Банк России обнаружил смещение внимания киберпреступников с банковской инфраструктуры на финансовые мобильные приложения клиентов с целью кражи данных или денежных средств со счетов. На финансовом рынке появилась высококвалифицированная хакерская группировка, которая специализируется на глубоком анализе мобильных приложений в целях обнаружения и эксплуатации слабостей и уязвимостей, отмечается в обзоре Центробанка «Основные типы компьютерных атак в кредитно-финансовой сфере в 2019–2020 годах», который цитирует РБК.

В ЦБ приводят два примера, когда киберпреступники обнаружили уязвимости мобильных приложений и использовали их для взлома. В результате в первом случае в Сети был опубликован сервер, содержащий файлы с персональными данными клиентов одного из банков — более 100 тыс. строк: ФИО, пол, номер мобильного телефона, адрес электронной почты, место работы, номер счета и банковской карты, тип счета, валюта. Во втором случае хакерам удалось похитить денежные средства: для этого они заходили в мобильное приложение банка и при проведении перевода подменяли свой номер счета на номер другого клиента банка, который становился жертвой.

Одноврменно с ростом активности в мобильном банкинге в ЦБ отмечают снижение числа наиболее опасных целевых атак со стороны известных хакерских группировок на информационную инфраструктуру банков, вплоть до их почти полного прекращения, что можно объяснить ростом защищенности информационных инфраструктур финансовых организаций, а также функционированием системы информационного обмена банков с ЦБ, благодаря которой об атаках тут же узнают все ее участники.

Специалисты компании Eset считают, что недавно обнаруженными в сервере электронной почты Microsoft Exchange уязвимостями успели воспользоваться по крайней мере десять хакерских групп. Этот серверный пакет широко распространен, и от действий хакеров пострадали уже десятки тысяч организаций. Новые сообщения о взломах поступают ежедневно. На днях, например, через уязвимость в Microsoft Exchange были похищены данные из компьютерной системы парламента Норвегии.

Преступники используют уязвимость не только для кражи данных, отмечают в Eset. Одна из групп, например, устанавливает на взломанные серверы программы для майнинга криптовалют.

Microsoft опубликовала информацию об уязвимости 2 марта, однако, считают специалисты, некоторые группы владели этой информацией и до публикации. Крайне редко случается, чтобы подобные сведения уже до публикации находились бы в распоряжении сразу нескольких групп. Возможно, информация утекла раньше, или же уязвимость была найдена одной из групп, специализирующихся на продаже таких сведений кибершпионам.

Компания Cisco провела онлайн-брифинг, в ходе которого бизнес-консультант по безопасности Алексей Лукацкий рассказал об основных тенденциях, наблюдавшихся в 2020 году в области кибербезопасности. Его выступление было посвящено анализу угроз, которые стали актуальными в прошлом году, прошедшем под знаком пандемии и удаленной работы, и описывает, что происходило «по ту сторону баррикад».

На первое место среди современных угроз информационной безопасности аналитики Cisco ставят шифровальщики (программы-вымогатели, ransomware). Это не просто одно из немногих направлений деятельности хакеров, которое видно широкой публике, но и крайне выгодная деятельность, приносящая хозяевам немалые деньги. На криптокошельках одной из крупных группировок, занимающихся шифровальщиками, всего за несколько атак накопилось около 190 биткоинов, что составляет миллионы долларов. Это очень прибыльный бизнес, поэтому активность злоумышленников в этой сфере только нарастает, а тактика становится все изощреннее.

Вымогательством занялись профи

Как отмечает Лукацкий, сегодня в обществе сформировалась не совсем точная картина восприятия шифровальщиков. Многие считают, что с помощью вымогательского ПО работают хакеры-любители, а серьезные группировки предпочитают действовать более серьезно и скрытно, похищая информацию с помощью целенаправленных атак (Advanced Persistent Threat, APT). На самом деле, это не так: фокус атак шифровальщиков уже перешел в гораздо более платежеспособный корпоративный сектор, привлекательный для профессиональных команд вымогателей.

