Хакерские названия. Русскоязычная группировка Silence атакует банки и состоит всего из двух человек. Самые знаменитые хакерские группы

Хакеры из группировки Cobalt, летом 2016 года заставившие банкоматы на Тайване и в Таиланде выбрасывать деньги, в первой половине 2017 года атаковали более 250 организаций по всему миру, рассылая письма от имени Visa и MasterCard

Фото: Markku Ulander / Lehtikuva / ТАСС

​Хакерская группировка Cobalt, известная масштабными атаками на финансовые учреждения, в результате которых банкоматы начинали выдавать деньги, и предположительно имеющая российские корни, в 2017 году значительно расширила сферу деятельности. Согласно отчету специализирующейся в области информационной безопасности компании Positive Technologies (есть у РБК), в первой половине 2017 года Cobalt разослала фишинговые письма, содержащие в себе зараженные файлы, более чем 3 тыс. получателей из 250 компаний в 12 странах мира. К списку традиционных для Cobalt целей, находящихся в СНГ, странах Восточной Европы и Юго-Восточной Азии, добавились компании, расположенные в Северной Америке, Западной Европе и Южной Америке, в частности в Аргентине. В сфере интересов группировки теперь не только банки, но и биржи, страховые компании, инвестфонды и другие организации.

Как утверждают эксперты, методы хакеров эволюционируют. Теперь, прежде чем атаковать банки, Cobalt предварительно взламывает инфраструктуру их партнеров — четверть всех атак приходится на госорганизации, промышленные компании, телекоммуникационные операторы и предприятия из сферы медицины. «Атаки на нефинансовые организации осуществляются с целью подготовки плацдарма для последующих атак на банки. К примеру, злоумышленники могут рассылать фишинговые письма от лица регулятора или партнера банка, для которого он предоставляет услуги», — пояснил РБК заместитель директора центра компетенции по экспертным сервисам Positive Technologies Алексей Новиков. Он отмечает, что кредитно-финансовые организации гораздо лучше защищены от киберугроз, чем государственные органы и компании промышленного сектора. «Они постоянно совершенствуют свои защитные механизмы по причине частых атак на их инфраструктуру, поэтому злоумышленникам проще взломать инфраструктуру контрагента банка или государственной организации для осуществления непосредственной атаки на банк», — говорит Новиков.

Атаки на кредитно-финансовую сферу, на которые приходится 75% всех усилий хакеров из этой команды, стали более изощренными. Группировка массово отправляет фишинговые письма с поддельных доменов, имитирующие сообщения от Visa, MasterCard, центра реагирования на кибератаки в финансовой сфере Центрального банка России (FinCERT) и Национального банка Республики Казахстан, рассказали в Positive Technologies. Для этих целей Cobalt использовала как минимум 22 поддельных домена, имитирующих сайты крупных финансовых организаций и их контрагентов.

Кто есть кто

Наиболее опасными для банковского сообщества эксперты считают несколько группировок — Lurk, Buhtrap, Carbanak, Lazarus.

Хакеры из команды Lurk, создавшие одноименный банковский троян, смогли похитить со счетов российских банков более 1,7 млрд руб., прежде чем в июне 2016 года были задержаны МВД и ФСБ. Правоохранительные органы арестовали около 50 человек, связанных с этой группой, и заблокировали фиктивные платежные поручения еще на 2,3 млрд руб.

Группа Buhtrap была замечена экспертами в сфере информационной безопасности в 2014 году. По данным специализирующейся на предотвращении киберугроз Group-IB, с августа 2015 года по февраль 2016-го ее хакеры похитили со счетов российских банков 1,8 млрд руб., совершив 13 успешных атак. Среди пострадавших оказались Металлинвестбанк и Русский международный банк. Преступники рассылали жертвам содержавшие зараженные файлы фальшивые сообщения от имени Центробанка. Именно с деятельностью этой группировки эксперты Group-IB и Positive Technologies связывают хакеров из Cobalt. «Вероятно, часть группировки Buhtrap или даже основной ее костяк перешли в Cobalt. На данный момент Cobalt, безусловно, лидирует по степени опасности для отечественной финансовой среды как наиболее профессиональная и технически подкованная», — утверждают специалисты Positive Technologies.

В «Лаборатории Касперского» придерживаются мнения, что члены Cobalt — это выходцы из другой опасной группировки, Carbanak, первые атаки которой зафиксированы в 2013 году. «В 2014-2015 годах при хищении денежных средств из банков использовалась вредоносная программа Carbanak, для работы которой была необходима определенная инфраструктура — сетевые адреса. Потом те же самые адреса применялись для управления вредоносной программой, которая вошла в состав вредоносного программного обеспечения», — рассказал ведущий антивирусный эксперт «Лаборатории Касперского» Сергей Голованов. По его данным, в группировке Carbanak состоит около ста человек, а ущерб от ее действий уже превысил $1 млрд. В среднем одна атака обходится российским банкам в десятки миллионов рублей, говорит Голованов.

