Хакеры украли у четырёх банков миллиард рублей с помощью бота

Хакеры украли у четырёх банков миллиард рублей с помощью бота

Спецслужбы раскрыли группу киберпреступников, обманувших "Промсвязьбанк", "Траст", "Уралсиб" и кредитное учреждение "Зенит". 16 молодых людей в Москве организовали банду и занялись мошенничеством в Интернете. Выбор преступников пал на банковскую сферу и операции в режиме онлайн.

Всего за четыре месяца программисты ограбили кредитные учреждения на миллиард рублей. Афера удалась благодаря специальной программе, которую они придумали.

— Группа интернет-мошенников, обладающих знаниями в области программирования и технологий, разработала бота, который в определённый момент времени после проведения транзакций со счёта на счёт производил отмены операций, — рассказал источник в правоохранительных органах. — Однако к этому времени денежные средства уже по платёжному поручению через интернет-банкинг отправлялись, а в банк команда приходила с запозданием. В основном переводы были с долларового на рублёвый счета, или с долларового на евро.

Главарь банды хакеров изучил порядок, организацию и систему функционирования банковских процессинговых систем, обрабатывающих финансовые операции в сети Интернет в режиме реального времени, а потом нашёл "единомышленников" — от водителя до обнальщиков, с которыми и осуществил аферу.

Действовали мошенники по такой схеме: заводили банковские карты на чужие имена, шли к терминалу, пополняли счёт, переходя к другому терминалу, снимали незначительную сумму и брали квитанцию, после чего, получив из банкомата квитанцию с авторизационными данными прямой легальной карточной банкоматной операции снятия денежных средств, использовали её реквизиты через ИТС Интернет и формировали подложное электронное распоряжение в виде реверсивной транзакции отмены операции снятия. В результате таких действий баланс счёта банковской карты был восстановлен и пополнен на указанную сумму. Таким образом банда хакеров-программистов смогла причинить ущерб четырём банкам на сумму свыше одного миллиарда рублей, пишет life.ru.

Что интересно, начала группа "работать" с суммы в миллион рублей, постепенно подобными операциями увеличив сумму до миллиарда.

Пострадали от действий хакеров четыре банка: "Промсвязьбанк", "Уралсиб", "Траст" и "Зенит". Тревогу забила служба безопасности одного из финансовых учреждений, после чего они обратились в управление "К" МВД РФ. После проведения расследования все участники группировки были выявлены и задержаны.

Возбуждено уголовное дело по статьям "Мошенничество" и "Организация преступного сообщества".

Anti-Malware Яндекс ДзенПодписывайтесь на канал "Anti-Malware" в Telegram, чтобы первыми узнавать о новостях и наших эксклюзивных материалах по информационной безопасности.

Волокна Windows позволяют выполнить вредоносный шеллкод незаметно для EDR

На проходящей в Сингапуре конференции Black Hat Asia были представлены два новых способа использования волокон Windows (fibers) для выполнения вредоносного кода. Один из них, Poison Fiber, допускает проведение атаки удаленно.

Автором обоих PoC является независимый ИБ-исследователь Даниел Джэри (Daniel Jary). По его словам, атаки Poison Fiber и Phantom Thread представляют собой улучшенные варианты opensource-разработок: они позволяют надежнее скрыть сторонний шеллкод или другую полезную нагрузку в системе, находящейся под защитой EDR.

Поддержка волокон была введена в Windows 3 и ранних версиях macOS в обеспечение многозадачной работы по упрощенной схеме. В те времена у процессоров было меньше ядер, и разделение рабочей нагрузки на потоки не всегда давало нужный эффект.

Концепция волокон обеспечила более мелкое дробление, уже внутри потоков. При этом они существуют только в режиме пользователя, а планирование осуществляет поток, в контексте которого они выполняются.

Для ядра ОС волокна невидимы (к планировщику заданий обращаются потоки, они и считаются исполнителями всех операций), из памяти их извлечь трудно. Подобные свойства очень привлекательны для злоумышленников: они позволяют внедрить в систему вредоносный код в обход антивирусной защиты.

Волокна и по сей день используются некоторыми процессами Windows, а также облегчают перенос приложений с других платформ. Возможность злоупотреблений проверялась неоднократно; так, в 2022 году были опубликованы PoC-методы сокрытия в волокне шеллкода и маскировки стека вызовов с помощью спящего волокна (добавлен в набор Cobalt Strike).

Разработка Phantom Thread использует второй подход, но при этом возможность обнаружить зловреда сканированием памяти полностью исключена. С этой целью создается волокно, а затем патчится таким образом, чтобы выдать его за поток.

Второй PoC, созданный Джэри (Poison Fiber), перечисляет запущенные процессы Windows и фиксирует потоки, использующие волокна, а затем предоставляет возможность внедрить пейлоад или шеллкод в спящее волокно — такие всегда найдутся на стеке. Вредоносная инъекция защиту не насторожит, как случае с остановом потока, а исполнение запустит легальная программа.

«Атаки через волокна — это не повышение привилегий, не обход UAC, но доставка полезной нагрузки при этом привлекает намного меньше внимания, — пояснил исследователь для Dark Reading. — Их легко реализовать и труднее детектировать, поэтому волокна — прекрасный вариант для любого скрипт-кидди».

Публиковать другие подробности и PoC-коды Джэри пока не собирается, но советует ИБ-службам включить Windows Fibers в список потенциальных векторов атаки, а EDR-защиту постоянно проверять на готовность к новым угрозам.

Anti-Malware Яндекс ДзенПодписывайтесь на канал "Anti-Malware" в Telegram, чтобы первыми узнавать о новостях и наших эксклюзивных материалах по информационной безопасности.

RSS: Новости на портале Anti-Malware.ru