Группа Carbanak стояла за фишинговыми атаками в России, Украине и Армении

Группа Carbanak стояла за фишинговыми атаками в России, Украине и Армении

Международная антивирусная компания ESET представляет детали расследования деятельности кибергруппы Carbanak. Наряду с другими инструментами группа активно использовала вредоносные программы семейства Win32/Spy.Agent.ORM, отмеченные в атаках на пользователей из России и Украины.

В начале лета 2015 года специалисты ESET зафиксировали повышенную активность семейства Spy.Agent.ORM. Программа распространялась с помощью набора эксплойтов через скомпрометированный новостной портал rbc.ua и банковский сайт unicredit.ua, а также в фишинговых рассылках, ориентированных на сотрудников финансовых учреждений из России и Украины, а также Центрального банка Армении.

Пользователям рассылались сообщения с вредоносными вложениями SCR-файлов или RTF-эксплойтов к уязвимостям Microsoft Office, включая одну из последних – CVE-2015-1770.

Троян Win32/Spy.Agent.ORM открывает атакующим удаленный доступ к компьютеру жертвы. Вредоносная программа подключается к управляющему серверу и выполняет различные команды: сделать снимок экрана, получить список запущенных процессов, собрать информацию о системе, загрузить исполняемый файл и др.

На связь трояна Spy.Agent.ORM и Carbanak указывают одинаковые фрагменты кода, которые встречаются в других вредоносных программах группы: «фирменном» инструменте Win32/Spy.Sekur и бэкдоре для кражи данных карт с PoS-терминалов Win32/Wemosis, замеченным в кибератаках на американские отели-казино.

Все вышеуказанные вредоносные программы подписаны одним и тем же цифровым сертификатом, зарегистрированным на московскую компанию Blik. Один из новейших образцов трояна Spy.Agent.ORM, обнаруженных специалистами ESET, подписан цифровым сертификатом киевской компании In Travel.

ФАС вынесла первое решение о рекламе VPN

УФАС по Вологодской области признало ненадлежащей рекламу VPN-сервисов и рассматривает вопрос о привлечении к административной ответственности её распространителя — местного блогера. Дело было возбуждено по итогам рассмотрения обращения Центра по противодействию экстремизму УМВД России по Вологодской области.

О данном прецеденте сообщили «Ведомости». По информации издания, аналогичное дело возбуждено и в Хабаровском крае, однако решение по нему пока не принято.

Как отмечает издание, в обоих случаях речь идёт о размещении в открытом доступе ссылок на телеграм-каналы и боты, которые фактически предоставляют VPN-сервисы. Согласно позиции ФАС, сама по себе такая информация уже квалифицируется как реклама.

Эксперты, опрошенные «Ведомостями», называют это дело первым подобным прецедентом после вступления в силу запрета на рекламу VPN-сервисов. Он закреплён в части 10.8 статьи 5 закона «О рекламе» и действует с 1 сентября 2025 года. При этом ещё ранее Роскомнадзор получил право блокировать ресурсы, содержащие информацию о способах обхода ограничений.

При этом, как отмечают директор юридического департамента «Европейской медиагруппы» Дмитрий Григорьев и партнёр практики «Интеллектуальная собственность и информационные технологии» юридической фирмы Chervets.Partners Юлия Синицына, ФАС применила расширительное толкование нормы. Под запрет, по сути, попала любая информация о VPN-сервисах — даже без указаний на их использование для обхода блокировок.

Дмитрий Григорьев также обратил внимание, что сведения, размещённые владельцем каталога в бизнес-аккаунте, — а именно это стало основанием для возбуждения дела в Хабаровском крае — с трудом можно однозначно отнести к рекламе.

RSS: Новости на портале Anti-Malware.ru