Еще одна группа, целенаправленно атакующая банки, — Lazarus, наиболее известная кражей $81 млн из Банка Бангладеш в 2016 году. Согласно отчету Group-IB, эти хакеры могут быть близки к госструктурам КНДР, так как совершали часть атак из пхеньянского района Потхонган, где расположена штаб-квартира национального комитета по обороне КНДР.

Немало беспокойства вызвали и хакеры из сообщества под названием Metel, сейчас, возможно, прекратившие свою деятельность. Они были активны с 2011 года и за несколько лет смогли скомпрометировать счета на сумму более $250 млн. В ходе атаки на Энергобанк в 2016 году действия Metel к изменению курса рубля более чем на 15% и нанесли банку ущерб в размере 244 млн руб.

Как они атакуют

Типовая атака Cobalt состоит из нескольких этапов, рассказывает представитель Positive Technologies. Сначала регистрируются поддельные домены, якобы принадлежащие крупным компаниям, например Visa. Затем в адрес банков и их контрагентов проводится фишинговая рассылка, содержащая вредоносный файл, обычно документ Microsoft Word. После открытия этого вложения пользователем запускается программа, которая не дает системам антивирусной защиты среагировать на вирус. После чего загружается собственно троян, который позволяет организовать удаленный доступ к рабочему компьютеру сотрудника компании-жертвы. Далее злоумышленники могут либо развивать атаку внутри организации, либо отправить со взломанного рабочего стола письмо с аналогичным вредоносным софтом в другую организацию.

«Наша статистика показывает, что в среднем 20-30% сотрудников открывают потенциально опасные вложения, ставящие под угрозу всю безопасность компании. Но в данном случае процент открывших был в 2-2,5 раза выше, так как письма отправлялись от лица контрагента, а в ряде случаев даже от имени конкретных сотрудников», — говорят в Positive Technologies.

Руководитель отдела динамического анализа вредоносного кода Group-IB Рустам Миркасымов говорит, что главной целью Cobalt по-прежнему остается похищение денег у финансовых организаций, однако атаки хакеров действительно стали затрагивать не только банки. «Нашей системой Threat Intelligence были выявлены атаки на юридические компании, страховые компании, информационные и новостные агентства, лизинговые компании. Это делается для того, чтобы протестировать атаку на эффективность для дальнейших атак на банковскую инфраструктуру. Уже известны случаи, когда инфраструктура крупного интегратора использовалась этой группой для проведения атак на банки в Румынии, Казахстане, Азербайджане, Молдавии, России и др.», — говорит Миркасымов. По его словам, средняя сумма хищений по одному инциденту составляет около 100 млн руб.

Ущерб российских банков от действий хакеров за 2016 год составил чуть более 2 млрд руб., сообщал ранее заместитель начальника главного управления безопасности и защиты информации Центробанка Артем Сычев. Средний ущерб от кибератаки в этот период в мире в среднем составлял $926 тыс. на одну финансовую организацию, говорится в отчете «Лаборатории Касперского». В то же время средний годовой объем расходов одного банка на обеспечение кибербезопасности, по данным компании, сейчас достигает в мире $58 млн, что в три раза больше, чем у нефинансовых организаций.

Хакеры действуют на просторах интернета беспрестанно. Однако лишь некоторые их атаки становятся действительного крупными и легендарными. Пришло время взглянуть на несколько исторических хаков.

Взлом Ashley Madison 2015 года: 37 миллионов пользователей

Группа хакеров, известная как Impact Team, взломала серверы компании Ashley Madison и украла личные данные 37 миллионов пользователей. После этого хакеры опубликовали полученную информацию на различных веб-сайтах. Очерненная репутация пользователей возымела эффект во всем мире, в том числе появлялись сообщения, что пользователи заканчивали свои жизни самоубийством из-за хака. Этот взлом запомнился не только тем, что этот акт был публичным, но также и тем, что хакеры завоевали себе славу борцов против неверности и лжи.

Вирус Conficker 2008 года: до сих пор инфицирует миллионы компьютеров ежегодно

Несмотря на то что эта мощная вирусная программа не нанесла непоправимого ущерба, она по прежнему отказывается умирать. Она постоянно прячется, а при первой возможности копируется на другие машины. Но еще более пугающим является то, что этот вирус продолжает открывать задние двери на инфицированных компьютерах для дальнейших хакерских атак. Этот вирус размножается и распространяется по различным компьютерам, где он скрывается в тени, параллельно превращая ваш компьютер в бота для рассылки спама или же считывая данные вашей кредитной карты и ваши пароли, затем пересылая эти данные хакерам. Этот вирус является очень умной компьютерной программой. Он деактивирует ваш антивирус, чтобы защитить себя. Он так известен благодаря тому, насколько он настойчиво продолжает существовать и насколько широко он распространился. Спустя восемь лет после того, как он был обнаружен, он до сих пор путешествует по интернету.