Вымогатели действуют не только громко, но и более разрушительно, отодвигая на второй план группировки, известные только APT-атаками. Помимо традиционной кражи данных, они еще и оставляют после себя «выжженное поле», приводя в непригодное состояние инфраструктуру своих жертв. В этом случае на восстановление работоспособности тратятся огромные средства, зачастую многократно превосходящие сумму выкупа. Известны случаи, когда компании случайно страдали от действий шифровальщика (выкупа у них никто не требовал), но на восстановление систем требовалось несколько сотен миллионов долларов.

Эффективность действий злоумышленников, то есть процент успешных атак на компании, составляет 73%, на выкуп соглашаются примерно 26% жертв. То, что информация о таких инцидентах появляется не каждый день, связана лишь с тем, что ее предпочитают замалчивать. При этом стоимость программ-шифровальщиков в даркнете очень невелика (она составляет около 50 долл.), ее может позволить себе любой любитель-одиночка. Соблазн огромен, и в условиях кризиса, когда многие теряют работу, все больше тех, кто переходит на сторону зла.

Сотрудничество и шантаж

Новой тенденцией, связанной с пандемией, стало вынужденное сотрудничество между хакерскими группировками различного профиля. Так, злоумышленники, занимавшиеся атаками на финансовые организации, столкнулись со сложностями вывода похищенных средств: дроперы (люди, привлекаемые для обналичивания средств) в период карантина сидели по домам. Им пришлось монетизировать имеющийся доступ в сети финансовых компаний, продавая его вымогателям.

Еще одна тенденция, отмеченная в прошлом году, – обнародование конфиденциальных данных компаний, отказавшихся платить выкуп. Злоумышленники извлекают выгоду даже из таких случаев: им важно показать остальным, что компания наказана за строптивость, и это заставляет других быть сговорчивее. Публичность для многих жертв страшнее потерянных данных. Вероятно, в ряде случаев причиной могли быть не только коммерческая тайна и интеллектуальная собственность, но и не совсем законные активности компаний.

«Здесь вступает в силу обычный бизнес-интерес: далеко не все владельцы компаний готовы, чтобы их секреты стали всеобщим достоянием. Решение о выплате принимается не эмоционально, а диктуется бизнесом – это обычные расходы, вызванные стремлением минимизировать свои потери», — подчеркнул Лукацкий.

Законодатели мод

Владельцы семейства вымогателей Maze, появившегося в первой половине 2019 года, стали законодателем мод в мире киберпреступности в 2020 году и серьезно трансформировали рынок новыми правилами игры, попутно став самой эффективной группировкой. Именно они первыми занялись шантажом, угрожая публикацией украденных данных. Этот шаг оказался крайне успешным и привел к резкому росту выплат. Кроме того, владельцы Maze организовали картель операторов шифровальщиков, обмениваясь тактиками атак и создав биржу обмена украденными данными. Киберпреступность стала более организованной.

Наконец, до сих пор операторы программ-вымогателей не афишировали свою деятельность, чтобы не попадать лишний раз в поле зрения правоохранительных органов. По словам Лукацкого, Maze и здесь стали исключением, стремясь к максимальной публичности.

Группировка была очень озабочена своей репутацией, поддержанием доверия к себе, вела официальный сайт и активно взаимодействовали со СМИ. Им был важен рост популярности: они активно комментировали слухи и опровергали лживую информацию, отслеживали упоминания о себе и дистанцировались от желтой прессы. При этом Maze не атаковали пострадавшие от кризиса организации и медицинские учреждения, что встречается редко – обычно киберпреступники неразборчивы в выборе жертв. Считая себя лучшими в своей отрасли, они называли жертв клиентами и предлагали им техподдержку в части восстановления доступа к данным, с ними можно было поторговаться и согласовать форму оплаты. Очевидно, у Maze была своя картина мира, которой они придерживались.

В октябре 2020 года владельцы Maze объявили, что прекращают свою деятельность. Скорее всего, это связано с тем, что они выполнили свои финансовые цели и не хотели дольше необходимого оставаться под прицелом. Другие шифровальщики быстро занимают опустевшую нишу.

