Северокорейские хакеры атакуют банки по всему миру

Северокорейские хакеры атакуют банки по всему миру

30 мая 2017 года компания Group-IB, занимающаяся производством инновационных продуктов в области предотвращения киберугроз и расследованием киберпреступлений, представила исследование активности хакерской группировки Lazarus.

Анализируя не только вредоносный код, но и сложную технологическую инфраструктуру группы, ее каналы связи и инструменты маскировки, Group-IB представила новые доказательства северокорейского происхождения Lazarus и раскрыла неизвестные детали ее атак.

Долгое время Lazarus занималась шпионажем в системах государственных, военных, аэрокосмических учреждений в Южной Корее и США и DDoS-атаками на них. Мировую известность группа получила в 2014 году после взлома кинокомпании Sony Pictures Entertainment накануне выхода комедии «Интервью», высмеивающий северокорейский режим и его лидера.

В последние годы вектор атак Lazarus сместился в сторону международных финансовых организаций. В 2016 году группа попыталась похитить почти $1 млрд из центрального банка Бангладеш посредством атаки систему межбанковских переводов SWIFT. Ошибка в платежном документе позволила предотвратить, возможно, крупнейшее ограбление банка в истории: хакерам удалось вывести только $81 млн. В 2017 году Lazarus атаковала несколько банков в Польше, а спектр ее целей расширился до сотни финансовых организаций в 30 странах мира, включая Европейский центральный банк, ЦБ России, Бразилии и Венесуэлы.

«Бытует мнение, что проправительственные хакеры занимаются только шпионажем и политически мотивированными атаками. На примере Lazarus мы видим, что продвинутые технологии позволяют им выбирать самые защищенные цели, например, успешно атаковать банки и финансовые институты – и они активно интересуются такими возможностями. При этом обнаруживать и расследовать такие атаки сложнее, чем нападения со стороны традиционных преступных группировок», – считает Дмитрий Волков, руководитель отдела расследований и сервиса киберразведки Threat Intelligence, со-основатель Group-IB.

Для управления зараженными компьютерами Lazarus использовал сложносоставные, многомодульные инструменты. При этом они смогли провести несколько успешных атак, ни на одном из этапов не использовав 0-day эксплойты (инструменты для эксплуатации ранее неизвестных уязвимостей). Из-за непрерывной доработки и изменения используемых модулей, выявить активность Lazarus, используя антивирусы и endpoint-решения, крайне сложно.

Для маскировки хакеры выстроили трехуровневую инфраструктуру С&C-серверов с шифрованным SSL-каналом связи. А в некоторых случаях командный сервер, через который осуществлялось управление, вообще находился внутри атакованной организации — это позволяло снизить риск обнаружения и получить доступ к тем компьютерам, у которых в целях безопасности отключен прямой выход в интернет. В качестве дополнительного способа анонимизации использовался легитимный сервиса SoftEther VPN, который никак не детектируется средствами защиты. С начала 2016 года Lazarus пыталась маскировать атаки под активность «русских хакеров», добавляя отладочные символы и прописывая русские слова на латинице в код вредоносной программы. Кроме того, группа использовала инструменты, разработанные русскоязычными киберпреступниками.

Несмотря на усилия хакеров, Group-IB удалось установить, что на протяжении нескольких лет атаки велись из одного места – района Potonggang в Пхеньяне. 

«Учитывая усиление экономических санкций в отношении КНДР, а также возросшую геополитическую напряженность в регионе, мы не исключаем новых атак Lazarus на международные финансовые учреждения. В связи с этим мы рекомендуем банкам повышать осведомленность о шаблонах и тактике проведения целевых атак, регулярно проводить обучение персонала и использовать данные о киберугрозах специализированных Intelligence-компаний» - сказал Дмитрий Волков.

Yandex Zen AMПодписывайтесь на канал "Anti-Malware" в Yandex Zen, чтобы узнавать о новостях и эксклюзивных материалах по информационной безопасности в своей персональной ленте.

