatz. Về sau, hãng bảo mật này khẳng định rằng, hacker đã sử dụng các công cụ để thu thập mật khẩu của admin hệ thống. Các công cụ cũng được dùng cho việc quản trị từ xa các PC bị lây nhiễm.
"Chúng tôi đang nói về rất nhiều vụ tấn công với những cách thức thực hiện khác nhau" - chuyên gia Baumgartner cho biết khi nói về các lây nhiễm mà Kaspersky tìm ra được sau những phát hiện ban đầu. "Chúng tôi đang đi tìm mẫu số chung của tất cả các cuộc tấn công này, khi mà hacker tiến hành nhúng PowerShell vào registry để tải Meterpretor và thực hiện hành động của chúng từ đó bằng các công cụ quản trị Windows chính thống".
Nhóm chuyên gia bảo mật hiện vẫn chưa biết malware này ban đầu được thiết lập như thế nào, tuy nhiên, có thể hacker đã dùng tới các cuộc tấn công SQL-injection cũng như khai thác các plugin cho ứng dụng quản lý nội dung WordPress. Kaspersky Lab dự tính cung cấp thêm chi tiết về malware này vào tháng 4, như cách malware được dùng để rút tiền từ máy ATM; còn hiện tại, những tổ chức và ngân hàng quan tâm có thể tìm hiểu các nguy cơ và chi tiết kỹ thuật về malware tại