Угрозы удаленного доступа

Традиционные троянцы не ушли с арены, но находятся в тени шифровальщиков именно из-за цели оставаться незаметными. Постепенно они вытягивают из инфраструктуры компании огромные объемы данных. Современный троянец является «швейцарским ножом» хакера, обладая модульной структурой и очень широкими возможностями, в том числе записи видео и аудио, перехвата ввода с клавиатуры.

Говоря про троянцев, нельзя не вспомнить особенности пандемийного периода, который прошел под знаком удаленного доступа. Одним из основных бизнес-инструментов в это время стала технология удаленного рабочего стола. Совершенно ожидаемо она попала под прицел злоумышленников. Например, популярный сервис RDP, встроенный в Windows, по мнению Лукацкого, буквально пережил второе рождение, при этом став огромной дырой в безопасности компаний. Несколько уязвимостей RDP были найдены еще в 2019 году и продолжали использоваться весь 2020 год.

Из-за удаленной работы периметр организации стал размытым, и возможности злоумышленников серьезно возросли. Как показывают данные Cisco Secure Desktop, около трети организаций ежемесячно видели тревоги, связанные с RDP, но большинство на них не реагировали.

С момента массового перехода на удаленку активизировались злоумышленники, использующие интернет-ресурсы с целью заражения пользовательских ПК. В это время появилось немалое количество вредоносных сайтов, связанных с темой коронавируса, госуслуг и выплат пособий. При этом инфраструктурно не было создано ничего нового: просто изменилась тематика деятельности сайтов, злоумышленники активно подстраиваются под повестку дня. Они используют любой информационный повод, чтобы привлечь людей на свои ресурсы и атаковать его компьютер.

«Своих не обижают»?

Из особенностей ситуации в России можно отметить, что проблемы в безопасности здравоохранения были не столь актуальными, как на Западе. Как известно, бичом прошлого года во всем мире стали атаки на фармацевтические компании, занимающиеся разработкой вакцин, и медицинские организации. Медики часто вынуждены платить выкуп, потому что это часто связано с угрозой жизням пациентов.

«Нам неизвестны случаи атак медицинских организаций в России в прошлом году. Ранее они случались, но до сих пор не стали массовыми», — констатировал Лукацкий. Вообще российские компании не столь часто подвергаются атакам шифровальщиков и других вредоносных программ, как их зарубежные коллеги. Нередко вредоносные программы разрабатывается российскими группировками, которые «своих не обижают» — анализ кода показывает, что он не предназначен для атак в Рунете. Это интересная тенденция, но полагаться на нее всерьез не стоит: во-первых, патриотизм силен не у всех, а во-вторых, не стоит забывать о зарубежных группировках.

Схожая ситуация наблюдается и с атаками на системы АСУ ТП промышленных предприятий. Отмечается рост интереса злоумышленников к такого рода системам, но пока он не носит взрывного характера. И если атаки осуществляются, то чаще не на сами АСУ ТП, а на офисные системы промышленных предприятий. Возможно, злоумышленники пока не научились монетизировать свои атаки на промышленные системы и платформы Интернета вещей.

Как подчеркнул Лукацкий, не стоит думать, что Россия находится на задворках мирового рынка информационной безопасности. Скорее, наоборот – опросы показывают, что восприятие российскими компаниями ключевых факторов успеха в сфере информационной безопасности находится выше мирового уровня. При этом средние расходы на безопасность в российских компаниях среднего и крупного бизнеса в 2020 году составили 1,4 млн долл. В Cisco заявляют, что выгода от их внедрения вдвое превышает инвестиции.

Хакерская атака на программное обеспечение Microsoft может привести к глобальном кризису информационной безопасности. По меньшей мере 60 тыс. организаций по всему миру подверглось взлому из-за уязвимости в программном обеспечении корпорации Exchange Server, сообщает Bloomberg со ссылкой на источники, знакомые с ходом расследования. Киберпреступники стремятся заразить как можно больше компьютеров, прежде чем компания сможет полностью обезопасить всех своих клиентов.

