Group-IB: разрушение инфраструктуры, основная угроза финансовому сектору

В начале 2017 года эксперты Group-IB зафиксировали первые случаи использования шифровальщиков для сокрытия следов ограбления банка. В ходе атаки на один из банков группировка Cobalt получила контроль над всей его информационной сетью. После совершения хищения хакеры запустили модифицированную версию шифровальщика Petya — PetrWrap — на всех компьютерах в сети, чтобы скрыть следы преступления. Впоследствии часть данных удалось восстановить, однако большая часть компьютеров в сети банка вышли из строя, что сильно усложнило расследование инцидента.

«После проведения успешных атак на банки атакующие всегда стремились уничтожить следы своего присутствия, чтобы усложнить проведение расследования и как можно дольше оставаться незамеченными для исследователей. Для уничтожения следов они использовали такие инструменты, как SDelete, MBRKiller, самописные утилиты для уничтожения данных. Было очевидно, что использование шифровальщиков для сокрытия следов атаки — лишь вопрос времени, — уверен Дмитрий Волков, руководитель отдела расследований и сервиса киберразведки Threat Intelligence, сооснователь Group-IB. — Более интересен тот факт, что проправительственные хакеры очень оперативно уловили этот тренд и последовали примеру киберпреступников». 

В марте 2017 года группировка Black Energy, которая ранее была известна своими атаками на энергетические компании, не просто сменила профиль, атаковав ряд украинских банков, но и использовала для этого собственного шифровальщика.

Напомним, что в основе, пожалуй, самой резонансной хакерской атаки этого года также лежал шифровальщик WannaCry, поразивший IT-инфраструктуру ряда крупных организаций, в том числе банков. По мнению экспертов, за ней стоит Lazarus — группа государственных хакеров из Северной Кореи. Очевидно, что целью атаки было не получение финансовой выгоды, а оказание влияния на конкретные объекты, чью работоспособность было необходимо нарушить.

В случае с NotPetya атака, за которой, предположительно, стоит та же Black Energy, была более целенаправленной, хотя целью обеих атак можно считать выведение из строя инфраструктуры: в июне 2017 года хакерам удалось временно остановить производство на ряде предприятий, а также нарушить процессы в компаниях нефтегазового и финансового секторов.