PoSeidon POS Malaware - brief description

1. Rappresenta un nuovo tipo di malaware sofisticato e modulare sviluppato per colpire specificatamente i sistemi POS per
intercettare i dati di carta di credito presenti in plaintex nella memoria RAM ed “esfiltrarli” verso server esteri (in
particolare russi) per raccoglierli e poi venderli.
Ad alto livello il processo di “infezione” parte
con l’attivazione di un file binario (Loader) che
una volta eseguito cercherà di garantire la
“persistenza” sulla macchina target per
sopravvivere ad un possibile riavvio del
sistema.
Il Loader contatta un server remoto
recuperando da un URL che contiene un
ulteriore file da scaricare ed eseguire.
Il file scaricato FindStr installa un kaylogger per
© 2015 BL4CKSWAN SRL – NEWS PUBBLIC
PoSeidon
Il file scaricato FindStr installa un kaylogger per
intercettare le credenziali perr accedre da
remoto attraverso LogMeIn e scansiona la
memoria e analizza la memoria del dispositivo
POS per identificare sequenze numeriche che
possono appartenere a dati di carta di credito.
Dopo la verifica che i dati sono effettivamente
dati di carta di credito, i dati ricevuti dalla
tastiera e i dati di carta di credito sono
codificati e inviati al server di “esfiltrazione”
Per maggiori dettagli tecnici si rimanda a: http://blogs.cisco.com/security/talos/poseidon