Киберпреступники против финансовых организаций

Спектр связанных с финансами организаций, в которые старались проникнуть киберпреступники, значительно расширился. Различные группировки проникали в инфраструктуру банков, систем электронных денег, бирж криптовалют, фондов управления капиталом и даже казино с целью вывода очень крупных сумм денег.

Злоумышленники полагаются на уже проверенные схемы монетизации доступа к сети. Помимо манипуляций со SWIFT они активно использовали заражение банкоматов, в том числе из сети самого банка, манипулировали системами ДБО, сетями PoS-терминалов и вносили изменение в базы данных банков с целью корректировки сумм на банковских картах.

Атаки на банкоматы стоит отметить отдельно. Этот вид кражи стал настолько популярен, что в 2017 г. впервые появилась услуга ATM Malware-as-a-Service: злоумышленники на Underground-форумах предоставляют все необходимые вредоносные программы и видеоинструкции для получения доступа к банкоматам. Купившим подписку нужно лишь выбрать удобный банкомат, вскрыть его, используя инструкцию, и заплатить организаторам сервиса за активацию вредоносной программы на банкомате, чтобы начать процесс выдачи денег. Естественно, подобные схемы уменьшают входной порог в этот вид киберпреступлений, что ведет к значительному увеличению количества киберпреступников.

Впервые мы столкнулись с перехватом электронных операций клиентов банка посредством временного "угона" доменных имен банка. Таким образом, клиенты были ограждены от настоящей инфраструктуры банка поддельной, которая находилась в руках злоумышленников. В течение нескольких часов они имели возможность проводить фишинговые атаки, устанавливать вредоносные коды и манипулировать операциями клиентов, которые использовали в этот момент онлайн-сервисы банка.

Интересно отметить, что в некоторых странах Латинской Америки атаки на финансовые активы банков стали возможны только потому, что банки упустили из виду самое "неважное" – физическую безопасность. В некоторых случаях это было связано с легким доступом к кабельным магистралям, в которые были внедрены маленькие устройства, работающие на основе RaspberryPi. Эти устройства в течение нескольких месяцев пассивно собирали информацию о сети банков и отсылали перехваченные данные через LTE-соединение на серверы злоумышленников.

Прогнозы на 2018 год

Появление атак на банковские системы, построенные на блокчейне, через уязвимости и ошибки в этой технологии

Практически все крупные финансовые организации мира активно инвестируют в системы на основе технологии блокчейн. Естественно, любая новая технология несет в себя ряд преимуществ и ряд новых рисков. Финансовые системы на основе блокчейна не живут сами по себе, а соответственно уязвимости и ошибки в реализации технологии могут дать возможность злоумышленникам обогатиться или парализовать работу финансового института. Отметим, что в 2016–2017 гг. уже был обнаружен ряд уязвимостей и ошибок в смарт-контрактах, на основе которых было построено некоторое количество сервисов в финансовых учреждениях.

Новые инциденты, связанные с проникновением в сеть финансовой организации через взлом поставщиков ПО

Крупные финансовые организации инвестируют значительные ресурсы в защиту от кибератак, поэтому проникновение в инфраструктуру подобной организации – задача не из простых. Однако существует подход, который, скорее всего, и будут активно использовать злоумышленники в грядущем году – атаки на поставщиков ПО для финансовых организаций. В массе своей они защищены куда хуже, чем конечная цель хакеров. В прошлом году мы были свидетелями ряда инцидентов, связанных с подобными атаками: ShadowPad, CCleaner, MeDoc. Из этого списка атак видно, что ПО, чьи обновления подменяются или модифицируются злоумышленниками, имеет совершенно разную сферу применения. В будущем же году киберпреступники станут проводить атаки через ПО, используемое именно в финансовых организациях, в том числе через программное обеспечение для банкоматов и PoS-терминалов. Первые попытки мы зарегистрировали несколько месяцев назад, когда злоумышленники встроили вредоносный модуль в инсталляционный файл прошивки и разместили его на официальном сайте одного из американских вендоров, выпускающего ПО для ATM.

Манипулирование и взломы СМИ и социальных медиа (Twitter, Facebook, каналы Telegram) ради извлечения прибыли из спровоцированных информационными фальшивками рыночных колебаний

Уходящий год запомнится многим фразой "Fake news". Но за этим словосочетанием может стоять не только манипуляция общественным мнением, но и нечестный способ заработка. В то время, когда торговля на всех типах бирж осуществляется в основном роботами, манипуляция исходными данными, на которые роботы опираются, проводя те или иные сделки, может привести к колоссальным изменениям в цене на товары, финансовые инструменты и крипто-валюты. По сути, всего один твит с аккаунта влиятельного человека или создание волны сообщений в социальных сетях с помощью фальшивых аккаунтов может привести в движение рынки, чем и воспользуются злоумышленники. При этом понять, кто из получивших прибыль в результате подобной атаки являлся ее заказчиком, будет практически невозможно.

