Man-in-the-browser: Cuidado com o HOME BANKING

[Nuno156]

Geralmente os bancos tem aviso a dizer isso mesmo, que os códigos/sms apenas são enviados no momento de alguma operação.
Mesmo pelo Bpidirecto, nunca pedem o código de acesso todo.
(...)

Aqui também não pedem. Não precisam.

[Valium]

Aqui também não pedem. Não precisam.

O Bpi directo é via telefone, era apenas complementar ao outro post...

[SilverArrow]

Nopes.
Foi o meu colega que desconfiou da mensagem.

O antivírus (F-SECURE) não detectou nada.

Ele fez o printscreen e gravou uma cópia do source code da página.
Foi esse código que eu estive a analisar, e que tem lá as tais referências
para um IP na Roménia.

E como resolver?

[Im4real]

Ha operações que nao necessita dos cartões Matriz.

As que não usam cartão matriz, usam a sms. Na caixa, das operações que faço (pagamentos serviços e transferencias) é sempre cartão matriz, excepto para transferências acima de 500€ que activa o SMS token.

Se noutras operações, ou/e bancos não é assim, já não sei

[tonyV]

Não estando relacionado directamente com o assunto do tópico descubram as diferenças...

[Jbranco]

Giro seria saber a identificação do MALWARE em causa e ir ao virustotal ver quais são os anti virus com a capacidade de o detectar.

[eu]

No caso da máquina virtual, se o
sistema anfitrião estiver comprometido, TODAS AS COMUNICAÇÕES da máquina
virtual com o exterior ESTÃO COMPROMETIDAS.

Sim, mas as comunicações com os bancos estão encriptadas por TLS/SSL e por aí não há ainda nenhum ataque criptográfico conhecido (pelo menos eu desconheço). Qualquer tentativa de alteração dos pacotes é facilmente detectada pelo SSL.

Por outro lado, um trojan que seja executado no ambiente nativo não infecta o ambiente virtual. A menos que esteja preparado especificamente para isso, mas duvido muito que alguém se dê ao trabalho de fazer isso...

[Rasec]

Caso para dizer que a pornografia saíu cara ao teu colega.

Não precisa de ser pornografia, pode ser um torrent qualquer, um mail de um "amigo" com um daqueles .ppts que toda a gente adora... etc.

[Pastis]

Não estando relacionado directamente com o assunto do tópico descubram as diferenças...

xiba-te lá q tenho mais q fazer

[Ilyushin]

Nota bem:
O utilizador faz todas as autenticações.
O computador está por conta do PIRATA.
Ou seja, o pirata acede à conta ATRAVÉS da ligação que a vítima fez.

Por exemplo:
1- a vítima faz login na página genuína
2- o pirata usa o computador e ligação da vítima no acesso ao banco
3- o pirata manda efectuar a transacção que lhe interessa
4- no caso de envio de código para o telemóvel, o banco envia o código para
a operação que o pirata pediu
5- mostra uma mensagem falsa (do tipo da imagem)
6- pede para entrar o código de validação (do cartão matriz ou telemóvel)
7- a vítima deixa-se enganar (o site é legítimo), e introduz o código
8- o pirata usa o código para validar a operação que lhe interessa

Vou dar a minha opinião sincera, e se calhar alguns não vão gostar.
Uma pessoa capaz de ser enganada em todos estes pontos, em especial no ponto 4. , das duas uma:

- Ou não deveria ter homebanking porque é demasiado leiga em termos tecnológicos,
- ou sem tem, de livre vontade, é muito ingénua.

Não sendo nenhum génio e apenas com o meu conhecimento de informática maioritariamente na óptica do utilizador, digo já que seria totalmente incapaz de ser enganado desta forma. E se alguém daqui que usa homebanking acha que era capaz de cair nesta conversa, o melhor a fazer é deixar de usá-lo pois não está preparado para isso.

