Обнаружен основной инструмент Lazarus, используемый в атаках на ATM

Обнаружен основной инструмент Lazarus, используемый в атаках на ATM

Обнаружен основной инструмент Lazarus, используемый в атаках на ATM

В октябре этого года Министерство внутренней безопасности США вместе с ФБР и другими структурами опубликовало предупреждение о новой вредоносной кибероперации под названием «FASTCash». В ходе этой кампании киберпреступная группа Lazarus (она же Hidden Cobra) похищала денежные средства из банкоматов. Теперь специалистам антивирусной компании Symantec удалось добраться до инструмента, который Lazarus использовала в ходе своих атак.

Эксперты обнаружили ранее неизвестный ИБ-сообществу вредонос, который теперь детектируется как Trojan.Fastcash. Именно его злоумышленники внедряли на заблаговременно взломанные серверы кредитных организаций.

«Symantec обнаружила ключевой компонент, который киберпреступники использовали в ходе недавних атак на банкоматы. Операция, известная под названием “FASTCash”, позволила мошенникам опустошать ATM. Первым делом преступники Lazarus взламывали сети нужных банков и компрометировали серверы, отвечающие за транзакции банкоматов», — пишет компания в блоге.

Trojan.Fastcash, выполняя свою часть, перехватывал поддельные запросы Lazarus на снятие наличных, а затем отправлял фейковые ответы, одобряющие операцию.

В США заявили, что в 2017 году злоумышленникам таким образом удалось одновременно снять средства с банкоматов, установленных в более чем 30 разных странах. В другом крупном инциденте, который произошел уже в этом году, киберпреступники сняли деньги с ATM, расположенных в 23 различных странах.

После установки на сервере Trojan.Fastcash будет считывать весь поступающий трафик в поиске запроса ISO 8583. Также считываться будет PAN, при обнаружении используемого атакующими PAN зловред попытается модифицировать эти сообщения.

К слову, за последние полтора года северокорейская группа Lazarus атаковала, как минимум, 5 криптобирж: Yapizon, Coinis, YouBit, Bithumb, Coinckeck. После заражения хакеры проводили разведку локальной сети, чтобы найти компьютеры или серверы, на которых велась работа с приватными кошельками криптобирж.

Не взлом, а давление: мошенники всё чаще охотятся на подростков

Эксперты «Перспективного мониторинга» выяснили: мошенники всё активнее давят не на системы, а на психику. Причём бьют по самым уязвимым — детям, подросткам и пожилым людям. В мае специалисты зафиксировали рост схем, где главную роль играют паника, доверие и срочность.

Один из популярных сценариев — родственник в беде, только теперь звонят не бабушкам, а детям.

Злоумышленники представляются полицейскими, врачами или знакомыми семьи и сообщают, что родители якобы попали в ДТП или отделение полиции. Дальше всё по классике: срочно найди дома деньги, карты, ценности и передай курьеру. Ребёнок напуган, проверить информацию не успевает, мошенникам только это и нужно.

Похожая схема работает и в мессенджерах. Взламывается аккаунт подростка, после чего его друзьям и родственникам летят просьбы срочно одолжить денег. Знакомый профиль снижает бдительность, деньги уходят не другу, а в карман злоумышленникам.

Отдельная кормушка — игры. Детям предлагают скачать взломанные версии популярных тайтлов, бесплатную валюту или моды. На деле вместе с подарком на устройство может прилететь вредоносная программа, которая крадёт данные, перехватывает сообщения и коды подтверждения или позволяет управлять гаджетом.

Есть и беспроигрышные конкурсы от имени блогеров: оплатите доставку, комиссию или подтверждение выигрыша — и, конечно, получите не приз, а тишину. Летом добавляется ещё одна приманка: выгодная подработка для подростков. Ссылки для оформления ведут на фишинговые анкеты, где собирают персональные данные, включая сведения о родителях.

Особенно активно мошенники эксплуатируют экзаменационный сезон. Под видом сотрудников школ или ведомств они пугают подростков проблемами с ЕГЭ и требуют подтвердить данные или прислать СМС-коды. Параллельно работают сайты и боты с продажей ответов на ЕГЭ за 799-5000 рублей. После оплаты жертва получает пустой архив или вредоносный файл под видом PDF.

RSS: Новости на портале Anti-Malware.ru