Управления «К» МВД России ликвидировало несколько крупнейших бот-сетей

Управления «К» МВД России ликвидировало несколько крупнейших бот-сетей

Впервые в мировой практике сотрудникам Управления «К» МВД России удалось ликвидировать несколько крупнейших из когда-либо известных бот-сетей, построенных на основе так называемых «банковских троянов». На момент задержания фигуранта, причастного к их созданию, количество зараженных компьютеров составляло около 6 миллионов. Со счетов граждан и организаций похищено свыше 150 миллионов рублей. Сотрудники Управления «К» МВД России «шли по следу» злоумышленника в течение 10 месяцев.

В результате проведенных оперативно-розыскных мероприятий было установлено, что преступной деятельностью занимается 22-летний молодой человек, широко известный в хакерских кругах под псевдонимами «Гермес» и «Араши».

Молодой человек не только создавал бот-сети и массово распространял вредоносные программы, но и лично принимал участие в хищении денежных средств со счетов граждан и организаций, сообщает mvd.ru.

Кроме того, он предоставлял за определенные проценты доступ к использованию бот-сетей многочисленным «партнерам» на всей территории Российской Федерации, в частности, в Ивановской, Самарской областях, Краснодарском крае. Однако основная масса его сообщников находилась в Москве и Санкт-Петербурге.

Мишенью злоумышленника были компьютеры с установленным на них программным обеспечением «Банк-Клиент». Для их заражения и последующего хищения денежных средств он использовал троянские программы типа «Carberp» различных модификаций, и, получив с их помощью логины, пароли и цифровые подписи, осуществлял платежи якобы от имени организаций или граждан на счета подставных фирм. Впоследствии денежные средства переводились на пластиковые карты и обналичивались в банкоматах.

Общее количество зараженных компьютеров составляло около 6 миллионов штук, а в основной бот-сети - 4 с половиной миллиона. Таким образом, эта бот-сеть являлась крупнейшей из когда-либо ранее известных сетей на основе банковских троянских программ.

Практически все зараженные компьютеры находились на территории Российской Федерации. Ежедневно вредоносные программы рассылались более миллиону «заинтересованных» лиц, в результате чего в отдельные дни в бот-сети поступало свыше 100 тысяч новых зараженных компьютеров.

Установлено, что злоумышленнику удавалось похитить несколько десятков миллионов рублей за один раз; всего же вместе с сообщниками он совершил хищений более чем на 150 миллионов рублей.

На добытые преступным путем деньги молодой человек приобрел роскошный дом в одном из курортных городов России, покупал дорогостоящие иномарки премиум-класса, а также вкладывал денежные средства в легально действующие предприятия.

Оперативники Управления «К» МВД России совместно сотрудниками ЦИБ ФСБ России и СУ УВД по ЮАО ГУ МВД России по г. Москве провели обыск по месту жительства злоумышленника и изъяли компьютерную технику, носители информации и документы, свидетельствующие о его причастности к преступной деятельности. Широкая экспертная поддержка был оказана специалистами антивирусной компании «Доктор Веб».

Возбуждено уголовное дело по трем статьям УК РФ — 159 («Мошенничество»), 272 («Неправомерный доступ к компьютерной информации»), 273 («Создание, использование и распространение вредоносных программ»). Злоумышленник арестован.

В связи с его задержанием и ликвидацией указанных бот-сетей сотрудниками Управления «К» МВД России и специалистами компании «Доктор Веб» прогнозируется значительное снижение количества хищений денежных средств с банковских счетов граждан и организаций.

APT-группа 2 недели хозяйничала в сети компании, пока атаку не выявил PT X

В январе 2026 года в инфраструктуре одной из компаний была выявлена вредоносная активность, связанная с группировкой PhantomCore. Атаку заметили ещё на этапе внедрения облачного решения для мониторинга безопасности и реагирования на инциденты PT X. В итоге инцидент удалось локализовать, а сама компания, как утверждается, позже полностью восстановилась.

Судя по описанию кейса, всё началось с того, что во время установки продукта специалисты заметили нетипичную активность на хостах, защищённых с помощью MaxPatrol EDR.

Уже через 15 минут после обнаружения клиенту рекомендовали заблокировать доменную учётную запись подозрительного администратора. Примерно через полтора часа компания подтвердила, что речь действительно идёт об инциденте, после чего начались совместные действия по его сдерживанию.

К расследованию подключилась и команда PT ESC IR, которая занялась атрибуцией атаки. По её оценке, за инцидентом стояла группировка PhantomCore, впервые публично отмеченная в 2024 году. Эту группу связывают в первую очередь с кибершпионажем, а среди её типичных целей называют российские организации из сфер госуправления, судостроения, ИТ и промышленности.

Как выяснилось в ходе расследования, точкой входа стала платформа видео-конференц-связи, в которой обнаружили уязвимость. Именно через неё злоумышленники, по версии исследователей, получили первоначальный доступ. Дальше они воспользовались слабыми местами в самой инфраструктуре: запустили вредоносную программу с управляющего сервера, похитили пароль доменного администратора и начали двигаться по сети.

Дополнительную роль сыграли и внутренние проблемы с безопасностью. Недостаточно корректная сегментация сети и отсутствие разделения привилегий для административных учётных записей позволили атакующим развивать атаку дальше. В числе скомпрометированных активов в итоге оказались один из контроллеров домена и служба сертификации Active Directory. Для перемещения по инфраструктуре, как сообщается, использовалась утилита atexec.py.

По данным Positive Technologies, злоумышленники оставались незамеченными около двух недель — до тех пор, пока скомпрометированные хосты не попали под защиту внедряемого решения. При этом основные меры по локализации удалось принять довольно быстро: менее чем за сутки были заблокированы соединения с C2-сервером и сброшены пароли у скомпрометированных учётных записей.

Дальнейшие работы по расследованию и устранению последствий заняли несколько дней. Параллельно в компании исправляли ошибки конфигурации и усиливали базовые меры защиты — в том числе пересматривали парольную политику и общую устойчивость инфраструктуры.

RSS: Новости на портале Anti-Malware.ru