Как сообщили эксперты Symantec, банковский троян Neverquest, появившийся в ноябре прошлого года, получил несколько новых функций. Отметим, что троян относится к семейству вредоносного ПО Snifula, известному еще с 2006 года.
Neverquest способен фиксировать нажатия клавиш на клавиатуре, делать скриншоты, похищать учетные данные и цифровые сертификаты. С его помощью злоумышленники могут получить полный контроль над инфицированным устройством и осуществить атаку «человек в браузере».
После инфицирования устройства троян соединяется с C&C-сервером, откуда загружает конфигурационный файл, который содержит код, используемый для осуществления атаки «человек в браузере». Neverquest внедряет этот код в web-страницу с целью превратить сайт в финшинговый. Попав на такой ресурс, ничего не подозревающий пользователь добровольно указывает свои конфиденциальные данные (PIN-коды, одноразовые и другие пароли, аутентификационные номера банковских транзакций и ответы на вопросы безопасности).
Конфигурационные файлы для жертв из разных стран отличаются между собой. Помимо кода в них также содержится список ссылок, определяющих типы web-сайтов, на которых нацелен Neverquest. Троян способен сканировать URL и содержимое посещаемых жертвами сайтов с целью обнаружить связи со страницами в социальных сетях, облачными сервисами, электронной почтой и т. д.
Файл, предназначенный для жертв в Германии, содержит список из десяти финансовых институтов, предназначенный для США – из пятидесяти.
