Группа киберпреступников похитила за год 36 млн евро из банков Европы

Неизвестная группа киберпреступников с начала 2012 года похитила из европейских банков около 36 миллионов евро, используя вредоносное программное обеспечение, сообщили в среду эксперты компаний Checkpoint Security и Versafe, работающих в области информационной безопасности, которые участвовали в исследовании деятельности группировки.

Это одна из крупнейших атак на клиентов европейских банков за последние несколько лет. По данным исследователей, суммы хищений в разных случаях варьировались в пределах от 500 евро до 250 тысяч евро, а жертвами киберпреступников становились как физические, так и юридические лица. Атака затронула более 30 тысяч клиентов различных европейских банков, сообщает digit.ru.

Атака, которую исследователи называют Eurograbber, стартовала в начале 2012 года в Италии, а в августе распространилась на Германию, Нидерланды и Испанию. В ходе атаки вредоносная программа сначала внедрялась в компьютер жертвы, а потом — на ее смартфон.

Мобильная вредоносная программа перехватывала SMS-сообщения с одноразовыми паролями, которые банк присылает своим клиентам во время сессий работы с интернет-банкингом. После установки троянские программы на компьютере и мобильном телефоне жертвы передавали злоумышленникам всю информацию, необходимую для взлома аккаунта в системе интернет-банкинга. После этого преступники опустошали счета банковских клиентов.

Как отмечают специалисты, преступники использовали три разные банковские троянские программы — ZeuS, SpyEye и Carberp, а также новую, очень эффективную версию одной из самых известных мобильных банковских троянских программ ZITMO.

Отдельно эксперты отметили, что чаще других атакам подвергались владельцы мобильных устройств на системе Android, а также BlackBerry OS.

Российских пользователей эта атака не затронула, однако в РФ случаи хищения из систем интернет-банкинга нередки. Пока российские киберпреступники не применяют «комплексное» вредоносное ПО, как в Eurograbber, которое задействует еще и мобильные устройства атакуемой жертвы, но и без этого им удается действовать эффективно. Так, по данным российской компании Group-IB, расследующей киберпреступления, за первые шесть месяцев 2012 года на территории России было зафиксировано около 4,6 тысячи случаев хищения киберпреступниками средств со счетов юридических лиц, в результате которых суммарно было похищено около 470 миллионов долларов.

Anti-Malware Яндекс ДзенПодписывайтесь на канал "Anti-Malware" в Яндекс Дзен, чтобы первыми узнавать о новостях и наших эксклюзивных материалах по информационной безопасности.

Фреймворк автоматизации работы с Chrome все чаще светится в атаках

Эксперты Team Cymru фиксируют рост популярности инструмента BrowserAutomationStudio (BAS) у авторов вредоносных атак. Этот фреймворк автоматизации выполнения задач в браузере позволяет создавать проекты с такими пригодными для зловредов возможностями, как эмуляция браузера, имитация нажатий клавиш и кликов мыши, поддержка прокси, поиск по почтовому ящику, загрузка данных из файла, строки символов или с веб-страницы.

Первая реклама BAS, по данным Team Cymru, появилась на открытых форумах в конце 2016 года. Новый инструмент позиционировался как решение, позволяющее без навыков программиста создавать приложения, использующие браузер, — боты для публикации постов (включая спам), парсинга, загрузки контента, а также программы для социальных сетей.

Некто Twaego из Киева, объявивший себя главным разработчиком, предлагал совместимый с Windows софт в свободное пользование (позднее появилась и коммерческая версия с расширенными возможностями). Желающих зазывали на сайт bablosoft[.]com.

Предложение было встречено с большим энтузиазмом, и со временем на Bablosoft сформировалось свое комьюнити. Всем нравилось, что доступ к инструменту предоставляется бесплатно, замечания и пожелания учитываются, а приложения и скрипты, создаваемые с помощью BAS, можно расшарить на сайте.

Рост популярности Bablosoft заметили и на хакерских форумах: там стали предлагать услуги по созданию скриптов для BAS и специфических ботов (для брутфорса, поиска кандидатов в дропы и т. п.). В Telegram появилась новая группа — «BABLOSOFT – ЧАТ ПО БАСУ», которая насчитывает немногим более 1000 участников, в основном русскоязычных.

 В 2021 году BAS впервые привлек внимание ИБ-сообщества — в связи с участившимися атаками по методу credential stuffing. Результаты анализа инструмента, позволяющего автоматизировать перебор учетных данных – результатов краж и утечек, опубликовали F5 Labs и NTT (PDF), наблюдавшая активизацию Grim Spider.

Специалисты при этом отметили сходство BAS с легитимными инструментами разработчика Puppeteer и Selenium: они почти одинаково автоматизируют выполнение задач в Google Chrome.

В этом году, согласно телеметрии Team Cymru, к ресурсам Bablosoft обращались C2-серверы Bumblebee, BlackGuard и RedLine. Два из этих зловредов (инфостилеры) пытались воспользоваться валидатором учетных данных Gmail.

Поддомен для загрузок Bablosoft (46.101.13[.]144) чаще прочих запрашивают из России и Украины — судя по данным Whois.

 

Несколько хостов, ассоциируемых с криптоджекингом (майнером XMRig и трояном Tofsee), пытались воспользоваться Bablosoft-услугами по созданию цифровых отпечатков — видимо, для сокрытия вредоносной активности.

Управление некоторыми элементами инфраструктуры Bablosoft осуществляется, как выяснилось, с украинского IP-адреса. С него же обращаются к ряду хостов на порту TCP/27017, который обычно ассоциируется с MongoDB.

Anti-Malware Яндекс ДзенПодписывайтесь на канал "Anti-Malware" в Яндекс Дзен, чтобы первыми узнавать о новостях и наших эксклюзивных материалах по информационной безопасности.

RSS: Новости на портале Anti-Malware.ru