Организовывавшие DDoS-атаки украинские киберпреступники наконец пойманы

Организовывавшие DDoS-атаки украинские киберпреступники наконец пойманы

Интернет-холдингу Dating.com Group совместно с экспертными организациями в области кибер-безопасности – Group-IB и Qrator Labs, удалось вычислить и привлечь к судебной ответственности украинскую хакерскую группу, занимавшуюся вымогательством и проведением DDoS-атак на международные интернет-компании в течение 2-х лет.

В результате совместной работы по предотвращению атаки, установлению личностей участников хакерской группы и сбору доказательств для судебного преследования на Украине создан первый в истории прецедент по установлению полной меры уголовного наказания за кибер-преступление.

В 2015 и 2016 гг. один из проектов холдинга Dating.com Group – международный сервис онлайн-знакомств AnastasiaDate – столкнулся с мощными повторяющимися DDoS-атаками. Они вызвали многочасовые перебои в работе и отказ в обслуживании сайта компании. Каждый раз с представителями компании связывались организаторы атак и требовали вознаграждение за прекращение нападений на ресурс: с каждой атакой сумма увеличивалась в несколько раз.

Служба безопасности интернет-холдинга Dating.com Group обратилась к специалистам Group-IB за помощью в установлении личностей участников хакерской группы причастных к организации DDoS. Эксперты отдела расследований Group-IB проанализировали цифровые следы атаки и установили не только личности злоумышленников, но и цепочку других инцидентов, следы которых вели к тем же вымогателям. Ими оказались граждане Украины Гайк Гришкян, 1994 года рождения, и Инна Яценко, 1986 года рождения. В ходе расследования Group-IB выяснилось, что указанный ресурс был не единственной жертвой вымогателей. Группа хакеров под руководством Инны Яценко занималась блокировкой американских серверов, используя метод, известный как DDoS-атака, а затем пыталась вымогать средства у международных интернет-компаний. Атаке подвергались интернет-магазины, сайты букмекерских фирм, лотерейных и игровых компаний. В частности, жертвами «работы» украинских мошенников стала американская компания Stafford Associates, специализирующаяся на предоставлении услуг по аренде мощностей дата-центров и хостинга, а также сервис онлайн-платежей PayOnline.

«В ходе первой атаки фильтрационная сеть Qrator заблокировала приблизительно 2 000 IP-адресов. Не было заметно всплесков ни в количестве отправленных пакетов, ни принятых запросов. Снижение производительности приложения и сервера (увеличение задержек на ответ клиенту до 1 секунды представляет собой сильнейшую деградацию сервиса - ухудшение его работы), говорит о целенаправленной атаке прикладного уровня на специфическую уязвимую точку в архитектуре приложения. В ходе нейтрализации второй мощнейшей DDoS-атаки канального уровня в 20 Гбит/секунду на инфраструктуру компании сеть Qrator заблокировала более 10 000 IP-адресов. В случае успеха подобная атака может нанести непоправимый урон бизнесу, поставив его на грань выживания», — рассказывает основатель и CEO Qrator Labs Александр Лямин.

После сбора всех необходимых доказательств в декабре 2016 года на основании заявления потерпевших Национальная полиция Украины возбудила уголовное дело. В марте 2017 года в квартирах и офисах злоумышленников прошли обыски, в результате которых были изъяты компьютеры и мобильные телефоны. Судебная криминалистическая экспертиза подтвердила, что на конфискованных устройствах хранятся неопровержимые доказательства причастности Яценко и Гришкяна к вымогательствам в 2015 и 2016 годах. В ходе расследования Гришкян и Яценко признали свою вину по инкриминируемым эпизодам, в начале 2018 года суд приговорил каждого к 5 годам лишения свободы (условно).

«Это первое на Украине масштабное международное дело о DDoS-вымогательстве, которое было раскрыто с участием экспертов Group-IB и доведено до приговора, – комментирует Илья Сачков, CEO Group-IB. – Этот прецедент во многом показателен: он демонстрирует слаженную и эффективную работу международных партнеров, позволившую добиться цели и довести дело до суда. Неважно, где именно совершается преступление – на улице, в банке или в Интернете – преступник понесет за него заслуженное наказание. Важно понимать, что никогда и ни при каких обстоятельствах никто не должен платить выкуп злоумышленникам и тем самым спонсировать преступность. В «диалог» с преступниками должны вступать только профессиональные организации, имеющие подобный опыт и экспертизу».

Anti-Malware Яндекс ДзенПодписывайтесь на канал "Anti-Malware" в Яндекс Дзен, чтобы первыми узнавать о новостях и наших эксклюзивных материалах по информационной безопасности.

Новая атака с подделкой HTTP-запроса угрожает пользователям браузеров

Специалист по кибербезопасности Джеймс Кеттл предупреждает о новом способе использования HTTP-запросов в ходе кибератак на браузеры пользователей. Ранее Кеттл уже демонстрировал метод эксплуатации обработки HTTP-запросов со стороны веб-сайтов.

Эти так называемые атаки десинхронизации используют разногласия в том, как фронтенд и бэкенд сайта с одной стороны и фронтенд сервера — с другой интерпретирует HTTP-запросы. Эксплуатация таких нестыковок может перенаправить запросы компоненту бэкенда.

В результате для атакующего открывается целый спектр вредоносных действий: кража учётных данных, вызов неожиданных ответов от приложения и т. п. Год назад Кеттл описывал этот вектор в одной из своих статей.

Новое исследование специалиста строится на том, как киберпреступник может использовать те же проблемы обработки некорректного HTTP-запроса в ходе атак на посетителей веб-ресурсов. По словам эксперта, с помощью этого метода злоумышленники могут украсть учётные данные, установить бэкдоры и в целом скомпрометировать систему условного пользователя.

Согласно описанию Кеттла, атаки десинхронизации можно провести на Amazon.com и другие сайты, использующие AWS Application Load Balancer, Cisco ASA WebVPN, Akamai, Varnish Cache и Apache HTTP Server 2.4.52 и более старые версии.

Главное отличие атак десинхронизации на стороне сервера и на стороне клиента заключается в том, что в первом случае у злоумышленника под контролем должны быть системы с обратным прокси, а во втором ему потребуется специально сформированные запросы.

Для пользователя эти атаки опасны тем, что происходят непосредственно в его браузере. Кеттл продемонстрировал proof-of-concept, с помощью которого он смог перехватить токены аутентификации случайных пользователей на сайте Amazon.

В двух видеороликах специалист также показал атаку на Pulse Secure VPN и MITM на Apache (обе на стороне клиента):

 

С подробным техническим разбором этого вектора атаки можно ознакомиться в отчёте Джеймса.

Anti-Malware Яндекс ДзенПодписывайтесь на канал "Anti-Malware" в Яндекс Дзен, чтобы первыми узнавать о новостях и наших эксклюзивных материалах по информационной безопасности.

RSS: Новости на портале Anti-Malware.ru