Niedawno pewna firma skontaktowała się z Kaspersky Lab z prośbą o zbadanie incydentu, w którym niemal doszło do kradzieży ponad 130 000 dolarów z jej konta firmowego. Przedstawiciele firmy podejrzewali, że za próbą kradzieży stało szkodliwe oprogramowanie. Podejrzenia te zostały potwierdzone w pierwszych dniach dochodzenia.
Bank obsługujący firmę, która stanowiła cel cyberprzestępców, zablokował próbę przeprowadzenia transakcji o wartości 130 000 dolarów. Cyberprzestępcom udało się jednak wypłacić 8 000 dolarów, ponieważ kwota ta była zbyt mała, aby obudzić czujność banku, i nie wymagała dodatkowego potwierdzenia księgowego atakowanej organizacji.
Eksperci z Kaspersky Lab otrzymali od atakowanej organizacjiobraz dysku twardego zainfekowanego komputera. Po zbadaniu go wykryli podejrzaną wiadomość e-mail wysłaną w imieniu urzędu podatkowego, w której proszono o natychmiastowe dostarczenie określonych dokumentów. Lista wymaganych pism znajdowała się w załączonym pliku .DOC. Dokument ten był zainfekowany szkodliwym programem wykorzystującym lukęCVE-2012-0158w pakiecie MS Office (załataną przez Microsoft na początku 2012 r.). Szkodnik aktywował się w momencie otwarcia dokumentu i pobierał na komputer ofiary kolejny niebezpieczny plik.
Na dysku twardym zainfekowanego komputera specjaliści wykryli zmodyfikowaną wersję legalnego programu, którego celem jest zapewnianie zdalnego dostępu do komputerów. Programy tego typu są często wykorzystywane przez administratorów IT, jednak wersja wykryta na zaatakowanym komputerze została zmodyfikowana w taki sposób, aby ukrywać swoją obecność w zainfekowanym systemie. Produkty firmy Kaspersky Lab wykrywają ten program jako Backdoor.Win32.RMS i blokują go.
Nie był to jednak jedyny szkodliwy program wykryty na komputerze ofiary. Dalsze badania pokazały, że z pomocą szkodnika Backdoor.Win32.RMS przestępcy zainstalowali w systemie jeszcze jedną tylną furtkę - Backdoor.Win32.Agent. Atakujący wykorzystali ją do uzyskania zdalnego dostępu do komputera ofiary. Co ciekawe, w kodzie wykrytego programu Backdoor.Win32.Agent zidentyfikowano elementy trojana bankowego Carberp, którego kod źródłowy został opublikowany publicznie wcześniej tego roku.
Po przejęciu kontroli nad komputerem cyberprzestępcy utworzyli zlecenie płatności w zdalnym systemie bankowym i potwierdzili je przy pomocy adresu IP komputera księgowego, który bank uważał za zaufany. Pozostaje jednak pytanie: w jaki sposób cyberprzestępcy zdobyli hasła wykorzystywane przez księgowego w celu dokonywania transakcji? Eksperci kontynuowali badanie i wykryli kolejny szkodliwy program - Trojan-Spy.Win32.Delf. Był to keylogger, który przechwytywał dane wprowadzane z klawiatury. W ten sposób cyberprzestępcy ukradli hasło księgowego i zdołali przeprowadzić transakcję.
Gdy śledztwo dobiegało końca, eksperci odkryli kolejny ciekawy fakt: wszystkie szkodliwe programy wykorzystywane w ataku były zarządzane z cyberprzestępczych serwerów kontroli, których adresy IP należały do tej samej podsieci. Podczas jej tworzenia atakujący popełnili błąd, dzięki któremu eksperci z Kaspersky Lab mogli zidentyfikować adresy IP innych komputerów zainfekowanych trojanem szpiegującym Trojan-Spy.Win32.Delf. W większości przypadków był to sprzęt działający w małych lub średnich firmach. Kaspersky Lab niezwłocznie skontaktował się z właścicielami zainfekowanych komputerów, aby ostrzec ich o zagrożeniu.
"Opisywana historia, z technicznego punktu widzenia, może się wydarzyć w każdym kraju - tego rodzaju cyberprzestępczość nie różni się znacząco w poszczególnych państwach. Na całym świecie większość firm korzysta z systemu Windows i pakietu Microsoft Office, który może zawierać niezałatane luki. Nie ma też dużej różnicy jeśli chodzi o sposoby kontaktowania się działów finansowych firm z bankami za pośrednictwem usług bankowych w różnych państwach. Ułatwia to życie cyberprzestępcom, którzy kradną pieniądze za pośrednictwem zdalnych systemów bankowości" - powiedział Michaił Prokorenko, analityk szkodliwego oprogramowania, Kaspersky Lab.
Aby pomóc organizacjom korzystającym ze zdalnych systemów bankowości zmniejszyć ryzyko stania się ofiarą kradzieży pieniędzy z kont firmowych, eksperci z Kaspersky Lab doradzają ustanowienie niezawodnego uwierzytelniania wieloskładnikowego (m.in. tokenów, haseł jednorazowych dostarczanych przez bank itp.), dopilnowanie, aby oprogramowanie zainstalowane na komputerach firmowych było niezwłocznie uaktualniane (jest to szczególnie istotne w przypadku komputerów wykorzystywanych w działach finansowych), zabezpieczenie komputerów przy pomocy rozwiązania bezpieczeństwa, a także wyszkolenie pracowników w zakresie rozpoznawania sygnałów ataków oraz odpowiedniego reagowania na takie incydenty.
Źródło: firma Kaspersky Lab
poleca:
