Русские хакеры провели масштабную операцию по взлому банковских счетов в США и Европе

Русские хакеры провели операцию по взлому банковских счетов в США и Европе

Уэйн Хуань (Wayne Huang) из занятой информационной безопасностью компании Proofpoint опубликовал подробный отчет о группировке хакеров Qbot, скрытно получающей доступ к чужим учетным записям в банках. На пике группировка Qbot контролировала около 500 тыс. ПК, собирая данные о вводе с клавиатуры пользовательских паролей к банковским сервисам.

Полмиллиона зараженных ПК - это не слишком большая ботсеть по нынешним стандартам, однако, исследование, опубликованное исследователем экспертом Proofpoint интересно тем, что описывает сложную тактику авторов этого ботнета, и, кроме того, оно указывает на их русское происхождение.

Гипотеза о русских (русскоязычных) корнях создателей ботнета основана на панели управления Qbot, к которой получили доступ исследователи Proofpoint. На скриншотах, представленных в отчетах Proofpoint, хорошо видны пункты меню и комментарии на правильном русском языке на управляющих страницах ботнета.

По данным исследования, Qbot, которую в Proofpoint также называют Qakbot, была нацелена на атаку систем дистанционного банковского обслуживания американских банков. На США приходится 75% IP-адресов, на связь с которыми выходили управляющие сервера ботнета, причем 59% из них принадлежат клиентам пяти крупнейших американских банков. На остальные страны мира приходится лишь четверть подконтрольных ПК.

Интересно, что 52% ПК, которые удалось заразить Qbot, работают под управлением Windows XP, хотя, как подчеркивают авторы отчета, эта ОС сейчас занимает долю лишь в 20-30% ПК как в домашних хозяйствах, так и в корпоративном секторе. Поддержка Windows XP была прекращена Microsoft в апреле 2014 г.

Согласно анализу Proofpoint, 82% успешных заражений Qbot были совершены посредством браузера Internet Explorer.


Панель управления Qbot с русскоязычным меню

 

Атаки на компьютеры потенциальных жертв проводились с сайтов, построенных на движке WordPress. Первоначальный доступ к ним создатели ботнета получили, купив на черном рынке базу админских имен и паролей, после чего внедрили в сайты свой вредоносный код.

При посещении потенциальной жертвой зараженного сайта специальная система управления трафиком анализировала ПК потенциальной жертвы по признакам его IP-адреса, типа браузера, операционной системы, установленного защитного ПО и других критериев. Таким образом создатели ботнета минимизировали опасность обнаружения их внедренного в сайты вредоносного программного обеспечения.

Большинство зараженных сайтов выполняло регулярные антивирусные сканирования, однако внедренный вредоносный код оставался незамеченым, поскольку атакующие старались использовать эксплойты, не вызывающие реакции у антивирусных программ. По данным Уэйна Хуаньа, перед загрузкой вредонсоного кода он проверялся по базе данных Scan4U, агрегирующей данные от десятков антивирусных компаний. Если база узнавала вредоносный код, его меняли на такой, у которого сканирование не вызывало проблем.

Создатели Qbot приняли меры для защиты от антиврусных компаний: если посетитель их сайта был похож на автоматический антивирусный сканер, то система управления трафиком перенаправляла его к незараженной версии сайта. В распоряжении хакеров имелся список IP-адресов, используемых ИБ-компаниями, и любой трафик от них также переадресовывался к «чистым» копиям сайтов. Вследствие этих мер, как пишет Уэйн Хуань, многие владельцы сайтов, с которыми он связывался, не верили, что они атакованы.

Для целей сниффинга (сканирования клавиатурных нажатий при вводе банковского логина и пароля) авторы Qbot использовали целый массив уязвимостей в плагинах PDF, Java, Flash и Internet Explorer, которые выбирались в каждом конкретном случае в зависимости от уникальных особенностей целевой системы. Эксплойты для эксплуатации этих уязвимостей обычно приобретались на черном рынке, и хакеры от них отказывались, когда они становились слишком распространены.