Вирус Stuxnet 2010 года: блокирована ядерная программа Ирана

Эта вирусная программа, которая весила менее одного мегабайта, была запущена в сеть иранских ядерных заводов. Когда вирус достиг точки назначения, он взял под контроль всю систему. Затем он приказал пяти тысячам урановых центрифуг вращаться без контроля, внезапно останавливаться, а затем снова начинать вращение, параллельно посылая отчеты о том, что все в порядке. Эта хаотичная манипуляция продолжалась в течение 17 месяцев, заставляя заводы жить своей собственной жизнью, а рабочих и ученых сомневаться в собственном рассудке. И на протяжении всего этого времени никто не знал, что происходит. Коварная и скрытная атака принесла больше вреда, чем если бы эти центрифуги были бы просто уничтожены. Вирус вел тысячи специалистов по неправильному пути в течение полутора лет, потратив тысячи часов работы и урановые ресурсы, оцениваемые миллионами долларов. Этот хак запомнился как размахом, так и хитростью: вирус атаковал ядерную программу страны, которая находилась в состоянии конфликта с США и другими мировыми державами, а также он обманывал тысячи научных работников в течение полутора лет, пока он скрытно выполнял свою грязную задачу.

Взлом Home Depot 2014 года: более 50 миллионов кредитных карт

Используя пароль одного из продавцов сети магазинов, хакеры смогли украсть самое большое количество данных кредитных карт в истории. Используя бреши в операционной системе «Майкрософта», хакеры смогли проникнуть на серверы до того, как «Майкрософт» предпринял попытку закрыть эти бреши. Как только они смогли попасть в первый магазин сети в Майами, хакеры начали действовать по всему континенту. Они наблюдали за транзакциями, проходящими в 7 тысячах кассовых аппаратов этой сети. Они собирали данные о кредитных картах, по мере того как пользователи совершали покупки в этих магазинах. Эта хакреская атака запомнилась тем, что она была направлена против мощной корпорации и миллионов ее доверенных клиентов.

Spamhaus 2013 года: крупнейшая DDOS-атака в истории

DDOS-атака — это, по сути, поток данных. Используя десятки компьютеров, которые повторяют одинаковый сигнал с большой частотой и на высоком уровне шума, хакеры буквально затапливают и перегружают компьютерные системы в интернете. В марте 2013 года эта конкретная DDOS-атака оказалась настолько большой, что она замедлила работу всего интернета во всем мире, а также полностью отключило его в некоторых частях мира на целые часы.

Взлом eBay 2014 года: 145 миллионов пользователей

Многие говорят, что это было самое крупное нарушение общественного доверия в истории онлайн-бизнеса. Однако другие говорят, что это было гораздо менее печально, чем массовые кражи, так как произошла утечка лишь личных данных, а не финансовой информации. Независимо от того, с какой точки зрения вы решите взглянуть на этот инцидент, миллионы покупателей в интернете потеряли свои данные, которые были защищены паролем. Этот хак является особо запоминающимся, так как он оказался невероятно публичным, а также из-за того, что eBay в данной ситуации был описан как сервис, имеющий очень слабую систему безопасности, а также очень медленно и неадекватно реагирующий на ситуацию.

Взлом JPMorgan Chase 2014 года: 83 миллиона банковских счетов

В 2014 году российские хакеры взломали крупнейший банк Соединенных Штатов Америки и украли данные 7 миллионов банковских счетов малого бизнеса и 76 миллионов личных банковских счетов. Хакеры проникли в 90 компьютеров банка и с них просмотрели личную информацию пользователей счетов.

Вирус The Melissa 1999 года: 20 процентов компьютеров в мире было инфицировано

Мужчина из Нью-Джерси выпустил макро-вирус в интернет, где он проникал на компьютеры с операционными системами Windows. Этот вирус был замаскирован под прикрепленный к электронному письму файл Word с заголовком «Важное сообщение от (имя человека)». Как только пользователь нажимал на это прикрепленное сообщение, вирус активировался и приказывал компьютеру скопировать этот вирус в качестве массовой рассылки для первых пятидесяти контактов.

Взлом LinkedIn, раскрытый в 2016 году: 164 миллиона аккаунтов

Этот взлом, который удалось раскрыть только через четыре года после того, как он случился, запомнился тем, что крупнейшей социальной сети для сотрудников пришлось признать утерю данных 117 миллионов пользователей, которые затем были перепроданы на черном рынке. Значительным этот хак является из-за того, какое количество времени потребовалось компании, чтобы понять, что она была взломана. Четыре года — это довольно много времени для осознания того, что вас ограбили.

Взлом Anthem Health Care 2015 года: 78 миллионов пользователей

Базы данных второго по размерам медицинского страховщика в Соединенных Штатах Америки подвергались скрытой атаке в течение нескольких недель. Детали проникновения не разглашаются, однако компания заявляет, что медицинская информация украдена не была. Хакерам удалось украсть только контактную информацию и номера социального страхования.

Взлом сети Sony Playstation 2011 года: 77 миллионов пользователей

В апреле 2011 года группа хакеров под названием Lulzsec взломала базу данных Sony в сети Playstation, выложив в открытый доступ контактную информацию, логины и пароли 77 миллионов игроков. Sony заявляет, что данные кредитных карт украдены не были. Компания приостановила работу сервиса на несколько дней, чтобы улучшить систему безопасности и залатать дыры.

