Взлом ограбления испортил французские банки

Ограбление банка просто не то, что было раньше. Резать дыры в стенах, разоружать камеры наблюдения, взламывать сейфы… это ооочень 1990-е годы. Современному грабителю нужны кибер-навыки. Троян удаленного доступа (RAT) более эффективен, чем крот в офисе банка. И зачем взламывать сейф, когда вы можете переводить деньги по беспроводной сети? Группа банков и транснациональных корпораций во Франции пострадала именно от такого рода ограблений в области высоких технологий, и Symantec задокументировала всю драму.

Все началось с простого электронного письма, в котором указывалось, что административный помощник вице-президента должен обработать определенный счет. Учитывая, что счет был размещен за пределами компании, на сайте обмена файлами, администратор мог колебаться. Однако через несколько минут этому же помощнику позвонил якобы другой вице-президент с просьбой ускорить выставление счета. Обманутая мошенническим телефонным звонком, она открыла его, выпустив RAT в сети компании. Агрессивная комбинация фишинговой электронной почты и мошеннических телефонных звонков заинтересовала исследователей Symantec; они копали глубже и находили все более и более серьезные удары по другим французским компаниям.

Оборона побеждена

В опубликованном сегодня сообщении в блоге Symantec рассказала, как злоумышленникам удалось победить все средства защиты одной компании от несанкционированных денежных переводов. Это действительно читается как сценарий для ограбления фильма.

Для начала, они использовали двойную атаку социальной инженерии, описанную выше, чтобы загрузить RAT на ПК помощника администратора. RAT собирала информацию о компании, включая план действий на случай стихийных бедствий и информацию о ее поставщике услуг связи. Используя украденную информацию, мошенники применили план действий на случай стихийного бедствия, заявив о физическом бедствии. Это позволило им перенаправить все телефоны организации на новый набор телефонов под их контролем.

Затем они отправили по факсу запрос в банк компании на несколько крупных переводов средств на оффшорные счета. Естественно представитель банка позвонил для подтверждения; мошенники перехватили звонок и одобрили сделку. Как только деньги появились на этих оффшорных счетах, они откачивали их. Шалость удалась!

Symantec обнаружил немало других случаев, многие из которых гораздо менее сложны. Например, один злоумышленник просто позвонил жертве и заявил, что регулярное обслуживание требует временного отключения двухфакторной аутентификации для перевода средств. Другой сообщил потерпевшему, что для обновления компьютера требуется «тестовый» перевод средств; «Тест» фактически перевел реальные средства на оффшорный счет. Очевидно, доверчивые люди являются слабым местом во многих системах безопасности.

Whodunnit?

Зная, что подобного рода шутки имели место, команде Symantec удалось добиться успеха в ходе производственной операции - каперса, которого они назвали «франкоязычный». Им удалось отследить командно-контрольный трафик через Украину по IP-адресам, исходящим из Израиля.

Анализируя используемые IP-адреса, они заметили две странности. Во-первых, адреса поступили из блока, назначенного специально для карт MiFi - сотовых радиостанций GSM, которые можно использовать для обеспечения доступа в Интернет через сотовую сеть. Во-вторых, они постоянно менялись, а это значит, что плохие парни ездили, проезжая разные вышки сотовой связи. Телеком не мог триангулировать движущуюся цель, а соединения MiFi были явно анонимными и с предоплатой, так что поймать мошенников было невозможно.

Я не могу дождаться версии фильма!