В Сети зафиксированы попытки распространения нового троянского ПО «Tand of Thief», предназначенного для осуществления банковского мошенничества. Примечательной особенность нового вредоносного ПО в том, что оно нацелено на поражение пользователей Linux, а не Windows.

Троянская часть Tand of Thief напоминает распространяемые для Windows троянские пакеты на основе наборов Citadel и Blackhole, и включает в себя систему перехвата параметров входа в банковские online–сервисы и реализацию бэкдора для приёма управляющих команд и отправки накопленных данных злоумышленникам (в состав также входит прокси SOCKS5 и backconnect shell). Примечательной особенностью Tand of Thief является поддержка расширенных методов атаки, например, троянское ПО может вставлять контролируемое злоумышленником содержимое в открываемые пользователем легитимные web–страницы банковских систем.

В силу разнородности Linux–систем и затруднения распространения ПО через эксплуатацию уязвимостей (для каждой сборки дистрибутива необходимо использовать отдельный вариант эксплоита), для интеграции Tand of Thief на машины пользователей разработчиками трояна предлагается использовать методы социальной инженерии. Для управления работой трояна подготовлен специальный web–интерфейс, позволяющий злоумышленнику контролировать поражённые машины.

Разработчики пытаются продавать систему в хакерских форумах по цене $2000. По заявлению продавцов, троян уже опробован в работе в 15 дистрибутивах Linux, включая Ubuntu, Fedora и Debian, и поддерживает 8 типов десктоп–окружений, в том числе GNOME и KDE. Перехват HTTP– и HTTPS–сессий реализован для Linux–сборок Firefox, Google Chrome, Chromium, Aurora и IceWeasel. После активации троян блокирует доступ к адресам, с которых осуществляется установка обновлений или загрузка антивирусного ПО. Для защиты от анализа в трояне предусмотрены средства противодействия отладке и запуску в изолированных и виртуальных окружениях.