167.000 kredi kartını çalmak için kullanılan satış noktası kötü amaçlı yazılımı

Group-IB araştırmacılarına göre, Şubat 2021 ile Eylül 2022 arasındaki 19 ayda iki kötü amaçlı satış noktası (POS) operatörü, çoğu ABD’den olmak üzere 167.000’den fazla ödeme kaydını çaldı. Araştırmacılar, kötü amaçlı yazılım tarafından kullanılan bir komut ve kontrol (C2) sunucusunu analiz ederek virüslü makineler ve güvenliği ihlal edilmiş kredi kartları hakkında bilgi almayı başardılar.

POS kötü amaçlı yazılımı, perakende mağazalardaki POS makinelerinden banka ve kredi kartı verilerini çalmak için tasarlanmıştır. Bunu, geçici olarak şifrelenmemiş kart verilerini makinenin belleğinden toplayarak yapar. Çoğu ülkede bu tür hırsızlığa karşı geliştirilmiş güvenlik önlemleri nedeniyle, bu tür kötü amaçlı yazılımlar hiçbir zaman tamamen ortadan kalkmasa da eskisi kadar yaygın olarak kullanılmamaktadır.

Kötü amaçlı yazılım

Araştırmacılar, POS kötü amaçlı yazılımının iki farklı türü olan MajikPOS ve Treasure Hunter için kötü yapılandırılmış kontrol panelleri buldular. Olası bir açıklama, operatroların Define Avcısı kullanmaya başlaması ve daha sonra MajikPOS’u uyarlamasıdır. Bunun nedeni, MajikPOS’un kaynak kodunun Dark Web’de dolaşması ve Treasure Hunter’a kıyasla ek özellikler sunmasıdır.

Tüm POS kötü amaçlı yazılımlarının temel yeteneği aynıdır; verilerin şifrelenmemiş bir biçimde bulunabileceği bir POS cihazının RAM’inden hassas kart ödeme ayrıntılarını çalmak. Ancak farklı aileler, çalınan verilerin kalıcılığı ve işlenmesi söz konusu olduğunda başka seçenekler sunar.

Kötü amaçlı yazılımın hedef aldığı makineler, RDP ve VNC gibi uzak masaüstü uygulamaları taranarak ve ardından parolaları tahmin edilerek bulundu. Parolalarını başarılı bir şekilde tahmin etmek, saldırganlara bu bilgisayarlara gerçekten önlerinde oturuyorlarsa elde edecekleri erişimin aynısını verdi.

Soruşturma sırasında Group-IB uzmanları, MajikPOS panelinden yaklaşık 77.400 benzersiz kart dökümünü ve Treasure Hunter panelinden yaklaşık 90.000 benzersiz kart dökümünü analiz etti. Çalınan kartların çoğu ABD bankaları tarafından verildi ve virüslü POS terminallerinin çoğu ABD’de bulunuyor.

Tek bir kart dökümü için ortalama fiyat 20 ABD doları civarındadır, bu nedenle tehdit aktörleri çalınan çöplükleri bir yeraltı pazarında satabilseydi, 3 milyon dolardan fazla para kazanabilirdi.

Kredi kimlik hırsızlığı

Kredi kimliği hırsızlığı, bir dolandırıcı kredi kartı bilgilerinizi çaldığında ve bu verileri hileli satın almalar yapmak için kullandığında veya sizin adınıza bir kredi kartı veya kredi aldığında gerçekleşir. FTC’ye göre, kredi kimlik hırsızlığının kurbanı olduklarından şüphelenen kişiler, banka veya kredi kartı şirketleriyle iletişime geçerek kartlarını iptal etmeli ve yeni bir kart talep etmelidir. Yeni bir kart alırsanız, otomatik ödemelerinizi yeni kart numaranızla güncellemeyi unutmayın.

Mağdur olup olmadığınızı öğrenmek için:

• Kimsenin kartınızı kötüye kullanmadığından emin olmak için işlemlerinizi düzenli olarak gözden geçirin.
• Hileli suçlamalar bulursanız, dolandırıcılık departmanını arayın ve bunların kaldırılmasını sağlayın.
• Annualcreditreport.com adresinden kredi raporunuzu kontrol edin.

Azaltma

Tüm olağan, temel (ve etkili) güvenlik önerileri, POS cihazı sahipleri için geçerlidir. POS makinelerini çalıştırıyorsanız:

• Yazılıma zamanında yama uygulamak için bir plan uygulayın
• Parolaları iki faktörlü kimlik doğrulamayla, tercihen FIDO 2 ile koruyun
• Parolaları daha fazla korumak için güçlü bir parola politikası ve oran sınırlaması kullanın
• Kötü amaçlı yazılımları ve davetsiz misafirleri tespit etmek için uç nokta güvenlik yazılımını EDR ile çalıştırın
• En Az Ayrıcalık İlkesine göre erişim hakları atayın
• Yanal hareketi yavaşlatmak için ağları bölümlere ayırın