Об атаке на серверы почтовых ящиков Exchange Server компания Microsoft сообщила 2 марта. По данным компании, за атакой стоит китайская хакерская группировка под названием Hafnium. Хакеры пытались получить информацию от исследователей инфекционных заболеваний, юридических фирм, вузов, неправительственных учреждений, аналитических центров и ряда других организаций. Участники группировки использовали неизвестный ранее механизм, с помощью которого были украдены пароли или найдены уязвимости в работе ПО для обмена сообщениями и делового взаимодействия.

Китайские власти, со своей стороны, заявили, что выступают против кибератак и не имеют никакого отношения к взлому.

США в ближайшие три недели предпримут ряд кибератак против России в ответ на крупномасштабный взлом американских правительственных сетей, обнаруженный в конце 2020 года, сообщает The New York Times. Хакерские атаки будут скрытными и незаметными для остального мира, но «очевидными для российской разведки, вооруженных сил и президента Владимира Путина», пишет газета.

Кибератаки будут проводится в сочетаниями с экономическими санкциями. По словам собеседников издания, это станет тем самым ответом на взлом федеральных сетей, которым Белый дом угрожал ранее.

Кроме того, в Вашингтоне рассматривают возможные ответные кибертатаки против Китая. 2 марта в Microsoft заявили, что хакерская группировка Hafnium, за которой стоят китайские власти, атаковала почтовые сервисы компании и пыталась украсть информацию из нескольких организаций.

О масштабной хакерской атаке на правительственные ведомства и крупные компании стало известно в середине декабря прошлого года; она продолжалась несколько месяцев, киберпреступники получили доступ в том числе к сетям Минфина и Минторга.

Вашингтон возложил ответственность за кибератаку на хакерскую группировку Cozy Bear, якобы работающую на российские спецслужбы. Для взлома хакеры использовали уязвимость в программных продуктах компании SolarWinds. Позднее президент Microsoft Брэд Смит на слушаниях в сенате заявил, что у компании есть «солидные» доказательства причастности Москвы к взлому американских сетей. В России неоднократно отрицали свою причастность к произошедшему.

Исследователи из израильской компании Check Point Software Technologies полагают, что некоторые функции в изученных ими шпионских программах, которые распространяют, как считается, китайские хакеры, настолько похожи на аналогичные функции в программах для взлома компьютерных систем, разработанных в Агентстве национальной безопасности США, что объяснить это можно только прямым заимствованием.

В 2016 году от имени группы, называвшей себя Shadow Brokers, в Интернете был опубликован набор программ для взлома, принадлежавших хакерской группе Equation Group, которую считают связанной с Агентством национальной безопасности США. Как оказалось, эти программы использовали несколько неизвестных на тот момент уязвимостей в системе Windows. После публикации уязвимости были закрыты, но, как выяснили в Check Point, хакеры эксплуатировали их по крайней мере с 2013 года. Китайская группа APT31 скопировала и активно использовала инструменты Equation Group, утверждают в Check Point. Таким образом, не исключено, что инструменты, созданные в АНБ, были в итоге использованы против американских целей.

Трое граждан КНДР, которых министерство юстиции США считает сотрудниками военной разведки, обвиняются в участии в ряде взломов компьютерных систем различных компаний и организаций — от банков до киностудий — в результате которых у них были украдены денежные средства и криптовалюта на сумму свыше 1,3 млрд долл. Одному из обвиняемых обвинение уже было предъявлено раньше, в 2018 году.

Обвиняемые причастны ко взлому в 2014 году систем Sony Pictures Entertainment, утверждает министерство юстиции США. Этот взлом был местью за выпуск комедии «Интервью», в которой показывалось покушение на главу КНДР. Они также участвовали в создании вымогательской программы WannaCry 2.0. В 2017 году эта программа серьезно нарушила работу государственной службы здравоохранения Великобритании. В обвинительном заключении перечисляются атаки на банки многих стран и использование для кражи денег системы SWIFT, а также распространение вредоносных программ для кражи криптовалюты.

