Вымогатели Werewolves предлагают инсайдерам $1 млн за компромат

Вымогатели Werewolves предлагают инсайдерам $1 млн за компромат

Специалисты ИБ-компании F.A.С.С.T. выявили новую группу вымогателей, атакующих российские организации. Злоумышленники называют себя Werewolves («оборотни») и оперируют клоном шифровальщика LockBit.

Кибергруппа Werewolves (не путать с APT Core Werewolf, атакующей российскую оборонку и КИИ с целью шпионажа) использует схему двойного шантажа: дополнительно крадет данные и угрожает публикацией в случае неуплаты выкупа за дешифратор. Новоявленные «оборотни» активно ищут партнеров («вольных пентестеров») и инсайдеров, способных сообщить компромат на руководство за плату в $1 миллион.

В качестве начального вектора атаки злоумышленники используют плохо защищенные публичные сервисы. Шифровальщик, которым они оперируют, представляет собой модификацию LockBit 3.0 (Black), созданную с помощью слитого в Сеть билдера. В атаках Werewolves также замечен утекший инструментарий Conti.

Сайт утечек Werewolves оформлен на русском и английском языках. В период с мая по октябрь на нем появилось более 20 записей о жертвах, в том числе 15 российских (микрофинансовые организации, предприятия нефтегазового сектора, отели, ИТ-компании). Справки включают нелестные отзывы об уровне ИБ: «Данные клиентов и гостей не защищены», «Халатное отношение и хранению информации», «Устаревшие сервера и оборудование».

Одну из первых атак кибергруппа, видимо, совершила еще в октябре 2022 года: на сайте утечек исследователи нашли ссылку на публикацию в СМИ, посвященную атаке на поставщика электроэнергии в Гане. Список жертв Werewolves включает также итальянские и голландские компании.

Пик атак «оборотней» в России пришелся на сентябрь-октябрь; в этот период от них пострадали как минимум 11 российских компаний. Суммы взимаемого выкупа составляют от $130 тыс. до $ 450 тыс.; в одном из случаев у жертвы (банка) потребовали $1 млн, угрожая публикацией 120 Тбайт данных.

«По степени самолюбования на грани нарциссизма и обилию саморекламы можно сделать вывод, что хактивисты Werewolves не вышли еще из подросткового возраста, — отметили эксперты Лаборатории цифровой криминалистики F.A.C.C.T. — В отличие от матерых вымогателей “оборотни” стараются привлечь к себе как можно больше внимания исследователей. Например, название их группы явно навеяно таксономией одной отечественной ИБ-компании, обозначающей операторов шифровальщиков “волчьими” названиями».

Anti-Malware Яндекс ДзенПодписывайтесь на канал "Anti-Malware" в Telegram, чтобы первыми узнавать о новостях и наших эксклюзивных материалах по информационной безопасности.

СУАТМ поможет бороться с кол-центрами и звонками мошенников в мессенджерах

В России может появиться еще одна антифрод-платформа. По замыслу, система учета и анализа телефонного мошенничества (СУАТМ) позволит вовлечь в обмен данными всех заинтересованных лиц с тем, чтобы охватить даже такие каналы, как IP-телефония и мессенджеры.

Автором идеи объединить на общей платформе всех участников рынка — банки, операторов связи, регуляторов, правоохранительные органы — является «Тинькофф». По сути, это будет аналог автоматизированной системы ФинЦЕРТ Банка России, но для телекома, у которого сейчас есть только «Антифрод» Роскомнадзора.

СУАТМ в числе прочего поможет в реальном времени выявлять операторов, обеспечивающих работу мошеннических кол-центров, и сообщать о таких нарушениях регулятору. Новую систему также можно будет использовать для блокировки IMаккаунтов, используемых обманщиками, и звонков с виртуальных сим-карт.

Сценарий взаимодействия при этом может выглядеть следующим образом. Клиент жалуется банку на мошеннический звонок, тот отправляет уведомление в СУАТМ, система в режиме реального времени получает от телеоператора информацию об инициаторе звонка.

Если это другой оператор, перебирается вся цепочка (за несколько минут), и данные «нулевого пациента» передаются всем провайдерам для блокировки мошеннического трафика либо аккаунта в мессенджере. Об источнике также ставятся в известность РКН и МВД. Если виновник — оператор, его могут оштрафовать на 500 тыс. руб. за пропуск мошеннических звонков.

По словам «Тинькофф», банки, операторы, ЦБ положительно восприняли инициативу. Однако для эффективной работы СУАТМ придется корректировать нормативную базу. Операторов нужно будет обязать подключиться к новой антифрод-платформе. Кроме того, созданию подобной системы наверняка будет мешать регуляторный запрет на передачу персональных данных сторонним организациям.

Anti-Malware Яндекс ДзенПодписывайтесь на канал "Anti-Malware" в Telegram, чтобы первыми узнавать о новостях и наших эксклюзивных материалах по информационной безопасности.

RSS: Новости на портале Anti-Malware.ru