В Group-IB рассказали о новых атаках на банки хакеров из группировки Cobalt
29 мая 2018 года
Компания Group-IB, занимающаяся расследованиями киберпреступлений, сообщила о новых массовых атаках хакеров группировки Cobalt, целями которых стали ведущие банки России и СНГ, а также зарубежные финансовые организации, передает ТАСС. В Центробанке отметили, что банки были своевременно проинформированы об этих атаках.
В Group-IB сообщили, что зафиксировали две волны фишинговых рассылок, организованных хакерами. Первая из них произошла днем 23 мая, через пять месяцев после декабрьской атаки Cobalt на российские организации. При этом хакеры впервые рассылали письма от имени крупного антивирусного вендора - рассылка осуществлялась с домена kaspersky-corporate.com, который не принадлежит «Лаборатории Касперского». В ходе работы специалисты Group-IB установили связь этого домена с лицом, на которое были ранее зарегистрированы домены для атак Cobalt.
Во время этой атаки хакеры рассылали пользователям «жалобы» на английском языке якобы об обнаружении активности, нарушающей существующее законодательство. Получателю предлагалось ознакомиться с вложенным письмом (это привело бы к заражению компьютера) и предоставить детальные объяснения. Если ответ не поступит в течение 48 часов, «антивирусная компания» угрожала наложить санкции на web-ресурсы получателя.
Представители «Лаборатории Касперского» подтвердили факт рассылки, а также сообщили, что домены, которые использовали хакеры, были заблокированы. В компании также подчеркнули, что вредоносное программное обеспечение Cobalt изначально детектировалось и блокировалось защитными решениями «Лаборатории Касперского».
Вторая волна фишинговой рассылки произошла 28 мая. В этот раз злоумышленники маскировались под Центральный европейский банк - в письме находилась ссылка на документ с разрешением .doc, в котором якобы содержалось описание финансовых рисков. На самом деле этот документ Word эксплуатировал уязвимость CVE-2017-11882.
«В результате открытия эксплойта и успешной эксплуатации уязвимости произойдет заражение и первичное «закрепление» вредоносной программы в системе банка с помощью уникального загрузчика JS-backdoor, уникальной разработки Cobalt», - сообщили в Group-IB.
Как полагают в компании, жертвами новых атак Cobalt могли стать не только банки России и СНГ, поскольку оба письма были составлены на английском языке и отличались высоким качеством, что нехарактерно для Cobalt. Эта деталь, как и ряд других признаков, указывает на возможное сотрудничество членов Cobalt с другими группами, в частности Anunak.
Напомним, группировка Cobalt считается одной из самых агрессивных русскоговорящих хакерских групп в мире. Она действует с 2013 года и, согласно данным Европола, за все время работы этой группировке удалось похитить свыше 1 млрд евро. Жертвами группировки Cobalt стали финансовые структуры более чем в 40 странах, включая Россию, Великобританию, Нидерланды, Испанию и другие страны. В марте этого года в Испании был арестован лидер Cobalt, однако группа сохранила свою активность.
Источники
править
Любой участник может оформить статью: добавить иллюстрации, викифицировать, заполнить шаблоны и добавить категории.
Любой редактор может снять этот шаблон после оформления и проверки.
Комментарии
Если вы хотите сообщить о проблеме в статье (например, фактическая ошибка и т. д.), пожалуйста, используйте обычную страницу обсуждения.
Комментарии на этой странице могут не соответствовать политике нейтральной точки зрения, однако, пожалуйста, придерживайтесь темы и попытайтесь избежать брани, оскорбительных или подстрекательных комментариев. Попробуйте написать такие комментарии, которые заставят задуматься, будут проницательными или спорными. Цивилизованная дискуссия и вежливый спор делают страницу комментариев дружелюбным местом. Пожалуйста, подумайте об этом.
Несколько советов по оформлению реплик:
- Новые темы начинайте, пожалуйста, снизу.
- Используйте символ звёздочки «*» в начале строки для начала новой темы. Далее пишите свой текст.
- Для ответа в начале строки укажите на одну звёздочку больше, чем в предыдущей реплике.
- Пожалуйста, подписывайте все свои сообщения, используя четыре тильды (~~~~). При предварительном просмотре и сохранении они будут автоматически заменены на ваше имя и дату.
Обращаем ваше внимание, что комментарии не предназначены для размещения ссылок на внешние ресурсы не по теме статьи, которые могут быть удалены или скрыты любым участником. Тем не менее, на странице комментариев вы можете сообщить о статьях в СМИ, которые ссылаются на эту заметку, а также о её обсуждении на сторонних ресурсах.
