trojan bankowy

Trojan bankowy to koń trojański wyspecjalizowany w atakach na bankowość elektroniczną. Wykrada dane logowania i kody autoryzacyjne, nakłada fałszywe ekrany na aplikację banku albo podmienia dane przelewu, na przykład numer rachunku odbiorcy. CERT Polska opisuje takie programy zarówno na komputerach, jak i na telefonach z Androidem: w 2019 roku szkodliwa aplikacja podszywająca się pod InPost okazała się trojanem bankowym Cerberus ^[1]. Trojan bankowy jest odmianą złośliwego oprogramowania (malware), której celem są bezpośrednio pieniądze ofiary.

Jak działa

Trojan bankowy nie łamie zabezpieczeń banku. Atakuje urządzenie klienta, bo tam dane są jawne: klient wpisuje hasło, widzi numer rachunku i zatwierdza przelew. Program, który kontroluje przeglądarkę albo ekran telefonu, może te dane odczytać i zmienić.

Na komputerach najczęstszą techniką jest wstrzykiwanie kodu do przeglądarki, tak zwany webinject. MITRE opisuje, że Dridex wykonuje ataki przez web injects, żeby kraść dane logowania, certyfikaty i ciasteczka, a TrickBot używa ich z przekierowaniem, żeby nakłonić użytkownika do podania danych na fałszywej lub zmodyfikowanej stronie ^[5]. Polski BackSwap podmieniał numer rachunku odbiorcy przelewu za pomocą wstrzykniętego kodu JavaScript ^[2]. Przebieg takiego ataku pokazuje schemat poniżej.

RYS. 1Podmiana rachunku przez webinject

Na telefonach działa nakładka (overlay) na aplikację bankową. CERT Polska opisuje, że Cerberus przysłaniał ekran nakładkami, żeby wykradać dane logowania do popularnych aplikacji. Nakładki pobierał z serwera w trakcie działania, pod warunkiem że na telefonie była aplikacja, dla której przestępcy mieli przygotowany wzór ^[1]. Głównym wektorem były usługi ułatwień dostępu: po uzyskaniu zgody trojan sam nadawał sobie kolejne uprawnienia, w tym odczyt i wysyłanie SMS-ów ^[1]. Odczyt SMS-ów pozwala przechwycić kod jednorazowy (OTP) z banku.

Techniki

Trojany bankowe rzadko działają samodzielnie. Zwykle instaluje je wcześniejszy etap infekcji: dropper albo loader. CERT Polska opisał Ostapa, dropper w języku JScript rozwijany od 2016 roku, który rozsyłano w kampaniach z fałszywymi fakturami i który instalował trojany BackSwap i Nymaim ^[3]. Zdarza się też odwrotna ewolucja. Emotet pojawił się według MITRE w czerwcu 2014 roku jako narzędzie wymierzone w sektor finansowy, a później stał się głównie programem pobierającym inne złośliwe oprogramowanie, takie jak TrickBot i IcedID ^[6].

W WordPressie

Trojan bankowy działa na urządzeniu użytkownika, nie na serwerze WordPressa. Strony WordPress są jednak z nim związane na dwa sposoby.

Przejęte strony jako kanał dystrybucji. Atakujący wykorzystują zainfekowane witryny do kierowania odwiedzających na złośliwe pliki. Badacze GoDaddy opisali kampanię DollyWay, która działa wyłącznie na stronach WordPress. W lutym 2025 roku widzieli ponad 10 000 zainfekowanych witryn ^[7]. Obecnie kampania zarabia głównie na złośliwych przekierowaniach, ale jej wcześniejsze odsłony przenosiły też ransomware i trojany bankowe ^[7]. Złośliwy kod był wstrzykiwany do wszystkich aktywnych wtyczek, a przestępcy zakładali ukryte konta administratora ^[7]. Właściciel takiej strony staje się nieświadomym pośrednikiem infekcji swoich klientów.

Komputer administratora. Trojan, który kradnie ciasteczka i dane logowania z przeglądarki ^[5], przechwyci też sesję panelu WordPressa, panelu hostingu i poczty. Skutkiem jest przejęcie konta bez łamania hasła. Nie chroni przed tym nawet uwierzytelnianie wieloskładnikowe (MFA), jeśli ukradziona zostanie już zalogowana sesja.

Po stronie serwera odpowiednikiem trojana bankowego jest web skimming: skrypt wstrzyknięty w sklep, który przechwytuje dane kart w przeglądarce kupującego. Mechanizm jest podobny, różni się miejsce, w którym kod się znajduje.

Zagrożenia i skutki

Bezpośrednim skutkiem jest kradzież pieniędzy przelewem, którego ofiara sama nie zleciła albo który zatwierdziła, widząc sfałszowane dane. Trojany kradną też dane: Cerberus przechwytywał SMS-y, komunikację oraz dane logowania do aplikacji bankowych i poczty ^[1]. Flubot według opisu Niebezpiecznika wykradał z telefonów listę kontaktów i używał jej do wysyłania kolejnych SMS-ów z linkiem, czyli rozprzestrzeniał się sam ^[4].

Jak się bronić

• Instaluj aplikacje tylko z oficjalnego sklepu. CERT Polska zaleca nie instalować aplikacji spoza Google Play i zwracać uwagę na nadawane uprawnienia ^[1]. Instalowanie z innych źródeł to sideloading.
• Uważaj na natarczywe prośby o uprawnienia, zwłaszcza o dostęp do ułatwień dostępu, na których opierał się Cerberus ^[1].
• Sprawdzaj numer rachunku w potwierdzeniu z banku, a nie tylko na ekranie przelewu. Podmiana następuje w przeglądarce ^[2], więc SMS lub powiadomienie z aplikacji na innym urządzeniu pokazuje dane, które naprawdę dotarły do banku.
• Nie otwieraj nieoczekiwanych załączników. Ostap trafiał do ofiar jako duże skrypty JSE w archiwach dołączonych do maili ^[3]; to klasyczny phishing.
• Dbaj o stronę WordPress, żeby nie stała się pośrednikiem. Aktualne wtyczki i kontrola kont administratorów ograniczają ryzyko kampanii takich jak DollyWay ^[7].

Historia i przykłady

• BackSwap (2018). CERT Polska wykrył go około marca 2018 roku; to odmiana starego trojana TinBa, zwykle o rozmiarze 10–50 kB ^[2]. Analiza ukazała się 19 czerwca 2018 roku ^[2].
• Cerberus (2019). 31 października 2019 roku CERT Polska opublikował analizę trojana rozsyłanego SMS-ami z linkiem do fałszywej aplikacji InPost ^[1].
• Flubot (2021). W kwietniu 2021 roku polscy użytkownicy dostawali SMS-y podszywające się pod DHL z linkiem do pliku dhl.apk ^[4]. To przykład smishingu jako kanału dystrybucji.