В США произошла крупнейшая утечка данных о налогоплательщиках

Власти штата Южная Каролина признали факт утечки с серверов налоговой службы 3,6 млн номеров карт социального страхования, 387 тыс. кредитных карт, налоговых деклараций граждан и прочей информации о жителях штата и компаниях, ведущих здесь деятельность. Как сообщается, неизвестные злоумышленники (предположительно, из России) похитили подробную финансовую информацию о 80% жителей Южной Каролины и обо всех 657 тыс. компаниях, зарегистрированных в местной налоговой службе. Это крупнейшая утечка финансовых данных в истории США.

Департамент по налогам и сборам Южной Каролины опубликовал срочное предупреждение для граждан с объяснением ситуации и инструкцией по дальнейшим действиям.

Расследование показало, что операция по взлому системы началась в августе 2012 года, когда несколько сотрудников налоговой службы получили сообщения по электронной почте с вредоносным вложением. Один из сотрудников открыл это вложение 13 августа 2012 года — и заразил свой рабочий компьютер. Скорее всего, вредоносная программа снабжалась кейлоггером, потому что вскоре злоумышленникам стали известны логин и пароль сотрудника. 27 августа 2012 года злоумышленник впервые дистанционно проник в систему Citrix, используя эти учётные данные. Полный отчёт об инциденте от независимой аудиторской компании Mandiant опубликован здесь, сообщает xakep.ru.

Хронология атаки, из отчёта Mandiant.

29 августа злоумышленник запустил утилиты для получения паролей пользователей к шести серверам.

1 сентября злоумышленник запустил утилиту для получения учётных данных всех пользователей Windows. Злоумышленник также установил бэкдор в одну из систем.

2 сентября злоумышленник осуществил авторизацию на 21 сервере с похищенного аккаунта для разведки. Он также залогинился на платёжный сервер Департамента по налогам и сборам, но не выполнил вредоносных действий.

3 сентября злоумышленник заходил на восемь серверов для разведки, ещё раз авторизовался на платёжном сервере, но не выполнил вредоносных действий.

4 сентября злоумышленник заходил в шесть систем для разведки.

5-10 сентября: нет следов активности.

11 сентября злоумышленник заходил в три системы для разведки.

12 сентября злоумышленник скопировал файлы бэкапа базы данных в отдельную папку.

13-14 сентября злоумышленник заархивировал файлы бэкапа базы данных с помощью утилиты 7-zip, разбив архив на 14 томов, защищённых паролем. Затем архив был скопирован с сервера базы данных на другой сервер, после чего скопирован на удалённый сервер в интернете, а сам архив был удалён.

15 сентября злоумышленник заходил в десять систем для разведки.

16 сентября – 16 октября: нет следов активности.

10 октября полиция Южной Каролины обратилась в Департамент по налогам и сборам в связи с фактом утечки персональных данные трёх граждан. Сотрудники департамента проверили информацию и обнаружили, что она получена из их базы данных.

12 октября Департамент по налогам и сборам обратился в независимую компанию Mandiant для расследования инцидента.

17 октября злоумышленник проверил связь с сервером, используя бэкдор, установленный 1 сентября. Нет следов иной активности.

19 и 20 октября Департамент по налогам и сборам начал осуществлять процедуры восстановления системы, в соответствии с кратковременными рекомендациями Mandiant. Целью этих процедур было закрыть доступ посторонним лицам во внутреннюю сеть и обнаружить вмешательство извне.

С 21 октября по настоящее время нет следов посторонней активности.

Добычей хакеров стала база данных, которая содержит электронные налоговые декларации с 2002 года, а некоторые подавали их в электронном виде с 1998 года, около 387 тыс. номеров кредитных и дебетовых карт жителей штата, 3,6 млн номеров социального страхования, номера 3,3 млн банковских счетов и персональные данные 1,9 млн человек.

Anti-Malware Яндекс ДзенПодписывайтесь на канал "Anti-Malware" в Яндекс Дзен, чтобы первыми узнавать о новостях и наших эксклюзивных материалах по информационной безопасности.

Следствие по делу о REvil в России зашло в тупик

Как стало известно «Ъ», расследование деятельности предполагаемых участников группировки REvil, об аресте которых в январе сообщила ФСБ России, приостановилось. Американские коллеги так и не предоставили информации о жертвах и причиненном ущербе, поэтому подозреваемых можно обвинить только махинациях с банковскими картами двух граждан США, разыскать которых не представляется возможным.

Напомним, аресты в России были проведены с подачи американцев в рамках сотрудничества двух стран по вопросам кибербезопасности. В ходе недавнего интервью замглавы Совбеза РФ Олег Храмов рассказал «Российской газете», что в прошлом году заокеанские партнеры попросили под любым предлогом арестовать «главного хакера» — россиянина по фамилии Пузыревский, и предоставили его IP-адрес.

Российским спецслужбам удалось выяснить, что речь идет о рестораторе Данииле Пузыревском из Санкт-Петербурга. Попутно были идентифицированы 13 предполагаемых соучастников операций REvil, а также установлены две жертвы. Ими оказались проживающие в США мексиканцы, у которых подозреваемые, по версии следствия, дистанционно украли деньги, впоследствии потратив их в интернет-магазинах, с оплатой товаров по электронным средствам связи.

В России возбудили уголовное дело в соответствии с ч. 2 ст. 187 УК (неправомерное использование средств платежа в составе преступной группы), однако на том все и остановилось. Американская сторона, по словам Храмова, так и не предоставила обещанных дополнительных доказательств и даже не подтвердила ущерб от вымогательства. Более того, россиянам сообщили, что США в одностороннем порядке выходят из совместной рабочей группы и закрывают канал связи.

Адвокат одного из задержанных решил воспользоваться затишьем и добиться освобождения своего клиента. С этой целью он обратился к Храмову, отметив, что в уголовном деле до сих пор нет потерпевших и не указан ущерб, причиненный обвиняемыми. Допросов в СИЗО не проводится, поэтому защита просит генерала посодействовать в изменении меры пресечения, а затем — в прекращении уголовного преследования.

«На мой взгляд, разумным выходом из этой ситуации была бы сделка обвиняемых с Генпрокуратурой, — заявил «Ъ» автор прошения Игорь Вагин. — В ее рамках фигуранты получили бы освобождение от уголовной ответственности».

Адвокат также отметил, что изъятые денежные средства по условиям сделки могли бы быть потрачены на благие нужды, а «уникальный опыт» фигурантов дела наверняка пригодился бы российским спецслужбам.

Anti-Malware Яндекс ДзенПодписывайтесь на канал "Anti-Malware" в Яндекс Дзен, чтобы первыми узнавать о новостях и наших эксклюзивных материалах по информационной безопасности.

RSS: Новости на портале Anti-Malware.ru