ZeuS-in-the-Mobile coraz groźniejszy

Przeczytaj także: Trojan SMS dla smartfonów z Android

Znane ataki

ZitMo został po raz pierwszy wykryty 25 września 2010 roku. W tym czasie hiszpańska firma S21sec zajmująca się bezpieczeństwem danych opisała to zagrożenie na swoim blogu. Niemniej jednak do końca nie było wiadomo, które banki są celem ataków. Wszystkie dostępne dane każą nam wierzyć, że ofiarami byli klienci jednego z hiszpańskich banków.

Po opublikowaniu tego artykułu firmy antywirusowe rozpoczęły swoje własne badania. Pracownicy z S21sec poinformowali, że wykryli ZitMo na dwóch różnych platformach mobilnych: Symbian i BlackBerry. Próbki szkodliwych programów przeznaczonych na Symbiana zostały wykryte bardzo szybko, natomiast mobilna wersja ZeuSa na BlackBerry długo pozostawała tylko w sferze domysłów.

21 lutego 2011 r. na łamach polskiego serwisu Niebezpiecznik.pl pojawiła się informacja o drugim ataku ZitMo. W końcu wyszły też na jaw nazwy banków, których klienci byli celem ataków: ING i mBank.

Lista platform atakowanych przez ZeuSa powiększyła się o smartfony działające pod kontrolą systemu Windows Mobile.

Na tym etapie znany jest tylko jeden atak ZitMo, który został opisany powyżej. Nie wiadomo, czy inne ataki miały miejsce, a nawet jeżeli, to nie mówi się o nich głośno.

Platformy

W momencie publikacji niniejszego artykułu (październik 2011) znane są różne modyfikacje trojana ZitMo na następujące platformy: Symbian, Windows Mobile, BlackBerry i Android.

Powyżej opisaliśmy ogólną sekwencję zdarzeń występującą podczas ataków oraz główny cel mobilnej wersji ZeuSa, czyli przechwytywanie wiadomości tekstowych z kodami mTAN. Funkcje wszystkich wersji ZitMo na różne platformy (za wyjątkiem Androida) są takie same, ale mimo to przyjrzymy się bliżej każdej wersji z osobna.

Na początek zwróćmy uwagę na jeden istotny i interesujący szczegół dotyczący wszystkich wersji ZitMo (za wyjątkiem wersji przeznaczonej na Androida). Trojan działający na smartfonie jest kontrolowany przez polecenia otrzymywane w wiadomościach tekstowych, a więc ZitMo jest botem tekstowym, dla którego centrum zarządzania stanowi inny telefon, a dokładniej, numer telefonu.

Do lipca 2011 roku zidentyfikowano następujące numery centrów zarządzania:

• +44778148****
• +44778148****
• +44778148****
• +44778620****
• +44778148****

Wszystkie te numery są brytyjskimi numerami telefonów. Czy jest to bezpośredni dowód na to, że autorzy szkodliwego programu znajdowali się w Wielkiej Brytanii podczas ataku? Całkiem możliwe.