Làm thế nào ram phần mềm độc hại đánh cắp dữ liệu từ mục tiêu, neiman marcus

Mặc dù Target vẫn đang theo dõi các kẻ tấn công đã vi phạm mạng của mình và thu thập thông tin thuộc về hơn 70 triệu người mua hàng, nhưng giờ đây chúng ta biết rằng phần mềm độc hại RAM đã được sử dụng trong vụ tấn công.

"Chúng tôi không biết mức độ đầy đủ của những gì đã xảy ra, nhưng những gì chúng tôi biết là có phần mềm độc hại được cài đặt trên sổ đăng ký điểm bán của chúng tôi. Chúng tôi đã thành lập rất nhiều", Giám đốc điều hành Target, Gregg Steinhafel nói trong một cuộc phỏng vấn với CNBC thảo luận về vi phạm gần đây. Công ty ban đầu cho biết thông tin thẻ thanh toán cho 40 triệu người mua sắm tại một trong những cửa hàng bán lẻ của nó trong mùa lễ đã bị xâm phạm. Target cho biết tuần trước rằng thông tin cá nhân của 70 triệu người cũng đã bị đánh cắp và bất kỳ người mua sắm nào đến các cửa hàng trong cả năm 2013 đều có nguy cơ.

Các nguồn tin giấu tên nói với Reuters cuối tuần qua rằng phần mềm độc hại được sử dụng trong vụ tấn công là một công cụ quét RAM. Trình quét RAM là một loại phần mềm độc hại cụ thể nhắm mục tiêu thông tin được lưu trữ trong bộ nhớ, trái ngược với thông tin được lưu trên ổ cứng hoặc được truyền qua mạng. Mặc dù loại phần mềm độc hại này không phải là mới, các chuyên gia bảo mật cho biết đã có một sự gia tăng gần đây về số vụ tấn công các nhà bán lẻ sử dụng kỹ thuật này.

Tấn công bộ nhớ

Bộ lọc RAM nhìn vào bên trong bộ nhớ của máy tính để lấy dữ liệu nhạy cảm trong khi nó đang được xử lý. Theo quy tắc Tiêu chuẩn bảo mật dữ liệu công nghiệp thẻ công nghiệp (PCI-DSS) hiện tại, tất cả thông tin thanh toán phải được mã hóa khi được lưu trữ trên hệ thống PoS cũng như khi được chuyển sang hệ thống back-end. Mặc dù kẻ tấn công vẫn có thể đánh cắp dữ liệu từ ổ cứng, nhưng chúng không thể làm gì với nó nếu nó được mã hóa và thực tế là dữ liệu được mã hóa trong khi di chuyển qua mạng có nghĩa là kẻ tấn công không thể đánh hơi lưu lượng để đánh cắp bất cứ thứ gì.

Điều này có nghĩa là chỉ có một cửa sổ cơ hội nhỏ ngay lập tức khi phần mềm PoS đang xử lý thông tin cho những kẻ tấn công để lấy dữ liệu. Phần mềm phải tạm thời giải mã dữ liệu để xem thông tin giao dịch và phần mềm độc hại nắm bắt thời điểm đó để sao chép thông tin từ bộ nhớ.

Sự gia tăng của phần mềm độc hại làm mất RAM có thể được liên kết với thực tế là các nhà bán lẻ đang trở nên tốt hơn trong việc mã hóa dữ liệu nhạy cảm. Michael Sutton, phó chủ tịch nghiên cứu bảo mật của Zscaler cho biết: "Đó là một cuộc chạy đua vũ trang. Chúng tôi đưa ra một rào cản và những kẻ tấn công thích nghi và tìm kiếm những cách khác để lấy dữ liệu".

Chỉ là một phần mềm độc hại

Điều quan trọng cần nhớ là các thiết bị đầu cuối điểm bán hàng thực chất là máy tính, mặc dù có các thiết bị ngoại vi như đầu đọc thẻ và bàn phím đi kèm. Họ có một hệ điều hành và chạy phần mềm để xử lý các giao dịch bán hàng. Chúng được kết nối với mạng để chuyển dữ liệu giao dịch đến các hệ thống back-end.