Взлом Global Payments 2012 года: 110 миллионов кредитных карт

Global Payments — это одна из крупнейших компаний, занимающихся транзакциями кредиторов и поставщиков. Она специализируется на малом бизнесе. В 2012 году система этой компании была взломана хакерами, которые украли информацию о кредитных картах. С некоторых карт, данные о которых были украдены, затем были сделаны нелегальные транзакции.

13 октября было объявлено, что хакеры взломали Twitter-аккаунт главы избирательного штаба Хилари Клинтон Джона Подесты, от его имени призывая голосовать за соперника-республиканца Дональда Трампа. Ранее штаб Клинтон уже подвергался нападению. Предполагается, что за взломом компьютерных систем летом этого года стоят российские хакеры.

27 июня 2016 года группа хакеров OurMine взломала аккаунт гендиректора Google Inc. Сундара Пичаи в сервисе Quora. Также предполагается, что 13 сентября именно российские хакеры взломали компьютерные системы всемирного антидопингового агентства (ВАДА). Из полученной информации мир узнал о том, что американские спортсмены принимали допинг с разрешения врачей. На сегодняшний день последняя известная атака связана со взломом сайта МИДа РФ 23 октября. Взломавший сайт хакер написал: «Завязывайте».

Существует огромное количество хакеров, которые используют свои глубокие знания компьютерных систем с совершенно разными целями. Например, в 2014 году хакеры из группировки Lizard Squad атаковали Microsoft и Sony, из-за чего миллионы игроков не могли поиграть в свои игры по сети.

Другие хакеры крадут базы с данными аккаунтов пользователей, как это случилось в сентябре 2014 года, когда мошенники украли данные 500 млн пользователей у интернет-компании Yahoo. Некоторые хакеры сидят в своих гаражах с ноутбуками и крадут данные банковских карт ради получения лёгких денег, а другие получают зарплату и помогают работодателям защищаться от других хакеров.

Один из самых знаменитых хакеров нашего времени, Эдвард Сноуден, работал на Агентство Национальной Безопасности США и принимал участие в программе слежки за миллионами американцев. Однако чувство справедливости перевесило, и Сноуден рассказал обо всех преступлениях АНБ миру. Возрастные хакеры, устав от такой жизни, занимаются консультированием компаний и простых людей по вопросам компьютерной безопасности.

В 2010 году стало известно о том, что предполагаемые американские или израильские хакеры запустили в компьютерную сеть иранских атомных станций и урановых обогатительных фабрик вирус Staxnet. Вирус саботировал работу центрифуг, которые применяются для обогащения урановой руды, чтобы впоследствии возможно было создать топливо для ядерных силовых установок. Сегодня Иран улучшает отношения с внешним миром и проходит через процедуру снятия экономических санкций. Не в последнюю очередь это заслуга анонимных хакеров на государственной зарплате. Вашему вниманию — топ наиболее активных мировых хакерских групп.

Бюро 121

Про северокорейскую хакерскую группу «Бюро 121» катастрофически мало информации. Известно, что эти люди входят в состав армии Северной Кореи и выполняют для государства задания, связанные с кражей и поиском информации, а также защитой компьютерных систем страны от зарубежных хакеров. Также северокорейские хакеры атакуют и другие страны, в частности, Южную Корею. Атакам подвергаются южнокорейские игровые сервисы, сайты государственных учреждений, ведущих компаний, банков.

Предполагается, что специалисты из «Бюро 121» принимали участие в атаках на серверы японской компании Sony в ноябре 2014 года.

Известно, что северокорейское государство вербует молодых хакеров в северокорейском Университете Автоматизации. В состав группы входит около 1800 молодых людей, которые действуют по всему миру, в том числе и за пределами Северной Кореи. Необходимость деятельности за границами страны объясняется крайне слабой информационной инфраструктурой Северной Кореи.

Chaos Computer Club (ССС)

Chaos Computer Club является очень старой хакерской группой. Она основана ещё в 1981 году немецкими хакерами. На сегодняшний день это очень крупная сеть, которая объединяет преимущественно немецкоговорящих хакеров.

Данная группа впервые консультировалась перед своими атаками с юридическими экспертами, чтобы убедиться в том, что их действия являются законными.

Это говорит о том, что у этих людей есть свой определённый кодекс поведения. Отчасти их стратегия законности обеспечила группе выживание на такой длительный период времени. Однако не все в этой огромной группе действовали исключительно в рамках закона, потому что CCC является по большей части дезорганизованной группой. Хакеры CCC стали известны в 1980-х гг, когда уведомили компанию Deutsche Bundespost (бывшая немецкая почтовая компания) о том, что их компьютерные системы недостаточно надёжны, что делало их лёгкой мишенью для ранних корыстных хакеров. Провайдер Deutsche Bundespost высокомерно заявил, что всё в порядке. Активисты CCC доказали, что провайдер ошибается, когда украли со счетов почтовиков 134 000 немецких марок. Деньги были возвращены на следующий день после атаки.

Морфо

Морфо или «Дикий Нейтрон» является хорошо спонсируемой группой высококлассных хакеров, которые с 2011 года выполняли заказы для фармацевтических, инвестиционных и технологических компаний.

Однако это не государственная группа, потому что их деятельность обычно связана с кражей инсайдерской информации ради денег.

