Хакеры провели атаку на российские банки от имени Центробанка
16 ноября 2018 года
Хакеры из группы Silence разослали 15 ноября российским банкам письма с вредоносным программным обеспечением от имени Центрального банка России. Об этом заявили в международной компании Group-IB (Архивная копия от 5 августа 2021 на Wayback Machine), специализирующейся на предотвращении кибератак.
По информации компании, в письмо с заголовком «Информация центрального банка Российской Федерации» предлагалось ознакомиться с постановлением «Об унифицировании формата электронных банковских сообщений ЦБ РФ» и незамедлительно приступить к исполнению «приказа». Для этого нужно было скачать и распаковать архив Silence.Downloader, где и содержался вирус.
«Стиль и оформление письма практически идентичны официальным рассылкам регулятора. Скорее всего, хакеры имели доступ к образцам подлинных сообщений», - рассказали в Group-IB.
Эксперты пояснили, что для этого злоумышленники могли взломать почтовые ящики сотрудников банка или провели тестирование безопасности компьютерных систем с помощью моделирования хакерской атаки.
Получателями рассылки от 15 ноября стали не менее 52 банков в России и не менее 5 банков за рубежом. Но, основываясь на данных по предыдущим атакам, можно предположить, что были атакованы более 100 организаций. Как минимум три банка из атакованных входят в топ-30, отмечает The Bell.
Эксперты считают, что участниками Silence являются люди, предположительно занимавшиеся или занимающиеся легальной работой - пентестами и реверс-инжинирингом. Именно поэтому они хорошо знакомы с документооборотом в финансовом секторе и работой банковских систем.
Впервые Silence зафиксировали в 2016 году. Хакеры этой группы атакуют цели в России, на Украине, в Белоруссии, Азербайджане, Польше и Казахстане, пишет «Новая газета». В основном хакеры искали бреши в системе управления банкоматов, карточном процессинге и российской системе межбанковских переводов АРМ КБР.
Ранее сообщалось, что Silence удалось похитить 52 млн рублей только из российских банков.
В «Лаборатории Касперского» «Интерфаксу» сообщили, что тожезафиксировали фишинговую рассылку, маскирующуюся под ЦБ, 15 ноября.Ведущий антивирусный эксперт «Лаборатории Касперского» Сергей Головановпередал через пресс-службу, что эта рассылка стала частью целевой атакиThe Silence, впервые зафиксированной в октябре 2017 года.
Сколько банков попались на удочку хакеров - непонятно. ЦБ утверждает, что банки были предупреждены, но у Group-IB есть информация по крайней мере о двух случаях, когда сотрудники банков открывали письма с вредоносными программами.
В дальнейшем злоумышленники могут вывести деньги через банкоматы зараженного банка, отправив деньги на свои карты, или через систему межбанковских переводов, говорит Рустам Миркасымов, эксперт по кибербезопасности Group-IB. Причем это происходит не сразу, а через несколько недель или месяцев.
Еще одна хакерская атака аналогичного типа была проведена 23 октября с поддельного адреса ФинЦЕРТ (структура Департамента информационной безопасности ЦБ). Рассылка содержала пять вложений, стилизованных под официальные документы ЦБ. Среди них: «Типовая форма соглашения о взаимодействии Центрального банка Российской Федерации по вопросам мониторинга и обмена.doc». Три файла из пяти являлись пустышками-приманками, а два других содержали загрузчик Meterpreter Stager.Для управления этой атакой использовались самоподписанные SSL-сертификаты.
К этой атаке имеет отношение хакерская группа MoneyTaker. Серверная инфраструктура, задействованная злоумышленниками, ранее неоднократно использовалась MoneyTaker.
Аналитики считают, что образцы документов ЦБ хакеры получили из ранее скомпрометированных почтовых ящиков сотрудников российских банков.
Фишинговая рассылка, сделанная от имени ЦБ - довольно распространенный среди киберпреступников вектор атаки, им пользовались группы Buhtrap, Anunak, Cobalt, Lurk. Например, в марте 2016 года злоумышленники рассылали фишинговые письма с info@fincert.net.
Источники
править
Любой участник может оформить статью: добавить иллюстрации, викифицировать, заполнить шаблоны и добавить категории.
Любой редактор может снять этот шаблон после оформления и проверки.
Комментарии
Если вы хотите сообщить о проблеме в статье (например, фактическая ошибка и т. д.), пожалуйста, используйте обычную страницу обсуждения.
Комментарии на этой странице могут не соответствовать политике нейтральной точки зрения, однако, пожалуйста, придерживайтесь темы и попытайтесь избежать брани, оскорбительных или подстрекательных комментариев. Попробуйте написать такие комментарии, которые заставят задуматься, будут проницательными или спорными. Цивилизованная дискуссия и вежливый спор делают страницу комментариев дружелюбным местом. Пожалуйста, подумайте об этом.
Несколько советов по оформлению реплик:
- Новые темы начинайте, пожалуйста, снизу.
- Используйте символ звёздочки «*» в начале строки для начала новой темы. Далее пишите свой текст.
- Для ответа в начале строки укажите на одну звёздочку больше, чем в предыдущей реплике.
- Пожалуйста, подписывайте все свои сообщения, используя четыре тильды (~~~~). При предварительном просмотре и сохранении они будут автоматически заменены на ваше имя и дату.
Обращаем ваше внимание, что комментарии не предназначены для размещения ссылок на внешние ресурсы не по теме статьи, которые могут быть удалены или скрыты любым участником. Тем не менее, на странице комментариев вы можете сообщить о статьях в СМИ, которые ссылаются на эту заметку, а также о её обсуждении на сторонних ресурсах.