Và cũng giống như bất kỳ máy tính nào khác, các hệ thống PoS có thể bị nhiễm phần mềm độc hại. "Các quy tắc truyền thống vẫn được áp dụng", Chester Wisniewski, một cố vấn an ninh cấp cao tại Sophos nói. Hệ thống PoS có thể bị nhiễm do nhân viên đã sử dụng máy tính đó để truy cập trang web lưu trữ phần mềm độc hại hoặc vô tình mở tệp đính kèm độc hại vào email. Phần mềm độc hại có thể đã khai thác phần mềm chưa được vá trên máy tính hoặc bất kỳ phương pháp nào dẫn đến việc máy tính bị lây nhiễm.

"Càng ít đặc quyền mà các nhân viên cửa hàng có trên các thiết bị đầu cuối điểm bán hàng, họ càng ít có khả năng bị nhiễm bệnh", Wisniewski nói. Các máy xử lý thanh toán rất nhạy cảm và không cho phép lướt web hoặc cài đặt các ứng dụng trái phép, ông nói.

Khi máy tính bị nhiễm, phần mềm độc hại sẽ tìm kiếm các loại dữ liệu cụ thể trong bộ nhớ, trong trường hợp này, số thẻ tín dụng và thẻ ghi nợ. Khi tìm thấy số, nó sẽ lưu nó vào một tệp văn bản chứa danh sách tất cả dữ liệu mà nó đã thu thập được. Tại một số điểm, phần mềm độc hại sau đó sẽ gửi tệp tin thông thường qua mạng qua mạng đến máy tính của kẻ tấn công.

Bất cứ ai cũng là mục tiêu

Mặc dù các nhà bán lẻ hiện đang là mục tiêu để phân tích phần mềm độc hại, Wisniewski cho biết bất kỳ tổ chức nào xử lý thẻ thanh toán sẽ dễ bị tấn công. Loại phần mềm độc hại này ban đầu được sử dụng trong lĩnh vực khách sạn và giáo dục, ông nói. Sophos gọi các kẻ phá hoại RAM là Trackr Trojan và các nhà cung cấp khác gọi chúng là Alina, Dexter và Vskimmer.

Trên thực tế, bộ xử lý RAM không dành riêng cho các hệ thống PoS. Các tội phạm mạng có thể đóng gói phần mềm độc hại để đánh cắp dữ liệu trong mọi tình huống mà thông tin thường được mã hóa, Sutton nói.

Visa đã ban hành hai cảnh báo bảo mật vào tháng 4 và tháng 8 năm ngoái cảnh báo các thương nhân về các cuộc tấn công sử dụng phần mềm độc hại PoS phân tích bộ nhớ. "Kể từ tháng 1 năm 2013, Visa đã chứng kiến ​​sự gia tăng các cuộc xâm nhập mạng liên quan đến các thương nhân bán lẻ", Visa cho biết vào tháng 8.

Không rõ phần mềm độc hại xâm nhập vào mạng của Target như thế nào, nhưng rõ ràng đã xảy ra sự cố. Phần mềm độc hại không được cài đặt trên chỉ một hệ thống PoS, nhưng trên nhiều máy tính trên cả nước và "không ai để ý", Sutton nói. Và ngay cả khi phần mềm độc hại quá mới để chống vi-rút phát hiện ra, thì thực tế là nó đang truyền dữ liệu ra khỏi mạng nên đã giương cờ đỏ, ông nói thêm.

Đối với người mua sắm cá nhân, không sử dụng thẻ tín dụng không thực sự là một lựa chọn. Đây là lý do tại sao cần thường xuyên theo dõi các báo cáo và theo dõi tất cả các giao dịch trên tài khoản của họ. "Bạn phải tin tưởng các nhà bán lẻ với dữ liệu của bạn, nhưng bạn cũng có thể cảnh giác, " Sutton nói.