Лаборатория Касперского раскрыла целевую атаку на известный банк

Лаборатория Касперского раскрыла целевую атаку на известный банк

Специалисты «Лаборатории Касперского» обнаружили таргетированную атаку, направленную на клиентов крупного европейского банка. Согласно журнальным файлам, найденным на сервере, который использовался злоумышленниками, всего за одну неделю киберпреступники украли более чем полмиллиона евро с банковских счетов.

Первые следы операции, получившей название Luuuk, были установлены 20 января этого года, когда экспертами «Лаборатории Касперского» был найден командный сервер. Располагающийся на сервере набор инструментов указывает на применение троянских программ для кражи денег со счетов банковских клиентов.

На сервере были также обнаружены журналы транзакций, содержащие детальную информацию о снятии средств со счетов. По ним были идентифицированы более чем 190 жертв – большинство из них находились в Италии и Турции. Согласно полученным данным, за одну транзакцию злоумышленники переводили от 1 900 до 39 000 евро.

Преступники начали операцию Luuuk примерно в начале 2014 года, не позже 13 января. К тому моменту, когда был найден управляющий сервер, она продолжалась уже как минимум неделю. За это время злоумышленники смогли похитить более полумиллиона евро. Через два дня после обнаружения преступники уничтожили все улики, указывающие на их след. Однако эксперты предполагают, что это не конец кампании – скорее всего, обнаружение действий преступников совпало с проведением ими изменений в технической инфраструктуре. Есть основания полагать, что ценная финансовая информация была перехвачена автоматически, а все транзакции средств осуществлялись мошенниками немедленно при входе жертвы в систему онлайн-банкинга.

«Вскоре после обнаружения управляющего сервера мы связались со службой безопасности банка и правоохранительными органами, предоставив им все найденные улики. На командном сервере мы не нашли точного указания, какие именно вредоносные программы использовали злоумышленники, однако множество модификаций троянца Zeus (Citadel, SpyEye, IcelX и другие) обладают подходящим для такого дела функционалом. Предположительно, использованные в данной операции вредоносные программы могут являться вариантом Zeus с поддержкой механизма веб-инъекций», – отметил Висенте Диаз, ведущий антивирусный эксперт «Лаборатории Касперского».

Похищенные средства были довольно необычными способом переведены на заранее подготовленные счета другим лицам, участвующим в преступной схеме. Специалисты «Лаборатории Касперского» нашли улики, свидетельствующие о функционировании нескольких групп для вывода средств, каждой из которых переводились суммы заранее установленных размеров. Одна из групп отвечала за переводы 40-50 тысяч евро, другая – за 15-20, а третьей переводилось не более двух. Участники подобных схем часто обманывают друг друга и присваивают переведенные деньги, которые должны были обналичить. Возможно, лица, стоящие за операцией, пытались снизить этот риск, воспользовавшись услугами разных групп с индивидуальным уровнем доверия к каждой.

Несмотря на то, что за кампанией Luuuk скорее всего стояли профессиональные киберпреступники, их инструменты могут быть остановлены защитными средствами. К примеру, «Лаборатория Касперского» разработала целую платформу Kaspersky Fraud Prevention, позволяющую финансовым организациям защитить своих клиентов от подобного онлайн-мошенничества. Инструменты, входящие в состав этой платформы, позволяют обеспечить безопасность клиентских устройств от многих атак, включая атаки типа man-in-the-browser, а также помочь организациям выявить и заблокировать транзакции мошенников.

AM LiveПодписывайтесь на канал "AM Live" в Telegram, чтобы первыми узнавать о главных событиях и предстоящих мероприятиях по информационной безопасности.

Троян удаленного доступа пугает жертв дикими криками и страшными картинками

Эксперты ESET обнаружили необычный плагин, созданный для NonEuclid RAT. Модуль использует Windows API для подачи громких звуковых сигналов и параллельно отображает картинку, которая может привидеться только в страшном сне.

Объявившийся в этом году троян NonEuclid — один из многочисленных форков опенсорсного AsyncRAT. Он тоже обладает модульной архитектурой, позволяющей расширить функциональность зловреда.

При создании NonEuclid вирусописатели дали волю своей фантазии: в отличие от более «классических» собратьев DcRAT и VenomRAT, их детище умеет шифровать данные, брутфорсить пароли к FTP и SSH, подменять адреса криптокошельков в буфере обмена, внедрять в PE-файлы пейлоад по выбору оператора, в том числе на USB-устройствах.

Найденный исследователями новый плагин именуется «Screamer» («кричалка», «пугалка»). В него вшиты пять изображений, и по команде оператора зловред выбирает одно из них для вывода.

Он также получает WAV-файл и значение задержки, а при проигрывании выводит звук и высокие частоты на максимум, манипулируя Windows API.

 

Исследователи полагают, что столь необычный компонент предназначен для диверсий (в случае использования зараженной системы для критически важных операций) и шантажа.

Написанный на C# инструмент удаленного администрирования AsyncRAT был опубликован на GitHub как проект с открытым исходным кодом в 2019 году. С тех пор злоумышленники неустанно плодят вредоносные клоны с дополнительными возможностями.

AM LiveПодписывайтесь на канал "AM Live" в Telegram, чтобы первыми узнавать о главных событиях и предстоящих мероприятиях по информационной безопасности.

RSS: Новости на портале Anti-Malware.ru