Новый отчет Symantec указывает на бум подпольной экономики

...

Сегодня корпорация Symantec совместно с компанией Softline провела пресс-конференцию, посвященную выпуску очередного «Отчета о состоянии подпольной экономики» (Report on the Underground Economy).

Он содержит сведения об онлайновом черном рынке, который превратился в эффективный мировой рынок. На нем регулярно покупаются и продаются краденые товары и предлагаются основанные на мошенничестве услуги, причем стоимость товаров, предлагаемых отдельными продавцами, измеряется миллионами долларов. Отчет составлен на основе данных, собранных организацией Symantec Security Technology and Response (STAR) на серверах черного рынка в период с 1 июля 2007 года по 30 июня 2008 года.

Потенциальная общая стоимость всех рекламируемых товаров черного рынка, обнаруженных Symantec за отчетный период, превысила $276 млн. Эта сумма подсчитана, исходя из рекламируемых цен на товары и услуги, и соответствует выручке, которую получили бы рекламодатели, если бы им удалось реализовать весь свой товар.

Наиболее широко рекламируемой категорией товаров и услуг на черном рынке являются сведения о кредитных картах, на долю которых приходится 31% всех предложений. Хотя краденные номера кредитных карт продаются всего по 10-25 центов, средняя стоимость рекламируемой партии номеров кредитных карт превысила $4000. Общая стоимость всех рекламируемых номеров кредитных карт за отчетный период, по расчетам Symantec, составила $5,3 млрд.

Популярность информации о кредитных картах, вероятно, связана с тем, что ее можно получить и использовать для мошенничества многими разными способами; кредитные карты легко применять для онлайнового шопинга, и продавцам или издателям кредитных карт часто бывает трудно установить личность и адрес мошенника, пока тот не совершил свои операции и не приобрел товары. К тому же информация о кредитных картах часто продается оптом, со скидками или с дополнительными бесплатными номерами при крупных сделках.

Второй по популярности категорией рекламируемых товаров и услуг были банковские реквизиты, на долю которых пришлось 20% от общего объема черного рынка. Эти сведения продаются по цене от $10 до $1000, но средняя стоимость рекламируемых краденных банковских реквизитов приближается к $40 тыс. Таким образом, общая стоимость рекламируемых краденых банковских реквизитов за отчетный период составила $1,7 млрд. Популярность этой информации на черном рынке можно объяснить высоким и скорым потенциальным доходом. В одном из случаев средства с банковских счетов были переведены в неизвестном направлении менее чем за 15 минут.

В течение отчетного периода Symantec зафиксировала 69130 активных рекламодателей и 44321095 сообщений, опубликованных на подпольных форумах. Потенциальная стоимость всех рекламируемых товаров десятью наиболее активными рекламодателями составила $16.3 млн для номеров кредитных карт и $2 млн для банковских реквизитов. Более того, потенциальная стоимость товаров, рекламируемых самым активным рекламодателем, составила $6,4 млн.

С географической точки зрения подпольная экономика очень разнообразна. Она приносит доход киберпреступникам самых разных мастей от слабо сплоченных групп до организованных коллективов со сложной иерархией. В течение отчетного периода наибольшее число серверов черного рынка наблюдалось в Северной Америке (45%). На долю региона ЕМЕА пришлось 38% таких серверов, на долю Азиатско-Тихоокеанского региона — 12%, а на долю Латинской Америки — всего 5%. Во избежание обнаружения подпольные серверы постоянно меняют свое географическое положение.

«Как свидетельствует “Отчет о состоянии подпольной экономики”, современные киберпреступники наживаются на информации, которую они без спроса собирают у потребителей и предприятий, — говорит вице-президент организации Symantec Security Technology and Response Стивен Триллинг (Stephen Trilling). — Эти люди продолжают изобретать все новые инструменты и методы для обмана легитимных пользователей во всем мире, и защита от подобных атак должна стать международным приоритетом».
«Сегодня вопрос безопасности компании заключается не только в установке антивируса, антиспама или фаервола на компьютеры, – считает Дмитрий Васильев, product-менеджер компании Softline. – В настоящий момент – это задача по осуществлению комплекса работ, связанных с применением различных технологий и соответствующего ПО, как, например, IPS/IDS-систем, DLP, NAC, так и административных мер, принимаемых в компании, среди которых на первый план выходит понимание того, какие процессы идут в компании и как они взаимодействуют друг с другом».

