<html><body><div style="color:#000; background-color:#fff; font-family:HelveticaNeue, Helvetica Neue, Helvetica, Arial, Lucida Grande, Sans-Serif;font-size:12pt"><div></div><div style="line-height: 19.1875px; margin-bottom: 20px; font-family: Calibri, Helvetica, Arial, sans-serif;"><span style="font-weight: bold;">Kaptoxa</span><br></div><div style="line-height: 19.1875px; margin-bottom: 20px; font-family: Calibri, Helvetica, Arial, sans-serif; color: rgb(0, 0, 0); font-size: 16px; background-color: transparent; font-style: normal;">Kaptoxa (pronounced kar-toe-sha) is a type of point-of-sale (POS) <a href="http://searchmidmarketsecurity.techtarget.com/definition/malware" style="color: rgb(102, 51, 102); outline-width: 0px;">malware</a> designed to compromise payment information systems. </div><div style="line-height: 19.1875px; margin-bottom: 20px; font-family: Calibri, Helvetica, Arial, sans-serif;">This malware, a type of <a
 href="http://searchsecurity.techtarget.com/definition/memory-scraping-malware" style="color: rgb(102, 51, 102); outline-width: 0px;">memory-scraping malware</a>, is believed to have been used in several retail data security breaches in 2013, including the attack that compromised the payment data of as many as 70 million customers who shopped at Target, the second-largest discount retailer in the United States. Kaptoxa, which is Russian slang for "potato," has also been nicknamed the "potato malware."</div><div style="line-height: 19.1875px; margin-bottom: 20px; font-family: Calibri, Helvetica, Arial, sans-serif;">Kaptoxa was designed to reside in <a href="http://whatis.techtarget.com/definition/point-of-sale-terminal-POS-terminal" style="color: rgb(102, 51, 102); outline-width: 0px;">POS terminals</a> and monitor the information being processed by payment application programs. Though payment card security best practices require that
 merchants <a href="http://searchsecurity.techtarget.com/definition/encryption" style="color: rgb(102, 51, 102); outline-width: 0px;">encrypt</a> credit card data at the point of sale, in most cases there is a brief period during the payment authorization process when payment card data is stored unencrypted in <a href="http://searchmobilecomputing.techtarget.com/definition/RAM" style="color: rgb(102, 51, 102); outline-width: 0px;">RAM</a>. This is the point at which Kaptoxa is able to access and copy payment card data, including credit and debit card numbers, personal identification numbers (PINs), expiration dates, email addresses, consumer addresses and telephone numbers.</div><div style="line-height: 19.1875px; margin-bottom: 20px; font-family: Calibri, Helvetica, Arial, sans-serif;">Once copied, the data resides on affected POS terminals for a period of time until it is aggregated to a central location. In the Target breach, the
 malware checked the local time every seven hours, and if it was between 10:00 a.m. and 5:00 p.m., it would send the information over a temporary <a href="http://searchnetworking.techtarget.com/definition/NetBIOS" style="color: rgb(102, 51, 102); outline-width: 0px;">NetBIOS</a> share to an internal host inside the compromised network over <a href="http://searchnetworking.techtarget.com/definition/TCP" style="color: rgb(102, 51, 102); outline-width: 0px;">TCP</a> port 139, 443 or <a href="http://searchnetworking.techtarget.com/definition/port-80" style="color: rgb(102, 51, 102); outline-width: 0px;">80</a>. From this host, the attacker used a series of remote<a href="http://searchenterprisewan.techtarget.com/definition/File-Transfer-Protocol" style="color: rgb(102, 51, 102); outline-width: 0px;">FTP</a> transfers to retrieve the stolen data.</div><div style="line-height: 19.1875px; margin-bottom: 20px; font-family: Calibri,
 Helvetica, Arial, sans-serif;">A report issued by computer research firm iSIGHT Partners in conjunction with the U.S. Secret Service, <a href="http://searchcompliance.techtarget.com/definition/US-Department-of-Homeland-Security-DHS" style="color: rgb(102, 51, 102); outline-width: 0px;">Department of Homeland Security</a> and Financial Service Information Sharing and Analysis Center confirmed that Kaptoxa – also known by its file name, "Trojan.POSRAM" – was derived from the BlackPOS malware and was written partially in Russian.</div><div style="line-height: 19.1875px; margin-bottom: 20px; font-family: Calibri, Helvetica, Arial, sans-serif;">According to a January 2014 iSIGHT analysis, Kaptoxa had a 0% detection rate among the major commercial <a href="http://searchsecurity.techtarget.com/definition/antimalware" style="color: rgb(102, 51, 102); outline-width: 0px;">antimalware</a> products. Target says that none of its 40
 commercial antimalware tools flagged Kaptoxa as malicious. It also bypassed more than two dozen antimalware tools employed by federal investigators in their December 2013 analysis, causing them to call Kaptoxa one of the most scalable and sophisticated malware instances in history.</div><div><span style="font-family: Calibri, Helvetica, Arial, sans-serif; line-height: 19.1875px; font-size: 12pt;"> </span> </div><div><font color="#a2a2a2"><font color="#737373">------------------------------<br>Adili David Marandu, <br></font></font><font color="#a2a2a2"><br><br></font><br></div></div></body></html>