Aktywność zagrożenia została odnotowana po raz pierwszy na początku tego roku. Początkowo złośliwe oprogramowanie atakowało serwisy pośredniczące w wymianie kryptowalut. W pierwszej połowie marca zagrożenie zmieniło jednak wektor ataku i za swój cel obrało klientów pięciu czołowych polskich banków, tj.:

• mBanku,
• ING Banku Śląskiego,
• BZ WBK,
• PKO BP,
• Pekao SA.

Malware o nazwie BackSwap odkrył Paweł Śmierciak, analityk zagrożeń w ESET. Zagrożenie jest dystrybuowane za pośrednictwem wiadomości e-mail, zawierających zainfekowany załącznik, który wygląda jak faktura. Po jego otworzeniu, rozpoczyna się instalacja docelowego zagrożenia – BackSwap (Win32/BackSwap.A). Jego działanie polega na stałym monitorowaniu zachowania użytkownika w przeglądarce internetowej. W momencie, gdy BackSwap wykryje, że ofiara otwiera stronę swojego banku, sprawdza, czy znajduje się na zdefiniowanej przez cyberprzestępców liście celów. Jeśli tak jest, dokonuje wszczepienia złośliwego skryptu (albo do konsoli w przeglądarce, albo bezpośrednio do paska adresowego widocznego w oknie przeglądarki). Kiedy klient banku wykonuje przelew na kwotę większą niż 10 tysięcy złotych, skrypt niezauważalnie podmienia numer konta i pieniądze trafiają bezpośrednio do cyberprzestępcy.

Analitycy zagrożeń podkreślają, że nie jest znana dokładna liczba poszkodowanych klientów banków, ani też kwota, jaką cyberprzestępcy zdołali wyprowadzić z rachunków swoich ofiar.

Źródło: ESET