Более подробные сведения и цифры по черному рынку можно получить на следующих ресурсах:

Symantec Report on the Underground Economy XII — адрес для загрузки полного текста отчета: http://eval.symantec.com/mktginfo/enterprise/white_papers/ent-whitepaper....
Symantec Internet Security Threat Report XIII — адрес для загрузки полного текста отчета: http://eval.symantec.com/mktginfo/enterprise/white_papers/b-whitepaper_i....

Anti-Malware Яндекс ДзенПодписывайтесь на канал "Anti-Malware" в Яндекс Дзен, чтобы первыми узнавать о новостях и наших эксклюзивных материалах по информационной безопасности.

Фреймворк автоматизации работы с Chrome все чаще светится в атаках

Эксперты Team Cymru фиксируют рост популярности инструмента BrowserAutomationStudio (BAS) у авторов вредоносных атак. Этот фреймворк автоматизации выполнения задач в браузере позволяет создавать проекты с такими пригодными для зловредов возможностями, как эмуляция браузера, имитация нажатий клавиш и кликов мыши, поддержка прокси, поиск по почтовому ящику, загрузка данных из файла, строки символов или с веб-страницы.

Первая реклама BAS, по данным Team Cymru, появилась на открытых форумах в конце 2016 года. Новый инструмент позиционировался как решение, позволяющее без навыков программиста создавать приложения, использующие браузер, — боты для публикации постов (включая спам), парсинга, загрузки контента, а также программы для социальных сетей.

Некто Twaego из Киева, объявивший себя главным разработчиком, предлагал совместимый с Windows софт в свободное пользование (позднее появилась и коммерческая версия с расширенными возможностями). Желающих зазывали на сайт bablosoft[.]com.

Предложение было встречено с большим энтузиазмом, и со временем на Bablosoft сформировалось свое комьюнити. Всем нравилось, что доступ к инструменту предоставляется бесплатно, замечания и пожелания учитываются, а приложения и скрипты, создаваемые с помощью BAS, можно расшарить на сайте.

Рост популярности Bablosoft заметили и на хакерских форумах: там стали предлагать услуги по созданию скриптов для BAS и специфических ботов (для брутфорса, поиска кандидатов в дропы и т. п.). В Telegram появилась новая группа — «BABLOSOFT – ЧАТ ПО БАСУ», которая насчитывает немногим более 1000 участников, в основном русскоязычных.

 В 2021 году BAS впервые привлек внимание ИБ-сообщества — в связи с участившимися атаками по методу credential stuffing. Результаты анализа инструмента, позволяющего автоматизировать перебор учетных данных – результатов краж и утечек, опубликовали F5 Labs и NTT (PDF), наблюдавшая активизацию Grim Spider.

Специалисты при этом отметили сходство BAS с легитимными инструментами разработчика Puppeteer и Selenium: они почти одинаково автоматизируют выполнение задач в Google Chrome.

В этом году, согласно телеметрии Team Cymru, к ресурсам Bablosoft обращались C2-серверы Bumblebee, BlackGuard и RedLine. Два из этих зловредов (инфостилеры) пытались воспользоваться валидатором учетных данных Gmail.

Поддомен для загрузок Bablosoft (46.101.13[.]144) чаще прочих запрашивают из России и Украины — судя по данным Whois.

 

Несколько хостов, ассоциируемых с криптоджекингом (майнером XMRig и трояном Tofsee), пытались воспользоваться Bablosoft-услугами по созданию цифровых отпечатков — видимо, для сокрытия вредоносной активности.

Управление некоторыми элементами инфраструктуры Bablosoft осуществляется, как выяснилось, с украинского IP-адреса. С него же обращаются к ряду хостов на порту TCP/27017, который обычно ассоциируется с MongoDB.

Anti-Malware Яндекс ДзенПодписывайтесь на канал "Anti-Malware" в Яндекс Дзен, чтобы первыми узнавать о новостях и наших эксклюзивных материалах по информационной безопасности.

RSS: Новости на портале Anti-Malware.ru