FireEye发现新型POS恶意软件NitlovePoS

　　FireEye研究人员发现了一种通过垃圾邮件使用新的POS恶意软件NitlovePoS，它可以捕获和跟踪支付卡行为，并扫描已经感染的机器。

　　FireEye宣称，黑客们搞了一个新花样，他们使用带有敏感字眼的邮件主题来吸引人们的眼球：如找工作、空缺职位、实习、招聘、就业简历之类。这些钓鱼邮件从5月20号开始，向向众人的邮箱批量轰炸。在邮件里可能会附带一个名为“CV_XXXX（四位数字）。doc”附件，或者“My_Resume_xxxx（四位数字）。doc”附件。这类附件文档乍一看有点像投来的简历，其实它只是宏病毒。如果受害者打开了该文档，并启用了宏。这时，宏病毒会自动下载执行一个来自80.242.123.155/exe/dro.exe的恶意exe文件。当下，这场钓鱼活动还在持续进行，其中附带下载的恶意软件也在不断的更新。

　　FireEye的专家说，“为了欺骗受害人打开文档，该文档会伪装自己为‘保护文档（protected document）’。然而我们没有被表象所迷惑，而是把关注重点更多的放在了‘pos.exe’上，也就是NitlovePoS，大家都怀疑它是针对POS机的病毒。我们推测，一旦攻击者选定了受害人，它就可以远程控制受害人机器下载POS机病毒。我们在监测时，发现在众多的exe下载链接中，只有三条链接是下载的pos.exe。”

　　机器被感染后，恶意软件会把自己添加到注册表启动项里。NitlovePoS运行时，需使用“-”加参数才能正常运行，否则它不会有任何恶意行为。这个特殊的性能可以帮助它绕过一些简单的安全检测，特别是那些针对自动化检查的安全软件。

　　ireEye表示，“如果给NitlovePoS设置了正确的参数，NitlovePoS会在内存中解码，并开始寻找支付卡相关的数据。如果没有成功，它会休眠五分钟，然后继续开始尝试。”

　　NitlovePoS软件不算特别，自2015年开始已经出现了大量POS恶意软件，比如Punkey和FighterPOS。

　　FireEye的专家提醒，“我们需要知道的是，我们已经有不少办法来保护POS机环境。比如说下一代防火墙，它就使用了网络隔离技术。下一代防火墙（NGFW）的关键优势在于，它们提供了网络隔离，将应用服务器和数据根据不同的风险点和安全级别进行划分并做严密的访问控制。”

　　随着POS恶意软件的广泛使用，它们也更加容易被发现和检测。另外，随着新技术的发展，就算不同恶意软件有着一定的相似性，想要检测出新的变种仍然是比较困难的。所以，网络犯罪却由此也有了新的希望，功能相似的新版本POS恶意软件也会继续出现，以满足网络犯罪市场的需求。