Group-IB: разрушение инфраструктуры, основная угроза финансовому сектору

Александр Панасенко 10 Октября 2017 - 22:30

Корпорации

Вредоносные программы

Вирусы-вымогатели

Вирусы-шифровальщики

Целевые атаки

Таргетированные атаки

Саботаж

...

Group-IB: разрушение инфраструктуры, основная угроза финансовому сектору

По данным отчета Hi-Tech Crime Trends 2017, представленного компаний Group-IB на ежегодной конференции CyberCrimeCon, за год в результате хищений в интернет-банкинге у юридических лиц с использованием вредоносных программ было украдено почти $10,4 млн, а в ходе целевых атак на банки — более $27 млн.

Несмотря на снижение обоих показателей на 35% по сравнению с прошлым годом, целевые атаки на финансовые организации продолжат приносить киберпреступникам наибольший доход. Однако, по мнению экспертов, уже в ближайшее время широкое распространение в финансовом секторе получит новая угроза — выведение из строя инфраструктуры. Причем использовать ее будут как финансово мотивированные киберпреступники, так и хакеры, спонсируемые государством.

В начале 2017 года эксперты Group-IB зафиксировали первые случаи использования шифровальщиков для сокрытия следов ограбления банка. В ходе атаки на один из банков группировка Cobalt получила контроль над всей его информационной сетью. После совершения хищения хакеры запустили модифицированную версию шифровальщика Petya — PetrWrap — на всех компьютерах в сети, чтобы скрыть следы преступления. Впоследствии часть данных удалось восстановить, однако большая часть компьютеров в сети банка вышли из строя, что сильно усложнило расследование инцидента.

«После проведения успешных атак на банки атакующие всегда стремились уничтожить следы своего присутствия, чтобы усложнить проведение расследования и как можно дольше оставаться незамеченными для исследователей. Для уничтожения следов они использовали такие инструменты, как SDelete, MBRKiller, самописные утилиты для уничтожения данных. Было очевидно, что использование шифровальщиков для сокрытия следов атаки — лишь вопрос времени, — уверен Дмитрий Волков, руководитель отдела расследований и сервиса киберразведки Threat Intelligence, сооснователь Group-IB. — Более интересен тот факт, что проправительственные хакеры очень оперативно уловили этот тренд и последовали примеру киберпреступников».

В марте 2017 года группировка Black Energy, которая ранее была известна своими атаками на энергетические компании, не просто сменила профиль, атаковав ряд украинских банков, но и использовала для этого собственного шифровальщика.

Напомним, что в основе, пожалуй, самой резонансной хакерской атаки этого года также лежал шифровальщик WannaCry, поразивший IT-инфраструктуру ряда крупных организаций, в том числе банков. По мнению экспертов, за ней стоит Lazarus — группа государственных хакеров из Северной Кореи. Очевидно, что целью атаки было не получение финансовой выгоды, а оказание влияния на конкретные объекты, чью работоспособность было необходимо нарушить.

В случае с NotPetya атака, за которой, предположительно, стоит та же Black Energy, была более целенаправленной, хотя целью обеих атак можно считать выведение из строя инфраструктуры: в июне 2017 года хакерам удалось временно остановить производство на ряде предприятий, а также нарушить процессы в компаниях нефтегазового и финансового секторов.

«Ущерб от простоя в банковской сфере может быть гораздо более ощутимым, чем от хищения. Получение контроля над IT-инфраструктурой крупных системообразующих банков или выведение ее из строя дает возможность оказывать влияние на национальную экономику, курс валюты и приводит к другим масштабным последствиям, в которых не всегда заинтересованы финансово мотивированных хакеры. Таким образом, использование шифровальщиков в финансовой сфере — это, скорее, инструмент влияния, нежели финансовой выгоды. И практика последних атак только подтверждает этот тезис, — продолжает Волков. — Однако вне зависимости от принадлежности хакеров и их целей жертвой атаки в первую очередь становятся конкретная финансовая организация и ее клиенты».

Следующая главная новость »

Подписывайтесь на канал "AM Live" в Telegram, чтобы первыми узнавать о главных событиях и предстоящих мероприятиях по информационной безопасности.

Екатерина Быстрова 25 Ноября 2025 - 20:00

Трояны Домашние пользователи Малый и средний бизнес

Через вредоносные Blender-файлы распространяют инфостилер StealC V2

Исследователи обнаружили новую кампанию «с российским следом», в рамках которой злоумышленники распространяют инфостилер StealC V2 через вредоносные файлы Blender, загруженные на крупные 3D-маркетплейсы вроде CGTrader. Blender позволяет выполнять Python-скрипты — они используются для автоматизации, кастомных панелей, ригов и аддонов.

Если у пользователя включена функция Auto Run, скрипты запускаются автоматически при открытии файла. Этим и пользуются атакующие: многие художники и моделлеры включают Auto Run ради удобства.

Специалисты Morphisec заметили, что вредоносные .blend-файлы содержат встроенный Python-код, который загружает лоадер с домена в Cloudflare Workers.

Далее загрузчик скачивает PowerShell-скрипт, который подтягивает два ZIP-архива — ZalypaGyliveraV1 и BLENDERX — с IP-адресов, контролируемых злоумышленниками.

Архивы распаковываются во временную папку, откуда создают LNK-файлы в автозагрузке для постоянства. Затем жертве подсовываются два компонента: основной инфостилер StealC и вспомогательный Python-стилер для подстраховки.

По данным Morphisec, атакующие используют последнюю версия второго поколения StealC — того самого, который ранее изучала Zscaler. Новый StealC заметно расширил функции:

крадёт данные из 23+ браузеров и поддерживает расшифровку паролей на стороне сервера, включая Chrome 132+;
поддерживает свыше 100 расширений криптокошельков и более 15 отдельных приложений;
ворует данные мессенджеров (Telegram, Discord, Tox, Pidgin), VPN-клиентов (ProtonVPN, OpenVPN) и почтовых программ, включая Thunderbird;
оснащён обновлённым механизмом обхода UAC.

При этом свежие версии StealC по-прежнему почти не детектируются антивирусами: Morphisec отмечает, что образец, который они изучали, не был распознан ни одним движком на VirusTotal.

Атака опасна тем, что 3D-маркетплейсы не могут проверять встроенный в файлы код. Художникам, аниматорам и моделлерам рекомендуется:

отключить автоматический запуск Python-скриптов: Blender → Edit → Preferences → снять галочку с Auto Run Python Scripts;
относиться к 3D-ассетам как к потенциально исполняемому коду;
скачивать файлы только у надёжных авторов или тестировать их в песочнице.

Злоумышленники явно ориентируются на профессиональное сообщество 3D-контента — и такая схема может оказаться особенно опасной для студий и фрилансеров, которые работают с большим количеством моделей из внешних источников.

Group-IB: разрушение инфраструктуры, основная угроза финансовому сектору

Читайте также