Структура Морфо очень интересна. Морфо включает в себя множество мелких групп, которые пользуются высококлассным ПО и техникой. Их сети рассредоточены, для оплаты хостинг-провайдера они пользуются биткоинами, а также используют множество сложных виртуальных машин.

Сирийская электронная армия

Сирийская электронная армия (СЭА) — группа хакеров, которая симпатизирует правительству Сирии, а также связана с Ираном и террористической группировкой «Хезболла». Часто их атаки направлены на саботирование западных СМИ. Также хакеры СЭА используют свои знания для поиска повстанцев и оппозиционных сил.

Специалисты СЭА очень изобретательны. Например, одним твитом, который они отправили с Twitter-аккаунта президента Обамы, они кратковременно обрушили индекс Доу Джонса на нью-йоркской бирже.

Хакеры написали, что президент Барак Обама был ранен при взрыве бомбы в Белом Доме. Также СЭА написали твит от лица аккаунта BBC, что саудовские метеостанции пострадали от столкновения с верблюдом. Специалисты по компьютерной безопасности предполагают, что хакеры СЭА могут быть из Ирана, так как хорошо разбираются в разговорном английском и юморе. Вероятно, все иранцы разбираются в этих вопросах, раз специалисты делают такие выводы.

Анонимус

Анонимус является наиболее известной группировкой хакеров в интернете. Преимущественно состоит из американцев. Организация зародилась на форуме 4chan в 2003 году и с тех пор выросла в довольно серьёзную силу в интернете. В качестве универсального символа они используют условное изображение героя английской истории Гая Фокса, которое породила фантазия создателей комикса «V — значит вендетта». Структура Анонимуса децентрализована — организация не прекращала свою работу и атаки даже тогда, когда многие участники оказывались арестованы. Многие акции Анонимуса были либеральными или антигосударственными. Активисты выступают за отмену государственного контроля интернета и цензуры.

Наиболее известные акции Анонимуса связаны с борьбой с детской порнографией и церковью Саентологии.

У анонимуса нет лидера, это коллективный разум. Связано это с тем, что один единственный человек является слабым звеном в любой система, и особенно опасно, если этот человек даст слабину. Из-за его эго, тщеславия и корысти могут пострадать многие. Анонимус — это прежде всего идея. Эта идея позволила данной организации просуществовать так долго.

Тарх Андишан

Тарх Андишан — это реакция правительства Ирана на атаку вируса Staxnet. После этого инцидента иранское государство осознало реальную опасность киберугроз. В связи с этим было принято решение модернизировать иранский сетевой щит. Модернизация пошла двумя путям: было создано подразделение сетевой борьбы под название Тах Андишан, а также Аякс, которое сформировали из уже имеющихся активистов хакеров в стране. Наиболее известная акция группировки Аякс называлась «Операция Шафран», в рамках которой хакеры пытались получить доступ к секретным американским данным оборонной промышленности через фишинговую атаку.

Тарх Андишан в представлении простых людей — крайне опасные террористы, так как они, подобно киногероям боевиков, заполучили доступ к системам управления воротами терминала аэропортов в Южной Корее, Пакистане и Саудовской Аравии.

Эта атака позволила им обманывать системы безопасности аэропортов подменяя личные данные людей. Также хакеры Тарх Андишан взламывали промышленные объекты нефтегазовых компаний и телекоммуникационную инфраструктуры различных организаций.

Драгонфлай

Драгонфлай является спонсируемой государством группой хакеров из России и стран Восточной Европы. Их основные цели — это электрические сети, энергетическая индустрия, и командные системы государств Европы и США. Драгонфлай обозначается как постоянно активная угроза. Активисты Драгонфлай внедряли трояны в легально распростроняемое программное обеспечение для промышленных систем управления, что очень похоже на вирус Staxnet. Данное вредоносное ПО может нарушать работы многих промышленных и инфраструктурных объектов, что делает группировку Драгонфлай крайне опасным противником.

APT28/ Fancy Bear / Sofacy / Pawn storm / Sednit

Группа хакеров, которая, по мнению экспертов, действует преимущественно с часового пояса России с подачи российского правительства. Цели организации представляют интерес для России и при работе хакеры этой организации используют весьма современные и качественные методы, что и доказал недавний взлом WADA. В своё время хакеры взламывали системы НАТО, правительства Польши, различных грузинских министерств и компьютерные системы ОБСЕ. Примечательно, что хакеры активны на территории, где не действует договор о выдаче преступников США.

Российские хакеры печально известны за свои сомнительные навыки: начиная со злого программиста и заклятого врага Джеймса Бонда из «Золотого глаза» и заканчивая крупнейшим киберпреступлением в американской истории . И в то время как хакеры из других стран довольно часто могут быть мотивированы какой-либо идеологией, большинство российских киберпреступников заработали репутацию цифровых карманников, более заинтересованных в чистке чужих банковских счетов, нежели публичных заявлениях.

