Cobalt использует шлюзы платежных систем для вывода средств из банков

Cobalt использует шлюзы платежных систем для вывода средств из банков

Cobalt использует шлюзы платежных систем для вывода средств из банков

Группа киберпреступников Cobalt продолжает свою вредоносную деятельность. На этот раз злоумышленники придумали новый способ вывода средств из атакованых банков. Он заключается в использовании шлюзов платежных систем. Благодаря этой схеме преступники вывели 100 000 долларов из Банка жилищного финансирования (БЖФ).

Источники в правоохранительных органах, с которыми беседовали сотрудники «Ъ», также сообщили, что похожим атакам подверглись еще три кредитные организации. Крайне низкий уровень кибербезопасности — вот, что объединяло эти три банка.

Успешная атака, которая позволила преступникам вывести $100 000 через шлюзы платежных систем, произошла в прошлом месяце. Эксперты отмечают, что это довольно оригинальный способ, который, во-первых, не присущ данной группировке, а во-вторых, вообще не использовался уже много лет.

Владимир Кузнецов, исполнительный директор CyberPlat, объяснил, что при таком способе вывода денежные средства можно выводить как онлайн, так и траншами. Минусом могут выступать ограничения на переводы, которые накладывают платежная система и банк, каждый со своей стороны.

Способ заражения кредитной организации был до боли прост — вредоносная программа пришла с фишинговым письмом, которое было замаскировано под официальное письмо от Альфа-банка. В письме утверждалось, что кредитная организация хочет решить вопрос с мошенническими транзакциями, которые исходят от БЖФ.

«Атака с почты, названием схожей с адресом известной организации, крайне распространенный хакерский прием, рассчитанный на невнимательность», — передал «Ъ» комментарии пресс-службы Альфа-банка.

В августе группа Cobalt была замечена в незаконной онлайн-активности. В тот раз злоумышленники атаковали банки России и Румынии целевым фишингом. Во вредоносных электронных письмах содержались две злонамеренные составляющие, которые связываются с двумя разными командными серверами C&C.

Samsung Galaxy S22 Ultra начали превращаться в кирпич после сброса настроек

Некоторые владельцы Galaxy S22 Ultra столкнулись с очень странной проблемой: после сброса к заводским настройкам их смартфоны внезапно начинают считаться корпоративными устройствами, якобы принадлежащими некой Numero LLC. Из-за этого телефон блокируется через механизм Knox Mobile Enrollment, а пользователь фактически теряет над ним контроль.

Сценарий у пострадавших почти одинаковый, как описывают в Android Authority и сами пользователи на форуме Samsung.

После сброса до заводских настроек человек подключает смартфон к Wi-Fi и начинает обычную настройку Android, но вместо привычного входа в аккаунт получает экран с предупреждением «This device isn’t private».

Дальше система сообщает, что устройство управляется организацией, а действия пользователя могут быть видны удалённому администратору. При этом владельцы утверждают, что покупали смартфоны как обычные розничные устройства, а не как часть корпоративного парка.

 

 

Самое неприятное здесь — простыми способами это не лечится. По сообщениям пользователей, повторные сбросы и даже ручная перепрошивка через Odin не помогают. Причина в том, что такая привязка, вероятно, проверяется на уровне IMEI через серверы Samsung: если устройство числится за организацией, профиль MDM подтягивается снова уже во время первоначальной настройки.

Дополнительные подозрения вызывает и сам «администратор». В жалобах фигурирует приложение SAMSUNG ADMIN, а рядом с ним — странный брендинг FRP UNLOCK SAMSUNG и название компании Numero LLC, которую журналисты не нашли в обычных американских реестрах компаний.

 

Почему это вообще могло произойти, пока до конца неясно. Среди возможных версий называют компрометацию аккаунта реселлера с доступом к Knox Mobile Enrollment, использование сторонних сомнительных сервисов разблокировки, а также возможные злоупотребления вокруг корпоративных механизмов Samsung.

Хуже всего то, что пользователи, по их словам, оказываются в замкнутом круге между поддержкой Samsung и командами Knox: одни отправляют к другим, а готового механизма быстро снять такую привязку, похоже, нет. Формально правильный путь — обращаться в Samsung с подтверждением покупки и требовать отвязки IMEI, но на практике это, судя по отзывам, может затянуться надолго.

RSS: Новости на портале Anti-Malware.ru