Автоматизация вредоносного ПО для банкоматов

С момента появления первого зловреда для банкоматов в 2009 г. эти устройства находятся в поле постоянного внимания киберпреступников, происходит непрерывная эволюция атак на них. Прошедший год ознаменовал появление ATM Malware-as-a-Service, следующим шагом станет полная автоматизация подобных атак, когда к банкомату будет подключаться мини-компьютер, автоматически производящий заражение и активацию вредоносной программы, выдающей деньги или собирающей данные о картах. Это значительно сократит время, необходимое злоумышленникам для совершения кражи.

Новые атаки на криптовалютные биржи

Криптовалюты за прошедший год привлекли огромное количество инвесторов, что в свою очередь привело к расцвету новых сервисов по торговле различными монетами и токенами. Традиционные игроки финансового рынка, обладающие развитой защитой от кибератак, не спешат с выходом на это поле. Эта ситуация создает для злоумышленников идеальный момент для проведения атак на площадки для обмена крипто-валюты. С одной стороны, новые компании просто еще не успели обкатать свои системы безопасности, с другой стороны весь бизнес обмена криптовалюты с технической точки зрения построен на хорошо известных принципах и технологиях, а соответственно злоумышленники знают, как проникнуть в инфраструктуру новых площадок и сервисов, работающих с криптовалютами, и располагают подходящим для этого арсеналом.

Резкий рост "традиционного" мошенничества с платежной информацией, спровоцированный массовыми утечками данных в 2017 г.

Крупные утечки персональных данных, в том числе случай с бюро кредитных историй Equifax, в результате которого злоумышленники получили данные о более чем 140 млн жителей США, и утечка данных о клиентах Uber, где "утекли" данные еще 57 млн граждан, создали ситуацию, когда традиционная безопасность банков, основанная на анализе данных о текущих или потенциальных клиентах с целью выдачи денег, может дать серьезный сбой. Детальное знание персональных данных жертвы дает злоумышленникам возможность представиться другим человеком и получить ее деньги или ценные бумаги в финансовой организации, ведь с "документальной" точки зрения все будет чисто. Поэтому грядущий год может ознаменоваться всплеском вполне традиционных мошеннических схем, только в этот раз на стороне злоумышленников будут играть все те "Большие Данные", которые организации годами собирали о своих клиентах и которые оказались недостаточно хорошо защищены от попадания в руки кибермошенникам.

Увеличение количества атак на финансовые организации со стороны спонсируемых государствами группировок хакеров

Печально известная группировка Lazarus, которая с большой вероятностью спонсируется государством и работает в интересах Северной Кореи, за прошедшие два года атаковала ряд банков в различных уголках мира, включая страны Латинской Америки, Европы, Азии и Океании, с целью вывода крупных сумм денег, исчисляемых десятками и сотнями миллионов долларов. К тому же данные, опубликованные ShadowBrokers, говорят о том, что опытные APT-группы, спонсируемые государством, целят в финансовые организации, чтобы получить знание о движении денежных потоков. Очень вероятно, что в следующем году и другие APT-группы из стран, только включившихся в кибершпионскую игру, последуют этой дорогой как с целью заработать денег, так и с целью получения информации о клиентах, движении средств и внутренних процедурах финансовых организаций.

"Финтех" и мобильные пользователи как новая основная цель традиционной киберпреступности

Цифровые банки продолжают революцию в финансовом секторе экономики, в особенности на рынках развивающихся стран. Так, в Бразилии и Мексике они все больше и больше набирают обороты, что, конечно же, не осталось незамеченным киберпреступниками. Мы уверены, что внутри преступного мира будет расти популярность атак именно на банки, особенностью которых является полное отсутствие филиалов и традиционного обслуживание клиентов. Под ударом окажутся и клиенты таких организаций, использующие банковское мобильное приложение для работы со своими деньгами. Первое следствие – уменьшение количества троянцев под Windows, нацеленных на кражу денег через традиционный интернет-банкинг. Второе следствие – рост количества цифровых банков ведет к органическому росту количества пользователей, которые являются легкими целями для киберпреступников: люди без опыта пользования мобильным банкингом, зато с установленным на смартфоне банковским приложением. Они и будут основными целями как атак с использованием мобильных вредоносных программ, например Svpeng, так и схем, полностью построенных на социальной инженерии: обманом убедить человека перевести деньги через мобильное приложение значительно проще, чем заставить его же пойти в банк и сделать перевод.

Заключение

Последние несколько лет количество и качество атак, нацеленных на организации финансового сектора, растет непрерывно. Речь идет об атаках именно на инфраструктуру и сотрудников самой организации, а не ее клиентов. Мы пришли к ситуации, когда те финансовые учреждения, которые не подумали о защите от хакерских атак, уже в ближайшем времени столкнутся с последствиями вторжения киберзлоумышленников. Результатом станет полная остановка, а затем и потеря бизнеса.

Для предотвращения подобной ситуации необходимо постоянно адаптировать свои системы безопасности к новым возникающим угрозам, что невозможно без анализа данных о наиболее важных и релевантных кибератаках, нацеленных на финансовые организации.

Важно отметить, что эффективный подход к борьбе с такими атаками для банков заключается не только в выборе правильных решений, но и в работе со специализированными отчетами об атаках, содержащими информацию о том, что необходимо сразу внедрять в общую систему защиты. Например, YARA-правила, индикаторы работы зловредов, а также следов их присутствия в системе.