תוכנת FASTCash לינוקס זדונית
שחקני איומים צפון קוריאנים פיתחו גרסת לינוקס לא ידועה בעבר של התוכנה הזדונית FASTCash, שאותה הם פורסים כדי לסכן את מערכות מעבר התשלומים של מוסדות פיננסיים, ולאפשר משיכת מזומנים בלתי חוקית.
גרסאות קודמות של FASTCash היו ידועות כמכוונות למערכות Windows ו-IBM AIX (Unix). עם זאת, על פי דיווח אחרון של חוקר האבטחה HaxRob, גרסת לינוקס שנחשפה לאחרונה מכוונת כעת להפצות של אובונטו 22.04 LTS, ומסמנת את הזיהוי הראשון של גרסה זו.
תוכנת FASTCash זדונית מכוונת לכספומטים כבר שנים
בדצמבר 2018, CISA (סוכנות אבטחת סייבר ותשתיות) פרסמה את האזהרה הראשונה שלה על תוכנית ה-FASTCash ATM מזומנים, וייחסה את הפעילות לקבוצת הפריצה בחסות המדינה הצפון קוריאנית בשם 'Hidden Cobra'. חקירות של הסוכנות העלו כי התוקפים השתמשו ב-FASTCash לפחות מאז 2016, ותזמרו התקפות משיכה של כספומט בו זמנית ביותר מ-30 מדינות, וגנבו עשרות מיליוני דולרים לכל פעולה.
בשנת 2020, פיקוד הסייבר האמריקאי העלה שוב אזעקות, וקשר חידש את פעילות FASTCash 2.0 ל-APT38 (לזרוס). עד 2021, הוכרזו כתבי אישום נגד שלושה אנשים צפון קוריאנים שהואשמו בגניבת יותר מ-1.3 מיליארד דולר ממוסדות פיננסיים ברחבי העולם.
וריאנט חדש שזוהה על ידי חוקרים
הגרסה האחרונה של FASTCash, שנחשפה ביוני 2023, חולקת מאפיינים תפעוליים רבים עם קודמותיה המתמקדות במערכות Windows ו-AIX. גרסה זו מופיעה כספרייה משותפת המוזרקת לתהליך פועל בשרת מתג תשלום, תוך שימוש בקריאה למערכת 'ptrace' כדי להתחבר לפונקציות רשת.
מתגי תשלום משמשים כמתווכים, ומקלים על תקשורת בין כספומטים או מסופי PoS לבין המערכות המרכזיות של הבנק על ידי ניתוב בקשות ותגובות לעסקאות. התוכנה הזדונית מנצלת את המתגים הללו על ידי יירוט ומניפולציה של הודעות עסקאות ISO8583, החיוניות לעיבוד כרטיסי חיוב וכרטיסי אשראי בתעשייה הפיננסית.
התוכנה הזדונית מכוונת ספציפית להודעות שבדרך כלל ידחו עסקאות עקב חוסר מספיק כספים בחשבון של בעל הכרטיס. זה משנה את ההודעות האלה, ומחליף את תגובת ה'דחה' בתגובת 'אשר'.
בנוסף, ההודעות שהשתנו מאשרות סכום משיכה אקראי בין 12,000 ל-30,000 לירה טורקית ($350 - $875). לאחר שליחת ההודעה המטופלת בחזרה למערכות המרכזיות של הבנק, כולל קודי אישור (DE38, DE39) והסכום המורשה (DE54), הבנק מאשר את העסקה. פרד כסף שעובד מטעם התוקפים מושך את המזומנים מכספומט.
מאז גילויה, מאמינים שגרסה זו של לינוקס עוקפת את רוב כלי האבטחה הסטנדרטיים, ומאפשרת לתוקפים לבצע עסקאות הונאה ללא זיהוי. מומחי אבטחת סייבר מצאו גם סימנים המצביעים על כך שההאקרים משכללים את ערכת הכלים שלהם ללא הרף, עם עדויות לגרסה חדשה של Windows של FASTCash שתופיע בספטמבר 2024.