Лаборатории Касперского открыла первый Центр прозрачности в Цюрихе

Сегодня, 13 ноября, «Лаборатория Касперского» начала обработку вредоносных и подозрительных файлов, поступающих от европейских пользователей продуктов компании, в Цюрихе, где также открыла свой первый Центр прозрачности. Это важные шаги в реализации глобальной инициативы по информационной открытости – масштабного проекта «Лаборатории Касперского», анонсированного в октябре 2017 года. Он нацелен на то, чтобы повысить устойчивость IT-инфраструктуры компании даже к гипотетическим рискам и сделать все её процессы ещё более прозрачными для текущих и будущих клиентов и широкой общественности.

Пользователи «Лаборатории Касперского» могут добровольно согласиться делиться данными с облачной инфраструктурой Kaspersky Security Network (KSN). С 13 ноября 2018 года часть этих данных, а именно подозрительные или ранее неизвестные вредоносные файлы, а также соответствующие метаданные для автоматического анализа, получаемые компанией от европейских пользователей, начнут обрабатываться в двух ЦОДах в Швейцарии. Процесс создания дополнительной инфраструктуры по обработке данных, как ожидается, полностью завершится к концу 2019 года. Другие сведения, включая обезличенную статистику угроз, начнут обрабатываться в Цюрихе на следующих этапах реализации глобальной инициативы по информационной открытости.

Кроме того, 13 ноября «Лаборатории Касперского» открыла свой первый Центр прозрачности в Цюрихе. В рамках этой структуры доверенным партнёрам и правительственным организациям предлагается возможность проверить исходный код продуктов компании. Кроме этого, они смогут получить доступ к базам данным вирусных сигнатур, обновлениям ПО, документации по безопасной разработке ПО и другим важным материалам. Центр прозрачности позволит проводить внешний аудит и оценку исходного кода компании, а также изучать техническую документацию в безопасной и удобной среде, специально созданной для этого.

Вслед за запуском Центра прозрачности и центра обработки данных для европейских пользователей «Лаборатория Касперского» планирует создание дополнительных ЦОДов для пользователей из других регионов, а также запуск в Цюрихе инфраструктуры, позволяющей проводить компиляцию ПО (создание «конвейера для сборки ПО») для пользователей из Европы, США и других стран. 

Согласно независимым рейтингам, Швейцария входит в число мировых лидеров по количеству доступных защищённых интернет-серверов. IT-инфраструктура этой страны, её ЦОДы имеют самую высокую репутацию на глобальном уровне. Находясь в сердце Европы и при этом не являясь членом Европейского союза, Швейцария сформировала собственную политику регулирования конфиденциальных данных, которая гарантируется Конституцией государства и федеральными законами. Кроме того, в стране действуют строгие правила, регулирующие процедуры обработки запросов на получение электронных данных, поступающих от органов власти.

«Стремление к транспарентности становится новой нормой в IT-индустрии и в частности в индустрии кибербезопасности. Мы гордимся тем, что находимся на передовой линии этого процесса, и серьёзно относимся к защите данных наших пользователей и надёжности наших продуктов. Создание в Швейцарии дополнительной инфраструктуры по разработке ПО и обработке пользовательских данных – яркое тому подтверждение. Обещания, данные нами в рамках глобальной инициативы по информационной открытости, уже успешно реализуются. Мы приглашаем экспертное сообщество и правительственные организации ознакомиться с нашими продуктами (исходным кодом, программными обновлениями и прочей технической документацией) в нашем новом Центре прозрачности в Цюрихе. Считаем, что подобные шаги – это только начало как для компании, так и для индустрии в целом. Необходимость подтверждать надёжность продуктов скоро станет отраслевым стандартом», – подчеркнул Евгений Касперский, генеральный директор «Лаборатории Касперского».

«Создание Центра прозрачности «Лаборатории Касперского» в Швейцарии подтверждает, что наша страна стала глобальным центром инноваций и технологий с сильным кластером кибербезопасности. Она предоставляет передовую и безопасную цифровую инфраструктуру, которая привлекает всё больше технологических лидеров», – отметил Лив Миндер (Liv Minder), директор по привлечению инвестиций Switzerland Global Enterprise.

Yandex Zen AMПодписывайтесь на канал "Anti-Malware" в Yandex Zen, чтобы узнавать о новостях и эксклюзивных материалах по информационной безопасности в своей персональной ленте.

RSS: Новости на портале Anti-Malware.ru