Хуань пишет в своем исследовании, что авторы Qbot, просканировав 500 тыс. компьютеров, смогли получить данные примерно о 800 тыс. банковских учетных записях.

По его данным, организованные преступные группировки готовы покупать данные о банковских учетках, исходя из цены $25 тыс. за штуку, и, таким образом, даже если создатели Qbot «продадут на черном рынке долю процента учетных записей, они получат многомиллионную прибыль от своей операции».

Хотя внутренние средства безопасности создателей Qbot были хороши, совершенными их назвать нельзя, говорит Хуань и приводит забавную подробность: когда он нашел веб-адрес панели управления ботнетом, обнаружилось, что доступ к ней не требует пароля. 

Штрафы до 1 млн: Минцифры ужесточает правила продажи сим-карт

Минцифры предлагает заметно ужесточить правила игры для операторов связи. Речь идёт сразу о двух болевых точках: продаже сим-карт в неположенных местах и стабильной работе государственной системы «Антифрод», которая должна отсекать мошеннические звонки. Соответствующий законопроект уже одобрен правительственной комиссией по законопроектной деятельности и в ближайшее время будет внесён в Госдуму.

Как подтвердили «Ведомостям» в Минцифры, поправки в КоАП подготовлены по поручению президента и направлены на усиление борьбы с телефонным мошенничеством.

Сейчас за заключение договора на услуги связи способом, не предусмотренным законом, операторам грозит штраф от 300 тыс. до 500 тыс. рублей. Минцифры предлагает поднять планку — от 500 тыс. до 1 млн рублей.

Формально ответственность за продажу сим-карт в нестационарных местах (палатках, лотках и т. п.) существует уже сейчас, напоминают юристы. Но новые поправки увеличивают максимальный размер штрафов, делая такие нарушения куда более чувствительными для бизнеса.

При этом список «разрешённых» мест продажи сим-карт давно закреплён в законе: это офисы операторов и дилеров, а также стационарные торговые объекты. С 1 сентября 2025 года такие точки дополнительно должны быть оборудованы видеонаблюдением с хранением записей не менее 30 дней.

Вторая часть законопроекта касается ГИС «Антифрод». Если сейчас операторы обязаны следить за работой узлов верификации в момент подключения к системе, то Минцифры предлагает ввести требование круглосуточного и непрерывного функционирования.

Повод для этого более чем весомый: только за 2025 год из-за недоступности узлов верификации более 113 млн звонков прошли без проверки, следует из материалов к законопроекту.

При этом в законодательстве до сих пор не было прямой обязанности обеспечивать постоянную работу этих узлов — как и отдельной ответственности за сбои. Новый закон должен закрыть этот пробел.

Сейчас штрафы за неподключение к «Антифроду» составляют:

  • для должностных лиц — от 50 тыс. до 100 тыс. рублей;
  • для ИП — от 400 тыс. до 800 тыс. рублей;
  • для юрлиц — от 600 тыс. до 1 млн рублей.

Юристы предупреждают: требования к продаже сим-карт и бесперебойной работе «Антифрода» фактически перекладывают на операторов функции публичного контроля. Им приходится отвечать не только за свои системы, но и за действия агентов, партнёров и технические сбои.

Особые вопросы вызывает онлайн-продажа сим-карт. В Минцифры подчёркивают: она допустима, если речь идёт о комплектах самоактивации с обязательной идентификацией — через биометрию, «Госключ» или усиленную электронную подпись. Но юристы не исключают, что часть продаж через маркетплейсы может оказаться в «серой зоне», если правила не будут дополнительно уточнены.

Если законопроект будет принят, он вступит в силу 1 сентября 2026 года. Эксперты ожидают, что ужесточение требований приведёт к росту издержек операторов, пересмотру каналов продаж и, возможно, ускорит переход рынка в сторону eSIM.

При этом юристы не исключают и побочный эффект: мелкие операторы могут просто не потянуть новые требования, что со временем усилит концентрацию рынка. В Минцифры же подчёркивают, что цель изменений — снижение анонимности и реальная борьба с киберпреступностью, а не давление на бизнес.

RSS: Новости на портале Anti-Malware.ru