專門針對金融機構支付相關系統的惡意程式FASTCash，北韓駭客將其用於攻擊行動的情況陸續引起美國政府關注，如今有研究人員發現，駭客擴大了攻擊範圍，開發新的惡意程式變種。

資安研究員HaxRob揭露最新一波的攻擊行動，駭客使用的惡意程式在去年6月上傳到惡意程式分析平臺VirusTotal，為專門針對Ubuntu 22.04 LTS版打造的Linux惡意軟體，研究人員特別提及，該變種程式與過往出現的Windows版及AIX版本存在高度相似之處。

針對該惡意程式的來歷，最早是美國網路安全暨基礎設施安全局（CISA）於2018年12月提出警告，指出使用該惡意程式的駭客為Hidden Cobra；後來，美國網路司令部於2020年也提出警告，當時犯案的駭客組織是Lazarus（APT38）。

此Linux版惡意程式是以共用程式庫的形式實作而成，可注入既有系統以ptrace進行系統呼叫的處理程序，後續攔截與竄改交易訊息。

支付交易伺服器主要的用途，是處理自動櫃員機（ATM）、收銀機（PoS）終端與銀行中央系統之間的通訊，若這類系統被植入FASTCash，會攔截、操縱支付卡及信用卡交易訊息。

攻擊如何進行？駭客主要是針對持卡人帳號餘額不足被拒絕交易的情況而來，竄改其結果為「核可」，一旦攻擊者成功操縱相關訊息，並傳回銀行的中央系統，持有提款卡的車手就有機會從ATM領到錢。

值得留意的是，研究人員發現的時候，尚未有防毒引擎將該Linux惡意程式視為有害，這意味著駭客犯案很可能不受資安防護系統牽制。同時，VirusTotal在今年9月也出現新的Windows版FASTCash，這代表駭客正在積極開發相關作案工具。