Group-IB раскрыла подробную информацию о киберпреступниках Cobalt

Group-IB раскрыла подробную информацию о киберпреступниках Cobalt

Group-IB раскрыла подробную информацию о киберпреступниках Cobalt

Group-IB, международная компания, специализирующаяся на предотвращении кибератак и разработке продуктов для информационной безопасности, сегодня обнародовала новый отчет, раскрывающий преступления хакерской группы Cobalt в отношении банков и других организаций во всем мире. Последние на данный момент целевые атаки группы были проведены 23 и 28 мая. Их целями стали банки в России, странах СНГ и предположительно зарубежные финансовые организации. Фишинговые письма, используемые Cobalt, рассылались от имени крупного антивирусного вендора.

По данным Европола хакеры Cobalt похитили свыше 1 млрд. евро. Согласно исследованию Group-IB, только в одном из инцидентов в европейском банке Cobalt попытались вывести 25 млн. евро В новом отчете «Cobalt: эволюция и совместные операции» эксперты Threat Intelligence Group-IB впервые приводят уникальные доказательства связи Cobalt и группы Anunak (Carbanak), анализируют их совместные атаки и используемые инструменты для взлома систем SWIFT, карточного процессинга, платежных шлюзов. Предположительно в новой майской атаке группы также действовали вместе.

28 мая около 13:00 по МСК зафиксирована свежая вредоносная рассылка Cobalt. Письмо от имени Центрального Европейского банка с ящика v.constancio @ ecb-europa[.]info было разослано по банкам. В письме содержится ссылка на документ 67972318.doc, якобы описывающий финансовые риски. 

Файл 67972318.doc - документ Word, эксплуатирующий уязвимость CVE-2017-11882. В результате открытия эксплоита и успешной эксплуатации уязвимости произойдет заражение и первичное «закрепление» вредоносной программы в системе банка с помощью уникального загрузчика JS-backdoor, уникальной разработки Cobalt.

В Group-IB не исключают, что жертвами этих кибератак могли быть не только банки России и СНГ: оба письма составлены на английском языке, что говорит о возможных целях в иностранных банках. Снова качество фишинговых писем оценивается экспертами компании как высокое. Например, в атаке 23 мая текст на английском языке стилизован под «юридическую жалобу», а поддельный сайт kaspersky-corporate.com также отличался более высоким уровнем качества, что не характерно для Cobalt. Эти и другие признаки вновь указывали на вероятность проведения оставшимися на свободе членами группа Cobalt совместной операции с другими преступными группами, в частности, Anunak. Детальная информация с техническими индикаторами «работы» групп приводится в отчете «Cobalt: эволюция и совместные операции».

«Cobalt по-прежнему активен: участники группы не прекращают атаковать финансовые и другие организации во всем мире, – комментирует Дмитрий Волков, CTO Group-IB. – Мы убеждены в том, что коллаборация Cobalt и Anunak, позволившая установить своего рода анти-рекорды этим группам в части реализации наиболее сложных атак, завершившихся выводом сотен миллионов долларов, еще не исчерпала себя. Для того, чтобы дать возможность бизнесу и регуляторам рынка принять превентивные меры против действий этих преступников, мы публикуем технические индикаторы для защиты от фишинга, для идентификации инфраструктуры и методов, до сих пор используемых этими преступниками».

 

Напомним, в марте стало известно, что благодаря скоординированным действиям международных правоохранителей, глава преступных групп Carbanak и Cobalt был пойман в Испании.

AM LiveПодписывайтесь на канал "AM Live" в Telegram, чтобы первыми узнавать о главных событиях и предстоящих мероприятиях по информационной безопасности.

Мошенники зовут россиян на фальшивые свидания через сайты-двойники

В России появился новый вариант старой схемы FakeDate — теперь аферисты зовут жертв не только в кино или на стендап, но и в музеи, оперу и даже на романтические прогулки на лошадях. Об этом сообщили аналитики компании F6, которая фиксирует рост активности мошенников перед новогодними праздниками.

По данным F6, злоумышленники создают сайты-двойники популярных билетных сервисов, предлагая купить билеты на несуществующие мероприятия. Всего выявлено не менее семи скам-групп, а три из них с начала 2025 года уже похитили у россиян более 330 миллионов рублей.

Сценарий обмана начинается стандартно. Мошенник под видом привлекательной девушки размещает анкету на сайте знакомств или в телеграм-чате. Для убедительности он использует реальные фотографии, обработанные нейросетью, а иногда — голосовые и видеосообщения от подставных моделей.

После короткого общения «девушка» предлагает сходить на свидание и присылает ссылку на покупку билетов.

Сайт, на который попадает пользователь, выглядит почти как настоящий: там можно выбрать дату, место и оплатить «билеты». После оплаты сценарий всегда один — «партнёрша» либо исчезает, либо пишет, что встреча отменяется и предлагает оформить возврат, в ходе которого с карты списывают деньги ещё раз.

В F6 отмечают, что помимо денег жертвы теряют и личные данные — имя, номер телефона, почту и банковскую информацию, которые потом могут использовать для новых атак.

По словам аналитика компании Вячеслава Судакова, за последние месяцы количество подобных схем растёт, а пик активности приходится на праздники — в декабре, феврале и марте.

«Мошенничество с фальшивыми свиданиями — простой и доходный бизнес. Все инструменты для него уже автоматизированы, поэтому новичку достаточно следовать инструкции», — добавляет эксперт.

Напомним, ранее мы писали, что мошенники заработали на фальшивых свиданиях почти 10 млн рублей.

AM LiveПодписывайтесь на канал "AM Live" в Telegram, чтобы первыми узнавать о главных событиях и предстоящих мероприятиях по информационной безопасности.

RSS: Новости на портале Anti-Malware.ru