Задержаны сим-своперы, укравшие миллионы у американских селебрити

Задержаны сим-своперы, укравшие миллионы у американских селебрити

Задержаны сим-своперы, укравшие миллионы у американских селебрити

Полиция Англии и Шотландии произвела восемь арестов по результатам расследования серии атак, проведенных посредством подмены сим-карт (sim swapping). Эти инциденты получили широкую огласку, так как злоумышленники избрали мишенями хорошо известных представителей шоу-бизнеса и выдающихся спортсменов США.

В расследовании деятельности криминальной группы, промышляющей сим-свопингом, приняли участие правоохранительные органы Великобритании, США, Бельгии, Мальты и Канады. По оценке Европола, за год эта банда провела тысячи атак с целью получения доступа к чужому телефону и совокупно украла у своих жертв более $100 млн в криптовалюте.

Молодым людям, задержанным в Великобритании, инкриминируется мошенничество, отмывание денег и совершение преступлений, предусмотренных Законом о неправомерном использовании компьютерных технологий (Computer Misuse Act). Им также грозит экстрадиция в США, где открыто аналогичное уголовное дело.

Ранее в Бельгии и на Мальте были задержаны еще два предполагаемых сообщника; их судьба пока не известна.

Расследование деятельности данной группировки было запущено около года назад. Как оказалось, мошенники обманом вынуждали операторов сотовой связи оформлять замену сим-карты для целевых телефонных номеров. В итоге авторы атаки получали доступ к аккаунту жертвы, его контактам, профилям в соцсетях, звонкам и смс-сообщениям. Такой угон позволял выполнять различные действия от имени законного пользователя, включая денежные переводы и операции с криптовалютой.

Сим-свопинг — хорошо известный вид мошенничества, однако преступников в этом случае редко удается поймать за руку и призвать к ответу. Так, в начале 2019 года в Калифорнии завершился беспрецедентный процесс по делу о краже $5 миллионов с помощью сим-свопинга; ответчик был наказан лишением свободы на 10 лет.

В настоящее время в США рассматривается дело Стивена Дефьоре (Stephen Daniel Defiore), которого обвиняют в пособничестве сим-своперам. По версии следствия, этот сотрудник телефонной компании использовал свое служебное положение для перевыпуска сим-карт в рамках мошеннической схемы и получал за это комиссионные. По совокупности (преступный сговор и мошенничество) ему грозит до пяти лет тюрьмы и штраф до 250 тыс. долларов.

Хакеры клонировали сайт CERT-UA и разослали зловред под видом защиты

Киберпреступники провели целевую фишинговую кампанию, замаскировавшись под украинскую CERT-UA. Злоумышленники не просто рассылали письма, они создали клон официального сайта и предлагали жертвам скачать якобы «защитный инструмент», который на деле оказывался зловредом.

Атаки фиксировались 26-27 марта и были направлены на широкий круг организаций: государственные структуры, банки, учебные заведения, медицинские учреждения и ИТ-компании.

Сценарий выглядел убедительно: в письмах от имени CERT-UA предлагалось скачать архив с названием вроде «CERT_UA_protection_tool.zip», якобы содержащий средство защиты.

На практике внутри архива находился троян AGEWHEEZE. После запуска он давал атакующим полный контроль над системой: позволял выполнять команды, управлять файлами, делать скриншоты, следить за действиями пользователя и даже эмулировать нажатия клавиш и движения мыши.

 

Дополнительно злоумышленники подстраховались инфраструктурой. Они развернули поддельный сайт cert-ua[.]tech, визуально копирующий официальный ресурс CERT-UA и использующий его контент. Это повышало доверие и делало атаку ещё более правдоподобной.

Сам зловред написан на Go и умеет закрепляться в системе — например, через установку в каталог AppData и создание задач в планировщике. Для связи с командным сервером он использует WebSocket-соединение, что позволяет атакующим получать постоянный доступ к заражённым устройствам.

CERT-UA связала кампанию с группой UAC-0255. Косвенное подтверждение появилось и в публичном поле: телеграм-канал «КИБЕР СЕРП» заявил о причастности к атаке, а в коде поддельного сайта нашли характерную подпись «With Love, CYBER SERP».

RSS: Новости на портале Anti-Malware.ru