Group-IB сообщила о масштабной кибератаке на российских банкиров

В середине недели российские банки подверглись крупнейшей с начала года кибератаке, ее провела хакерская группа Silence — одна из самых малочисленных и слабо изученных. Об этом РБК сообщили в пресс-службе компании Group-IB, специализирующейся на предотвращении кибератак.

Как выяснили специалисты, 16 января хакеры запустили масштабную волну вредоносных рассылок, которая насчитывала более 80 тыс. получателей. Среди них — сотрудники российских кредитно-финансовых организаций, большую часть которых составляют банки и крупные платежные системы.

Впервые в практике этой хакерской группировки рассылка с вредоносным кодом внутри была замаскирована под приглашение на XIX м​еждународный форум iFin-2019 «Электронные финансовые услуги и технологии», который пройдет в Москве 19–20 февраля. Организаторы мероприятия разослали официальные приглашения в 9:00 мск 16 января, а несколькими часами позже еще одно «приглашение» отправили хакеры Silence.

Письмо от злоумышленников содержало текст, в котором говорится, что получателю надо открыть приложенный ZIP-архив, заполнить находящуюся там анкету и переслать его отправителю. Внутри архива действительно содержалось приглашение на банковский форум, однако вместе с ним был помещено вредоносное вложение Silence.Downloader aka TrueBot. Данный​ инструмент, отмечают в Group-IB, используют только хакеры этой группировки.

В январе хакеры из Silence провели еще две фишинговые рассылки, целью которых были российские банки. Письма якобы от начальников отделов межбанковских операций несуществующих банков. Они обращались в реальные российские банки с просьбой оперативно рассмотреть вопрос по открытию и обслуживанию корреспондентских счетов их организаций. Во вложении к письму содержался договор. При его распаковке на компьютер пользователя автоматически загружался вредонос Silence.Downloader.

«Очевидно, что масштаб действий Silence увеличивается: мы наблюдаем рост атак не только по России, но и активные действия в отношении европейских и ближневосточных финансовых компаний», — рассказал Рустам Миркасымов, руководитель отдела динамического анализа вредоносного кода, эксперт по киберразведке Group-IB.

По его словам, Silence — одна из самых опасных русскоязычных групп.

Полную картину о масштабе и эффекте от атаки установить проблематично, поскольку изначально фишинговую рассылку поймала система Group-IB, в которой подключены банки-клиенты компании. Они не заразились, отметил в разговоре с РБК представитель Group-IB.

«Но поскольку рассылка реально огромная (для примера: прежняя ноябрьская рассылка якобы от имени Центробанка содержала 52 банка), плюс они (хакеры. — РБК) начали использовать довольно изощренные методы социальной инженерии, подстраиваясь под банковскую повестку (iFin-2019), вероятность открытия письма и, соответственно, заражения высока», — рассказал он, отвечая на вопрос о масштабе ущерба российского банковского сектора от совершенной атаки.

В «Лаборатории Касперского» также зафиксировали рассылку Silence 16 января.

«Технически схема внедрения злоумышленников в инфраструктуру жертвы напоминает схему атак Carbanak — вредоносная рассылка позволяет закрепиться на компьютерах сотрудников банка или иного финансового учреждения, следить за его работой и через какое-то время — вывести деньги. Эта схема остается эффективной, хотя киберпреступникам все сложнее проводить успешные атаки, в целом уровень защищенности по российской финансовой системе заметно вырос за последнее время», — пояснил РБК ведущий антивирусный эксперт «Лаборатории Касперского» Сергей Голованов.

Group-IB добавляет, что киберпреступники активно атакуют финансовые организации в период с конца декабря по середину января. Именно перед новогодними праздниками на счетах банков появляется большое количество денежных средств​, а банковские работники становятся не столь бдительны, чем и пользуются злоумышленники.