И хотя давно принято считать, что большинство хакеров являются просто мошенниками, киберпреступлением до сих пор часто восхищаются за ту технику и интеллект, которое оно несёт, создавая пьянящий коктейль из искусства, науки и преступных намерений. И хотя российские хакеры могут быть менее активны, чем их китайские и латиноамериканские коллеги, качество атак делает их мировыми лидерами в этой области. Вот некоторые из российских имен, которые посеяли панику в мире кибербезопасности.

1. Анонимный интернационал

Эта хакерская группировка также известна под именем «Шалтай-Болтай» (в западном фольклоре аналогичный персонаж носит имя Humpty-Dumpty). Будучи, вероятно, наиболее известной хакерской группировкой в России в настоящее время, Анонимный интернационал взял на себя ответственность за крупную серию недавних кибератак и утечек документов. Хакеры опубликовали личные архивы электронной почты нескольких российских государственных деятелей и украли различные секретные документы (например, отчеты о шпионаже за лидерами оппозиции после протестов в Москве). Но их самое известное деяние - это взлом твиттера премьер-министра Дмитрия Медведева и размещение нескольких юмористических твитов от его имени в течение получаса, пока представители Медведева прилагали все мыслимые усилия, чтобы вернуть контроль над учетной записью. Свою заинтересованность они не мотивируют жаждой к деньгам. Однако, поскольку группа является очень скрытной, многие все же сомневаются в её методах, мотивах и моральном облике. На сайте группировке размещён архив украденных файлов, за что он и заблокирован Роскомнадзором. Тем не менее, его можно просмотреть посредством VPN.

2. Владимир Левин

Левин, биохимик из Санкт-Петербурга, является культовой фигурой российской киберпреступности и считается одним из отцов хакинга. В 1994 году Левин с командой сообщников получили доступ к Citibank`у и перевели более $10 млн на различные счета в разных странах. Левин был оперативно пойман и осуждён в 1998 году в США. Это был большой спектакль. Левин не знал английского во время совершения преступления (он выучил язык в тюрьме в Америке. Помимо компьютерных технологий это был единственный освоенный им навык), а журналисты описывали его как «что-то среднее между хиппи и Распутиным». После того как Левин был признан виновным, различные хакерские группировки из Санкт-Петербурга заявили, что это именно они получили доступ к Citibank, который позже продали Левину за сто долларов.

3. Игорь Клопов

История Клопова похожа на Аферу по-американски, но отмеченную наивным восприятием Американской мечты. 24-летний выпускник МГУ использовал для поиска своих целей список 400 богатейших людей планеты по версии Forbes. Затем в Москве он со своего ноутбука находил себе американских пособников, обещая им деньги, отдых в пятизвёздочных отелях и лимузины. Используя то, что государственный обвинитель позже назовёт «комбинацией умных и проверенных временем Интернет-техник, таких как, например, подделка водительского удостоверения», Клопов и его сообщники похитили $1.5 миллиона и попытались украсть ещё $10 млн, на чём и были пойманы. Игорь Клопов признал вину и в 2007 году был приговорён к тюремному заключению.

4. Koobface gang

В отличие от большинства других хакеров в этом списке, члены Koobface (анаграмма Facebook) Gang – все, как выяснилось впоследствии, россияне из Санкт-Петербурга – не атаковали компании или людей напрямую. Вместо этого, они создали компьютерного червя, которого запустили в различные социальные сети (Facebook, Skype, Gmail, Yahoo Messenger и многие другие), чтобы заразить аккаунты пользователей и украсть их персональные данные. Расследование преступлений группировки пролило свет на хитроумные системы, из-за которых полиция даже не могла оценить ресурсы, необходимые для того, чтобы разобраться в её деятельности: «все доходы были получены от тысяч отдельных микро-транзакций, составляющих не более доли копейки каждая. При этом жертвы были разбросаны по десяткам национальных юрисдикций». Червь Koobface заманивал пользователей ссылками с подписями вроде «Вы должны посмотреть это видео!» или «Вы не поверите, что ваш друг Х сказал про вас!» - стратегия, популярная среди хакеров. Червь был обнаружен и прекратил свою работу в 2012 году, после того как имена членов Koobface Gang были обнародованы в СМИ.

5. Владислав Хорохорин

Скрываясь под ником BadB, Хорохорин открыл два интернет-магазина, занимающихся продажей данных владельцев банковских карт. Рекламный ролик демонстрирует мультяшного BadB в шапке ушанке, продающего информацию о кредитных картах нарисованных персонажей, среди которых присутствуют Джордж Буш и Кондолиза Райс. Он вел свой нелегальный бизнес на протяжении 8 лет, прежде чем был задержан в 2010 году во Франции. Комментарии вроде «Покойся с миром BadB» под его промо-роликом на Youtube только подтверждают статус Хорохорина, как преуспевающего хакера. После своего задержания, Хорохорин нанял известного нью-йорского адвоката Аркадия Буха, специализирующегося на киберпреступлениях. Бух утверждал, что Хорохорин не является BadB, и в интервью Forbes заявил, что его клиент заработал свои миллионы будучи дилером Tesla Motors в Москве. В Tesla, которая никогда не имела дилеров в России, опровергли это заявление. В 2013 году Хорохорин был приговорён к 88 месяцам тюрьмы и выплате $125 739 в качестве компенсации.

