Mais de 150.000 computadores , a maioria deles pertencentes a usuários australianos, foram infectados com este malware desde 2012 e foram adicionados a um botnet que os pesquisadores do Grupo-IB apelidaram de “Kangaroo” ou “Kangoo”, depois de um logotipo canguru usado no comando e controle A interface do servidor, Andrey Komarov, diretor de projetos internacionais do Group-IB, disse quarta-feira via e-mail.

[Leia mais: Como remover malware do seu PC com Windows]

Como a maioria dos Trojan financeiros Carberp suporta o uso de “Web injects” - scripts especiais que dizem ao malware como interagir com sites específicos de bancos online. Esses scripts permitem que os invasores participem de uma sessão bancária ativa da vítima, iniciem transferências não autorizadas, ocultem saldos de contas e exibam formulários e mensagens maliciosas que parecem originar-se do banco.

A variante Carberp destinada a usuários australianos contém Web injeta para a Internet sites bancários do Commonwealth Bank, do Bank of Queensland, do Bendigo Bank, do Adelaide Bank e do ANZ. O malware é capaz de seqüestrar o destino das transferências de dinheiro em tempo real e usa limites de transferência específicos para evitar levantar bandeiras vermelhas, disse o Grupo

. O Grupo-IB acredita que os criminosos cibernéticos por trás dessa operação estão localizados nos estados da antiga União Soviética. No entanto, o grupo tem contatos com serviços de mulas de dinheiro na Austrália, bem como suas próprias "contas corporativas" - contas bancárias registradas em negócios simulados no país, disse Komarov. Os atacantes criam milhares de páginas da Web crivadas de termos de o setor bancário que mais tarde aparece nos resultados de busca da Web para palavras-chave específicas, uma técnica conhecida como otimização de mecanismo de busca de black hat, disse Komarov. Os usuários que visitam essas páginas são redirecionados para sites de ataque que hospedam explorações de vulnerabilidades em plug-ins como Java, Flash Player, Adobe Reader e outros, disse ele.

O número de 150.000 computadores infectados não é o número de usuários ativos no momento. Os clientes de botnet, mas uma contagem histórica de infecções únicas desde 2012 reuniram-se a partir do servidor de comando e controle da botnet, disse Komarov. Além disso, nem todos os usuários afetados realmente usam serviços bancários on-line, disse ele. A taxa é de aproximadamente uma em cada três vítimas, estimou ele.

O Group-IB disse que está trabalhando com os bancos alvo e compartilhou as informações coletadas do servidor de comando e controle da botnet com eles, incluindo credenciais de contas comprometidas e Endereços de protocolo da Internet dos computadores infectados.