Северокорейские хакеры атакуют банки по всему миру

Северокорейские хакеры атакуют банки по всему миру

Северокорейские хакеры атакуют банки по всему миру

30 мая 2017 года компания Group-IB, занимающаяся производством инновационных продуктов в области предотвращения киберугроз и расследованием киберпреступлений, представила исследование активности хакерской группировки Lazarus.

Анализируя не только вредоносный код, но и сложную технологическую инфраструктуру группы, ее каналы связи и инструменты маскировки, Group-IB представила новые доказательства северокорейского происхождения Lazarus и раскрыла неизвестные детали ее атак.

Долгое время Lazarus занималась шпионажем в системах государственных, военных, аэрокосмических учреждений в Южной Корее и США и DDoS-атаками на них. Мировую известность группа получила в 2014 году после взлома кинокомпании Sony Pictures Entertainment накануне выхода комедии «Интервью», высмеивающий северокорейский режим и его лидера.

В последние годы вектор атак Lazarus сместился в сторону международных финансовых организаций. В 2016 году группа попыталась похитить почти $1 млрд из центрального банка Бангладеш посредством атаки систему межбанковских переводов SWIFT. Ошибка в платежном документе позволила предотвратить, возможно, крупнейшее ограбление банка в истории: хакерам удалось вывести только $81 млн. В 2017 году Lazarus атаковала несколько банков в Польше, а спектр ее целей расширился до сотни финансовых организаций в 30 странах мира, включая Европейский центральный банк, ЦБ России, Бразилии и Венесуэлы.

«Бытует мнение, что проправительственные хакеры занимаются только шпионажем и политически мотивированными атаками. На примере Lazarus мы видим, что продвинутые технологии позволяют им выбирать самые защищенные цели, например, успешно атаковать банки и финансовые институты – и они активно интересуются такими возможностями. При этом обнаруживать и расследовать такие атаки сложнее, чем нападения со стороны традиционных преступных группировок», – считает Дмитрий Волков, руководитель отдела расследований и сервиса киберразведки Threat Intelligence, со-основатель Group-IB.

Для управления зараженными компьютерами Lazarus использовал сложносоставные, многомодульные инструменты. При этом они смогли провести несколько успешных атак, ни на одном из этапов не использовав 0-day эксплойты (инструменты для эксплуатации ранее неизвестных уязвимостей). Из-за непрерывной доработки и изменения используемых модулей, выявить активность Lazarus, используя антивирусы и endpoint-решения, крайне сложно.

Для маскировки хакеры выстроили трехуровневую инфраструктуру С&C-серверов с шифрованным SSL-каналом связи. А в некоторых случаях командный сервер, через который осуществлялось управление, вообще находился внутри атакованной организации — это позволяло снизить риск обнаружения и получить доступ к тем компьютерам, у которых в целях безопасности отключен прямой выход в интернет. В качестве дополнительного способа анонимизации использовался легитимный сервиса SoftEther VPN, который никак не детектируется средствами защиты. С начала 2016 года Lazarus пыталась маскировать атаки под активность «русских хакеров», добавляя отладочные символы и прописывая русские слова на латинице в код вредоносной программы. Кроме того, группа использовала инструменты, разработанные русскоязычными киберпреступниками.

Несмотря на усилия хакеров, Group-IB удалось установить, что на протяжении нескольких лет атаки велись из одного места – района Potonggang в Пхеньяне. 

«Учитывая усиление экономических санкций в отношении КНДР, а также возросшую геополитическую напряженность в регионе, мы не исключаем новых атак Lazarus на международные финансовые учреждения. В связи с этим мы рекомендуем банкам повышать осведомленность о шаблонах и тактике проведения целевых атак, регулярно проводить обучение персонала и использовать данные о киберугрозах специализированных Intelligence-компаний» - сказал Дмитрий Волков.

Спрос на рекламу в Telegram снизился до 12%, но рынок не рухнул

Массового обрушения рынка рекламы в Telegram не произошло. Снижение спроса не превышает 12% и в основном затронуло сферы, где особенно важна визуальная составляющая: моду и стиль, кулинарию, интерьер и строительство. При этом эффективность рекламы, напротив, скорее выросла.

Такую оценку «Газете.Ru» дала руководитель отдела контентного продвижения и инфлюенс-маркетинга E-Promo Ксения Голубева.

Ключевым фактором стало разрешение размещать рекламу на платформе до конца года. При этом каналы активно перестраиваются: пересматривают частоту публикаций, формат контента и рекламные интеграции.

Ограничения слабо сказались и на активности авторов каналов:

«По данным WhoIsBlogger на конец марта, полностью прекратили публикации лишь около 2% каналов — это очень небольшая доля для такой чувствительной среды. Большинство авторов продолжает работать, пусть и более осторожно».

В марте объём публикуемого контента снизился по сравнению с февралем заметнее — более чем на 12%. Вместе с ним сократилась и рекламная активность. Однако к драматическим последствиям это не привело: по оценке Ксении Голубевой, каналы скорее оптимизируют частоту размещений и аккуратнее работают с рекламодателями.

Сильнее всего пострадали сегменты, где важен визуальный контент: мода, лайфстайл, интерьер, строительство и кулинария.

«Такие форматы сильнее зависят от стабильного трафика. При любом снижении охвата именно визуальный контент проседает быстрее. Мы уже видим, как часть рекламодателей и авторов в этих нишах переориентируются на более простые текстовые форматы, которые дешевле в производстве и устойчивее к колебаниям трафика», — рассказала Ксения Голубева.

При этом эффективность рекламы даже выросла за счёт снижения конкуренции. Кроме того, оставшиеся игроки получили более выгодные условия размещения.

В то же время несколько усложнился таргетинг. Причиной стало использование средств обхода блокировок, из-за чего снижается точность геотаргетинга по отдельным регионам и городам.

По мнению эксперта, дальше ситуация будет развиваться по сценарию, похожему на историю с Instagram (принадлежит признанной в России экстремистской и запрещённой корпорации Meta). Сокращение рекламы, вероятно, пройдёт в две волны: сначала уходят самые осторожные игроки, а следующая волна возможна позже, когда ограничения окончательно закрепятся и оставшиеся участники рынка пересоберут свои стратегии. Однако резкого падения не ожидается: скорее произойдёт перераспределение рынка между другими площадками.

RSS: Новости на портале Anti-Malware.ru