銀行和其他的金融機構提出更嚴格的管控，企圖將網路釣魚（Phishing）攻擊所造成的損失降到最低。網路犯罪分子並沒有因此而收手，而是開始利用新的工具來自動化網路銀行詐騙 – 自動轉帳系統（Automatic Transfer Systen，ATS）。
在之前，像ZeuS和SpyEye這些惡意軟體家族會利用Webinject檔案來修改目標公司的網站（像是銀行）。Webinject文件基本上是帶有JavaScript和HTML程式碼的文字檔，裡面包含了攻擊者想要插入到目標網站的程式碼。
但是有了自動轉帳系統，攻擊已經提升到了另一層次。不僅僅是被動地竊取資訊，自動轉帳系統讓網路犯罪分子可以在使用者不知情下立刻進行金融交易，直接搜刮使用者的銀行帳戶。不再需要使用者去輸入帳號和密碼，自動轉帳系統可以讓網路犯罪分子從受害者的銀行帳戶不留痕跡的自動將錢轉到自己的帳戶底下。
這份研究報告包含了趨勢科技對自動轉帳系統的初步研究。在研究的過程中，我們找到自動轉帳系統的關鍵部分，確定某些已知的目標，並且更加深入地下世界去找出生產和銷售自動轉帳系統的黑幕。
完整的內容可以參考我們的研究報告 – 「自動化網路銀行詐騙」，你可以點選下列圖檔來下載：
- 趨勢科技「自動化網路銀行詐騙」研究報告
以下是說明這種攻擊的資料圖表：
- 自動化網路銀行詐騙
自動化網路銀行詐騙
狡猾的網路犯罪份子不會停止去覬覦你的資料。一種新興的威脅稱為自動轉帳系統，可以讓詐騙份子在你不知情下從你的帳號提錢，甚至可以不留痕跡。
它是什麼？
自動轉帳系統是網路犯罪份子所使用的新工具，結合已知的SpyEye和ZeuS銀行木馬軟體。
它有多陰險？攻擊者完全不需要現身，而且使用者也完全毫無察覺。
- 它如何運作？
它如何運作？
受害者電腦會在背景執行一個腳本，它會初始化提款交易，並將錢轉到錢騾帳戶。
- 銀行網站 使用者看到或沒看到什麼？
銀行網站
使用者看到或沒看到什麼？
自動轉帳系統腳本修改帳戶金額並且隱藏非法交易，以對受害者隱藏他們的痕跡。
只要系統裡還感染著自動轉帳系統，使用者就不會在他/她的帳戶裡看到非法交易。
這感染會將假資料插入到網路銀行連線，所以使用者不會察覺有問題發生。
- 接著錢騾帳號會將錢轉給網路犯罪份子
接著錢騾帳號會將錢轉給網路犯罪份子
使用者無法在他們的網路銀行裡看到這筆交易。加上之前的網路銀行詐騙手法，攻擊者會製造假的跳出視窗來誘騙使用者提供自己的銀行帳號資訊。因為使用者認為這是在可信賴的網站上。
- 保護自己
保護自己
要防禦自動轉帳系統必須先從感染來源開始封鎖。它可能來自網路釣魚（Phishing）（連結或附加檔案）或是來自惡意網站或入侵淪陷網站的路過式下載（Drive-by-Download）。
使用者需要確保他們的安全防護包含了網頁威脅防護。同時還有進階的瀏覽器防護。
一旦感染，使用者很難去確認自己是否中毒了。而且自動轉帳系統會在後端執行惡意交易，所以使用者要時常地用網路銀行以外的方式來檢查帳戶交易狀況（像是電話，電子郵件，或是一般信件）。
＠原文出處：Evolved Banking Fraud Malware: Automatic Transfer Systems 作者：Loucif Kharouni（資深威脅研究員）
【立即下載試用PC-clin 2012 雲端版 臉書地雷區 bye bye~】
◎ 免費下載防毒軟體：歡迎即刻免費下載試用NSSLABS 最新防毒軟體測試第一名的防毒軟體PC-cillin 2012 即刻【按這裡下載】
@參考推文
雲端系！史上最強防毒軟體現身
看更多<PC-cillin真的不一樣>100字推文
◎ 歡迎加入趨勢科技社群網站
