ФСБ накрыла хакерскую группировку, кравшую деньги Россиян

МВД и ФСБ России при экспертной поддержке «Лаборатории Касперского» и участии Сбербанка пресекли киберпреступную деятельность группировки, на протяжении пяти лет кравшей деньги со счетов пользователей в России и других странах СНГ с помощью банковского троянца Lurk.

Выйти на след преступников помогло участие в операции специалистов «Лаборатории Касперского»: они провели тщательный анализ вредоносного ПО, в результате чего была выявлена сетевая инфраструктура группы атакующих, установлены их личности и собраны доказательства их причастности к киберпреступлениям. В общей сложности за все время своей деятельности группировка смогла похитить более 3 миллиардов рублей. 

«Лаборатория Касперского» детектирует атаки с участием троянца Lurk с июля 2011 года. Конечная цель зловреда – доступ к системе дистанционного банковского обслуживания для непосредственной кражи денег. Однако помимо клиентов банков и самих финансовых организаций, злоумышленников, использовавших Lurk, интересовали также веб-ресурсы СМИ и новостных агрегаторов, поскольку размещение троянца на таких популярных страницах открывало им возможность широкого распространения зловреда. Заражение жертв обычно происходило либо через взломанные сайты, либо через программы-эксплойты, либо через проникновение в наименее защищенный компьютер внутри корпоративной сети организации. 

Троянец Lurk отличается хорошей технической проработкой – на протяжении пяти лет вирусописатели постоянно совершенствовали его, используя современные технологии. К примеру, он оказался одним из чрезвычайно редких зловредов, чей вредоносный код не сохраняется на жестком диске зараженного компьютера, а функционирует исключительно в операционной памяти. Помимо этого, разработчики всеми возможными средствами старались минимизировать риск детектирования троянца антивирусными программами. Киберпреступники использовали различные VPN-сервисы, анонимную сеть Tor, скомпрометированные или беспроводные точки доступа сторонних пользователей и даже серверы атакованных IT-организаций. 

«Lurk отличает высокая таргетированность – его авторы всегда делали все возможное для того чтобы заразить максимальное количество интересных им жертв, не привлекая при этом внимания аналитиков и правоохранительных органов. В ходе анализа нам удалось выяснить, что за троянцем все-таки стояла одна группировка, и по всей видимости в нее входили профессиональные разработчики и тестировщики. Наши продукты всегда распознавали и успешно блокировали деятельность зловреда, а арест его создателей, надеемся, приведет к окончательному закату Lurk», – отметил Руслан Стоянов, руководитель отдела расследования компьютерных инцидентов «Лаборатории Касперского».

Anti-Malware Яндекс ДзенПодписывайтесь на канал "Anti-Malware" в Telegram, чтобы первыми узнавать о новостях и наших эксклюзивных материалах по информационной безопасности.

PyPI приостановил регистрацию новых пользователей из-за вредоноса

Популярный репозиторий Python Package Index (PyPI) ограничил возможность регистрации новых пользователей после масштабной вредоносной кампании по распространению трояна, похищающего данные.

PyPI — одно из первых мест, куда идут разработчики на Python, пытаясь найти нужные пакеты. Из-за популярности репозиторий не раз становился объектом внимания киберпреступников.

Именно такую кампанию злоумышленники запустили на днях, из-за чего администраторам PyPI пришлось приостановить регистрацию новых пользователей на площадке.

 

О кибероперации также написали исследователи из Checkmarx. По их словам, атакующие сразу начали с загрузки 365 пакетов, чьи имена были замаскированы под легитимные проекты.

Все злонамеренные пакеты включали вредоносный код в файле «setup.py», который выполнялся в процессе установки. Этот код пытается получить дополнительный пейлоад с удалённого сервера.

Для ухода от детектирования вредонос зашифрован с помощь модуля Fernet, а URL командного центра собирается динамически при необходимости.

Конечный пейлоад представляет собой троян, ворующий данные пользователей, сохранённые в браузерах: логины и пароли, cookies и крипторасширения.

Anti-Malware Яндекс ДзенПодписывайтесь на канал "Anti-Malware" в Telegram, чтобы первыми узнавать о новостях и наших эксклюзивных материалах по информационной безопасности.

RSS: Новости на портале Anti-Malware.ru