[ElGamal]

Aparentemente o malware deixa o utilizador fazer a ligação normal ao banco mas consegue manipular o IE para apresentar uma página falsa. Pode até ser uma aplicação "always on top" que se coloca à frente do IE, tapando a página original...

Muito engenhoso e muito perigoso...

apenas afecta utilizadores de IE?

[eu]

Uma pessoa capaz de ser enganada em todos estes pontos, em especial no ponto 4.

E se um dia fizeres uma operação banal no Home Banking, na página correcta, e imediatamente a seguir receberes uma mensagem de confirmação no telemóvel: vais desconfiar ou não?

[Vanquish]

Não sei o que é que acontece no caso do BPI mas na CGD sem o cartão matriz ou o telemóvel associado à conta não é possível fazer grande coisa mesmo que entrem no teu home banking.

EDIT: o que não invalida que sempre se tenha cuidados acrescidos neste tipo de situações!

No Millennium também não sai dinheiro sem telemóvel associado.

A menos que alguém consiga entrar e registar outro numero de telemóvel.

[eu]

apenas afecta utilizadores de IE?

Teoricamente, uma ameaça deste tipo funcionaria em qualquer browser: basta que o programador faça pequenos ajustes para adequar o malware a cada browser...

[Ilyushin]

E se um dia fizeres uma operação banal no Home Banking, na página correcta, e imediatamente a seguir receberes uma mensagem de confirmação no telemóvel: vais desconfiar ou não?

Se a página não levantar suspeitas e se a mensagem tiver exactamente o mesmo formato da original, com todos os dados correctos, sou capaz de cair.
Mas o que está aqui em causa é muito diferente.

[Nuno156]

E como resolver?

Experimentar com outros antivírus... acho eu.
No limite, formatar e instalar de novo.

O problema é que ele não quer tirar de lá a virose...
Diz que quer tentar apanhar o gajo.

[Nuno156]

Não estando relacionado directamente com o assunto do tópico descubram as diferenças...

SECURE vs TRUSTED

[tonyV]

Já agora pergunto se o software rapport vale alguma coisa?

EDIT: Os certificados (parece-me) são diferentes pela descrição dos detalhes de ambas as páginas.

[Audigy]

No Millennium também não sai dinheiro sem telemóvel associado.

A menos que alguém consiga entrar e registar outro numero de telemóvel.

Alterar o número de telemóvel do SMS Token requer o envio de uma carta para a morada do titular que refere de um modo bem explicito qual o número para o qual se alterou.

Só depois de o titular introduzir o código dessa carta, o Token entra em vigor.

[Pastis]

Teoricamente, uma ameaça deste tipo funcionaria em qualquer browser: basta que o programador faça pequenos ajustes para adequar o malware a cada browser...

Tenho ideia que basta alterar o host file colocando as entradas dos URLs dos bancos e os respectivos reencaminhamentos...
Em alternativa existe software opensource que te permite fazer um servidor oculto que faz o reencaminhamento automático. Nestes casos o PC fica muito + lento. Estou-me a lembrar de aplicações de controlo parental.

O puto escreve sexo e qq browser do PC te reencaminha para uma página que diz "não autorizado".

O esquema em si é relativamente fácil engendrar . A parte difícil é eles conseguirem replicar o funcionamento do site do banco. Mas li na EXAME informática que existem organizações mafiosas que investem milhões de dolares em hackers para fazer estes trabalhos. V

Isto para dizer que não é um bandalho qq nerd com 150KG que faz um esquema desses em casa.

[Nuno156]

Sim, mas as comunicações com os bancos estão encriptadas por TLS/SSL e por aí não há ainda nenhum ataque criptográfico conhecido (pelo menos eu desconheço). Qualquer tentativa de alteração dos pacotes é facilmente detectada pelo SSL.

Por outro lado, um trojan que seja executado no ambiente nativo não infecta o ambiente virtual. A menos que esteja preparado especificamente para isso, mas duvido muito que alguém se dê ao trabalho de fazer isso...