Точный объем похищенных средств установить трудно — в некоторых случаях кражу удавалось предотвратить, но суммы были значительными. В самом крупном хищении из центрального банка Бангладеша был похищен 81 млн долл.

Для нового состава конгресса США вопросы кибербезопасности, по всей видимости, будут иметь гораздо большее значение, чем для прежнего. После происшествия со взломом систем компании SolarWinds администрация избранного президента Байдена обещает сделать обеспечение кибербезопасности одной из главных задач. На это предлагается выделить порядка 10 млрд долл., из которых 690 млн получит агентство по кибербезопасности и безопасности инфраструктуры CISA.

Будущий председатель комитета по разведке сената США Марк Уорнер намерен провести слушания по делу о взломе SolarWinds и вновь изучить вопрос об обязательном уведомлении о происшествиях, связанных с утечкой данных, как для государственных, так и для частных компаний. Члены палаты представителей от демократической партии планируют внести законопроекты о выделении средств на обеспечение кибербезопасности штатам и местным органам власти и о борьбе с вымогательскими программами.

Вполне вероятно, что в конгрессе будут рассматриваться вопросы о безопасности компьютерных систем самого конгресса. Пока неясно даже, пострадала ли безопасность этих систем из-за недавнего вторжения участников беспорядков в здание конгресса.

Вредоносные программы, с помощью которых осуществлялся массовый взлом компьютерных систем государственных учреждений и частных компаний США, были обнаружены и во внутренних системах Microsoft, сообщает компания.

В Microsoft, как и во многих других компаниях, использовали широко распространенную программу для управления компьютерными сетями Orion разработки компании SolarWinds. Взломщики сумели внедрить свои компоненты в пакеты обновления Orion. Зараженные пакеты, по оценкам SolarWinds, могли получить до 18 тыс. пользователей Orion. В Microsoft утверждают, что вредоносный код во внутренних системах удалось изолировать и удалить, а признаков того, что через эти системы осуществлялась атака на другие компании, не обнаружено. В то же время в бюллетене Агентства национальной безопасности США сообщается, что взломаны были некоторые сервисы облачной системы Microsoft Azure.

В минюсте ФБР и минобороны США, а также в ряде других учреждений рабочая связь переведена на засекреченные сети, в которые, как предполагается, взломщики не проникли. Безопасность обычно используемых сетей считается нарушенной. Ко всему прочему, после проникновения взломщики могли создать для себя другие пути доступа.

По сообщениям Microsoft, группа хакеров, стоящих за взломом SolarWinds, сумела проникнуть в сети компании и получить доступ к определенной части исходного кода. Исходный код традиционно относится к числу наиболее тщательно охраняемых секретов технологических компаний, и Microsoft всегда особенно осторожно подходила к его защите. К каким именно репозиториям исходного кода сумели получить доступ хакеры, не уточняется.

Ранее Microsoft, как и другие компании, уже сообщала об обнаружении в своей сети вредоносных версий программного обеспечения SolarWinds, но о похищении ее исходного кода речь зашла впервые. Утверждалось также, что никаких доказательств получения хакерами доступа к производственным процессам не обнаружено.

В компании заверили, что изменений исходного кода, которые могли бы иметь катастрофические последствия с учетом повсеместного распространения операционной системы Windows и офисных приложений Microsoft, не произошло. Однако, по мнению экспертов, уже сама по себе возможность просмотра исходного кода помогает хакерам понять, каким образом можно использовать продукты и сервисы Microsoft в своих целях. Хотя, конечно, непосредственное присутствие в исходном коде криптографических ключей и паролей маловероятно.

Американские официальные лица приписывают атаку SolarWinds хакерам, связанным с Россией, однако наши власти это категорически отрицают.

Главный же вопрос, к каким именно хранилищам исходного кода удалось получить доступ хакерам, пока остается без ответа. Возможно, взлом SolarWinds – это лишь разведка перед следующей большой операцией.