Компания «Доктор Веб» исследовала вредоносную программу Trojan.Proxy2.102, предназначенную для кражи денег с банковских счетов. Для достижения своей цели троянец использует достаточно простой метод — запустившись на атакуемом устройстве, он устанавливает в системе корневой цифровой сертификат и изменяет настройки соединения с интернетом, прописывая в них адрес принадлежащего злоумышленникам прокси-сервера.
С этого момента любые обращения браузера к веб-страницам системы интернет-банкинга кредитных организаций осуществляются через прокси-сервер киберпреступников. С его помощью в страницы систем «банк-клиент» при открытии на инфицированном компьютере встраивается постороннее содержимое, позволяющее злоумышленникам похищать деньги с банковских счетов жертвы. В настоящий момент установлено, что Trojan.Proxy2.102 способен подменять содержимое интернет-ресурсов online.sberbank.ru, online.vtb24.ru и online.rsb.ru. Поскольку троянец предварительно устанавливает на зараженном компьютере поддельный цифровой сертификат, с использованием которого подписывает соответствующие веб-страницы, пользователь вряд ли сможет вовремя заметить подмену.
После успешной установки троянец отправляет сообщение об этом событии на управляющий сервер. Поскольку он никак не регистрирует себя в автозагрузке, после выполнения своих вредоносных действий троянец переходит в бесконечный спящий режим.