A encriptação dessa comunicação é irrelevante.
São as restantes que são problemáticas.

O comum dos mortais está atrás de um ROUTER NAT, ou de um MODEM onde só
passa TCP/IP. O nível de exploits é mínimo.
Em ETHERNET já é um mundo totalmente diferente...

[Pastis]

Em ETHERNET já é um mundo totalmente diferente...

ui... Só Deus sabe a tralha que circula por Ethernet assim mesmo sem segurança nenhuma...

[Nuno156]

Vou dar a minha opinião sincera, e se calhar alguns não vão gostar.
Uma pessoa capaz de ser enganada em todos estes pontos, em especial no ponto 4. , das duas uma:

- Ou não deveria ter homebanking porque é demasiado leiga em termos tecnológicos,
- ou sem tem, de livre vontade, é muito ingénua.

Não sendo nenhum génio e apenas com o meu conhecimento de informática maioritariamente na óptica do utilizador, digo já que seria totalmente incapaz de ser enganado desta forma. E se alguém daqui que usa homebanking acha que era capaz de cair nesta conversa, o melhor a fazer é deixar de usá-lo pois não está preparado para isso.

Mas o alvo de tudo isto é PRECISAMENTE para ingénuos.
Não só ingénuos no ponto 4, mas ingénuos a todos os níveis, desde pensarem que
estão protegidos por um antivírus, até pensarem que estão protegidos por uma
FIREWALL, passando pelos ingénuos que fazem pirataria.

[Nuno156]

apenas afecta utilizadores de IE?

Depende de como estiver feito o MALWARE...

[Axxantis]

Independentemente destas técnicas todas sofisticadas, a verdade é que continua a ser preciso que o utilizador caia na conversa do e-mail e aceda ao seu banco pelo link que lá está. Ou seja, a grande falha continua a estar no utilizador, pelo que me pareceu.

[Nuno156]

Independentemente destas técnicas todas sofisticadas, a verdade é que continua a ser preciso que o utilizador caia na conversa do e-mail e aceda ao seu banco pelo link que lá está. Ou seja, a grande falha continua a estar no utilizador, pelo que me pareceu.

Aqui não há e-mail, nem link no e-mail.
Não se trata de PHISHING.

[Axxantis]

Aqui não há e-mail, nem link no e-mail.
Não se trata de PHISHING.

Não há mail? Então como fazem? O que faz o utilizador para accionar o trojan?

[XO]

Não há mail? Então como fazem? O que faz o utilizador para accionar o trojan?

Aparentemente terá sido com software "minado" proveniente de fontes não muito fidedignas :P

Abraços
XO

[Ilyushin]

passando pelos ingénuos que fazem pirataria.

atenção que nem tudo o que é pirata é mau. Sem querer de forma alguma defender os conteúdos ilegais, até para ser pirata é preciso alguma prática. Por exemplo, eu das raras vezes que saco qualquer coisa "para testes", faço uma análise das extensões dos ficheiros, depois um scan mais a fundo, a seguir envio para o virustotal.com e só depois disso é que arrisco. E até hoje nunca tive problema nenhum.

[Nuno156]

atenção que nem tudo o que é pirata é mau. Sem querer de forma alguma defender os conteúdos ilegais, até para ser pirata é preciso alguma prática. Por exemplo, eu das raras vezes que saco qualquer coisa "para testes", faço uma análise das extensões dos ficheiros, depois um scan mais a fundo, a seguir envio para o virustotal.com e só depois disso é que arrisco. E até hoje nunca tive problema nenhum.

Arriscas mal...

O MALWARE só pode ser detectado se for conhecido.
Ou seja, até ver PENSAS que nunca tiveste problema nenhum.
Isto é, nada garante que não tenhas MALWARE ainda desconhecido,
e por isso ainda não detectável.