Об обнаружении малоизученной хакерской группировки, которая атакует банки подобно Cobalt или MoneyTaker.

Группировка

Первые следы хакерской группы, получившей название Silence, эксперты Group-IB обнаружили еще в июне 2016 года. Отчет гласит, что тогда киберпреступники только начинали пробовать свои силы.

Одной из первых целей Silence стал банк в России, который они попытались атаковать через АРМ КБР (Автоматизированное рабочее место клиента Банка России). После чего хакеры надолго «замолчали». Позже выяснилось, что это - стандартная практика для Silence. Они атакуют избирательно, а между инцидентами проходит около трех месяцев, что втрое больше, чем у других групп, специализирующихся на целевых атаках, например, у MoneyTaker, Anunak (Carbanak), Buhtrap или Cobalt.

Исследователи считают, что причина кроется в крайне малочисленном составе Silence. Впервые за всю практику киберразведки и расследований киберпреступлений специалисты Group-IB столкнулись с такой структурой и ролевым распределением в группе. Silence постоянно анализируют опыт других преступных групп, пробуют применять новые техники и способы краж из различных банковских систем, включая АРМ КБР, банкоматы, карточный процессинг. Менее чем за год объем хищений Silence вырос в пять раз.

Рабочая версия экспертов предполагает, что в команде Silence четко прослеживаются всего две роли - оператора и разработчика. Вероятно, оператор является лидером группы, по характеру действий он - пентестер, хорошо знакомый с инструментарием для проведения тестов на проникновение в банковскую инфраструктуру. Эти знания позволяют группе легко ориентироваться внутри атакуемого банка. Именно оператор получает доступ к защищенным системам внутри банка и запускает процесс хищений.

Разработчик параллельно является реверс-инженером с достаточно высокой квалификацией. Его академические знания о том, как создаются программы, не мешают ему делать ошибки в коде. Он отвечает за разработку инструментов для проведения атак, а также способен модифицировать сложные и чужие программы. При этом для патчинга он использует малоизвестный троян, ранее не встречавшийся ни у одной другой группы. Кроме того, он знает технологии работы банкоматов и имеет доступ к сэмплам вредоносного ПО, которые, как правило, содержатся в базах компаний, занимающихся информационной безопасностью.

Исследователи отмечают, что еще в начале своего пути, летом 2016 года, Silence не имела навыков взлома банковских систем и в процессе своих первых операций училась прямо по ходу атаки. Члены группы внимательно анализировали опыт, тактику, а также инструменты других преступных групп. Они постоянно пробовали применять на практике новые техники и способы краж из различных банковских систем, в числе которых АРМ КБР, банкоматы, карточный процессинг.

Навыки в области реверс-инжиниринга и пентеста, уникальные инструменты, которые хакеры создали для взлома банковских систем, выбор неизвестного трояна для патчинга, а также многочисленные ошибочные действия подтверждают гипотезу о том, что бэкграунд Silence, скорее всего, легитимный. Как минимум один из хакеров работал (или продолжает работать) в компании, специализирующейся на информационной безопасности.

Как и большинство финансово-мотивированных APT-групп, участники Silence говорят по-русски, о чем свидетельствуют язык команд программ, приоритеты по расположению арендуемой инфраструктуры, выбор русскоязычных хостеров и локация целей преступников:

Команды трояна Silence - русские слова, набранные на английской раскладке:

• htrjyytrn > reconnect > реконнект;
• htcnfhn > restart > рестарт;
• ytnpflfybq > notasks > нетзадач.

Цели

Основные цели группы также находятся в России, хотя фишинговые письма отправлялись также сотрудникам банков в более чем 25 странах. Успешные атаки Silence ограничиваются странами СНГ и Восточной Европой, а основные цели находятся в России, Украине, Белоруссии, Азербайджане, Польше, Казахстане. Тем не менее, единичные фишинговые письма отправлялись также сотрудникам банков в более чем 25 странах Центральной и Западной Европы, Африки и Азии: Киргизия, Армения, Грузия, Сербия, Германия, Латвия, Чехия, Румыния, Кения, Израиль, Кипр, Греция, Турция, Тайвань, Малайзия, Швейцария, Вьетнам, Австрия, Узбекистан, Великобритания, Гонконг и другие.

Хронология атак Silence выглядит следующим образом:

