Trojan.PWS.OSMP заражает платежные терминалы

Компания Доктор Веб обнаружила троянец Trojan.PWS.OSMP, заражающий терминалы одной из крупнейших российских платежных систем. Эта вредоносная программа вмешивается в работу легального процесса "maratl.exe", запущенного в операционной системе терминала, и подменяет номер счета, на который осуществляет платеж пользователь. Таким образом, деньги попадают напрямую к злоумышленникам.

Первоначально в операционную систему платежного терминала (Windows) попадает BackDoor.Pushnik — исполняемый файл, написанный на языке Delphi. Передается он через съемные носители, в частности USB-флешки. Попав в систему, BackDoor.Pushnik получает с сервера первого уровня конфигурационную информацию, в которой присутствует адрес управляющего сервера второго уровня, откуда приходит задание загрузить троянец Trojan.PWS.OSMP с третьего сервера.

Попадая в операционную систему, Trojan.PWS.OSMP проверяет программное обеспечение, установленное на терминале, находит процесс "maratl.exe" и встраивается в него, меняя его память. Таким образом злоумышленники могут исправить любой номер счета, на который пользователи отправляют деньги.

Последняя известная модификация Trojan.PWS.OSMP, появившаяся в конце февраля 2011 года, действует уже по другой схеме. Она крадет конфигурационный файл, что, предположительно, может помочь мошенникам создать поддельный терминал на обыкновенном компьютере и направлять деньги на собственный счет в электронной форме, минуя купюроприемник.

Между тем, компания QIWI, платежные терминалы которой, по сведениям Dr.Web, подвержены заражению, заявила, что уже приняла меры по устранению возможных угроз со стороны Trojan.PWS.OSMP. Многоуровневая система защиты, применяемая в компании, способна распознать любую атаку и заблокировать поступление платежей с фальшивого терминала, созданного путем хищения конфигурационного файла. На данный момент ни один клиент компании не пострадал, никаких краж и несанкционированных действий не было зафиксировано, сообщил президент группы QIWI Андрей Романенко.