• 2016 год, июль - неудачная попытка вывода денег через российскую систему межбанковских переводов АРМ КБР. Злоумышленники получили доступ к системе, но атака сорвалась из-за неправильной подготовки платежного поручения. В банке остановили подозрительную транзакцию и провели реагирование собственными силами, постаравшись устранить последствия атаки. Это привело к новому инциденту.
• 2016 год, август - новая попытка взлома того же банка. Спустя всего месяц (!), после провала с АРМ КБР, хакеры восстанавливают доступ к серверам этого банка и предпринимают повторную попытку атаковать. Для этого они загрузили программу для скрытого создания скриншотов экрана пользователя и начали изучать работу операторов по псевдовидеопотоку. На этот раз банк принял решение о привлечении экспертов Group-IB для реагирования на инцидент. Атака была предотвращена. Однако восстановить полную хронологию инцидента не удалось, так как при попытке самостоятельно очистить сеть, ИТ-служба банка удалила большую часть следов активности злоумышленников.
• 2017 год, октябрь - первый известный успешный случай вывода денег этой группой. На этот раз Silence атаковали банкоматы. За одну ночь им удалось похитить 7 000 000 рублей. В этом же году они проводили DDoS-атаки с помощью Perl IRC бота, используя публичные IRC чаты для управления троянами. После неудачной атаки через систему межбанковских переводов в 2016 году преступники больше не пытались вывести деньги через нее, даже имея доступ к серверам АРМ КБР.
• 2018 год февраль - успешная атака через карточный процессинг: за выходные злоумышленникам удалось снять с карточек через банкоматы партнера банка 35 000 000 рублей.
• 2018 год, апрель - уже через два месяца группа возвращается к прежней схеме и выводит деньги через банкоматы. Им удается за одну ночь «вынести» порядка 10 000 000 рублей. На этот раз созданные Silence программы были усовершенствованы: избавлены от лишних функций и прежних ошибок.

Инструменты и инфраструктура

По данным Group-IB, во время первых операций хакеры Silence использовали чужие инструменты и учились буквально по ходу атаки. Однако со временем они перешли от использования чужих инструментов к разработке собственных и значительно усовершенствовали тактику.

В первых операциях киберпреступники патчили чужой малораспространенный бэкдор Kikothac. Они выбрали троян, известный с ноября 2015 года, реверс и реализация серверной части которого не требовали много времени. Использование чужого бэкдора позволяет предположить, что группировка начала работу без предварительной подготовки, и первые операции были лишь попыткой проверить свои силы.

Позже преступники разработали уникальный набор инструментов для атак на карточный процессинг и банкоматы, который включает в себя самописные программы:

• Silence - фреймворк для атаки на инфраструктуру.
• Atmosphere - набор программ для «потрошения» банкоматов.
• Farse - утилита для получения паролей с зараженного компьютера.
• Cleaner - инструмент для удаления логов удаленного подключения.

Заимствованные инструменты:

• Smokebot - бот для проведения первой стадии заражения.
• Модифицированный Perl IRC DDoS bot, основанный на Undernet DDoS bot, для осуществления DDoS-атак.

Оператор проводит атаки с Linux-машины с использованием утилиты WinExe (Linux аналог PSExec), которая может запускать программы на удаленном узле через SMB-протокол. После закрепления в системе троян Silence устанавливает stagerMeterpreter на зараженную систему. Для доступа к скомпрометированным компьютерам киберпреступники используют RAdmin - программу, которую в некоторых банках устанавливают сами администраторы для удаленного управления рабочими станциями.

Арендованные злоумышленниками серверы для осуществления фишинговых атак находятся в Россиии Нидерландах. Под командные центры они используют услуги хостинга с Украины, который позволяет размещение практически любого контента, в том числе запрещенной информации, вредоносных приложений и файлов. Также несколько серверов Silence арендовали в MaxiDed, инфраструктура которого была заблокирована Европолом в мае 2018 года.

Вначале для рассылок фишинговых писем группа использовала взломанные серверы и скомпрометированные учетные записи, однако позже преступники начали регистрировать фишинговые домены и создавать для них самоподписанные сертификаты.

Чтобы обойти системы фильтрации писем, они используют DKIM и SPF. Письма отправляются от имени банков, у которых не был настроен SPF, с арендованных серверов с подмененными заголовками. Злоумышленники составляли полные грамотные тексты для писем и отправляли их от имени сотрудников банка, чтобы повысить шанс успешности атаки.

Во вложении письма содержались эксплоиты под MS Office Word с decoy документами CVE-2017-0199, CVE-2017-11882 + CVE-2018-0802, CVE-2017-0262, а также CVE-2018-8174. Помимо эксплоитов рассылались письма с вложенными CHM-файлами, что встречается достаточно редко, а также с ярлыками.LNK, запускающими Powershell-скрипты и JS-скрипты.

«Silence во многом переворачивает представление о киберпреступности: по характеру атак, инструментам, тактике и даже составу группы, очевидно, что за этими преступлениями стоят люди, в недавнем прошлом или настоящем занимающиеся легальной работой – пентестами и реверс-инжинирингом, – комментирует Дмитрий Волков, технической директор и глава направления киберразведки Group-IB. – Они тщательно изучают деятельность других киберпреступников, анализируют отчеты антивирусных и Threat Intelligence компаний, что не мешает им делать множество ошибок и учиться прямо по ходу атаки. Ряд инструментов Silence – легитимны, другие разработали они сами, взяв на вооружение опыт других групп. Изучая деятельность Silence, мы предположили, что вероятнее всего это пример того, как whitehat становятся blackhat. Интернет, в особенности, его андеграудная часть, открывают немало возможностей для таких метаморфоз, киберпреступником сегодня стать намного легче, чем 5-7 лет назад: можно арендовать серверы, модифицировать имеющиеся эксплоиты, использовать легальные утилиты. Это значительно усложняет работу форензик-экспертов, но сильно упрощает возможность встать на путь хакера».