Расследование Positive Technologies: дело Cobalt продолжает жить

[smaster67]

Guests are not allowed to view images in posts, please You are not allowed to view links. Register or Login or You are not allowed to view links. Register or Login

Эксперты Positive Technologies обнаружили вредоносную активность, характерную для группировки, ранее атаковавшей более 250 компаний по всему миру.

В середине мая 2018 года специалисты подразделения Expert Security Center компании Positive Technologies (PT ESC) зафиксировали вредоносную рассылку фишинговых писем в организациях кредитно-финансового сектора. По ряду признаков можно предположить, что атака организована группой Cobalt или кем-то из ее бывших участников[1].

Первое расследование по Cobalt компания Positive Technologies провела в 2016 году : тогда за одну ночь группировка похитила более двух миллионов рублей (в местной валюте) из шести банкоматов одного восточноевропейского банка. В 2017 году к списку обычных для группы Cobalt целей, находящихся в странах СНГ, Восточной Европы и Юго-Восточной Азии, добавились компании , расположенные в Северной Америке, Западной Европе и даже в Южной Америке. Деятельность около 75% компаний, включенных группой в список для рассылки фишинговых писем, связана с финансами. По данным Positive Technologies, только в первой половине 2017 года Cobalt разослала фишинговые письма с зараженными файлами более чем 3 тысячам получателей из 250 компаний в 13 странах мира.

«На первом этапе атаки группировка Cobalt активно использует методы социальной инженерии для доставки вредоносных файлов, что и неудивительно: согласно нашей статистике, по ссылкам в фишинговых письмах переходят почти 30% получателей, — рассказывает Алексей Новиков, руководитель экспертного центра безопасности Positive Technologies. — Для противодействия атакам со стороны подобных группировок мы рекомендуем в первую очередь организовать проведение регулярных работ по повышению осведомленности сотрудников компании в вопросах ИБ. Необходимо также наладить процесс своевременной установки обновлений безопасности, в том числе и для прикладного ПО, использовать современные средства защиты и проводить мероприятия по расследованию инцидентов».

Cobalt не рассчитывает на одну только невнимательность пользователей или недостатки спам-фильтров на почтовых серверах. Для повышения эффективности своих атак они используют взлом публичных сайтов со слабой защитой для загрузки на них вредоносных файлов, поддельные письма от имени финансовых регуляторов и контрагентов, рассылки не только на корпоративные почтовые адреса, но и на личные адреса сотрудников. Целью рассылки фишинговых писем являются, как правило, компрометация узлов, связанных с управлением банкоматами, и заражение ATM вредоносным ПО для манипуляций с диспенсером. На финальном этапе подставные лица — дропы, или money mules — забирают из банкоматов деньги.

Технические особенности фишинговой рассылки, зафиксированной в мае 2018 года, повторяют различные атаки группы Cobalt. Похожая структура домена для рассылки писем применялась во время атак этой группы на банки России и Восточной Европы. Структура скачанного по ссылкам вредоносного документа схожа с документами, сгенерированными с помощью эксплойт-кита Threadkit, который Cobalt использовала с февраля 2018 года. В ходе новой атаки эксплуатировалась привычная схема доставки загрузчика, предназначенного для скачивания бэкдора, и аналогичный метод расшифровки. Кроме того, бэкдор имеет все те же функции: разведка, запуск программ, загрузка новых модулей, самообновление, самоудаление, поиск антивирусов в системе, шифрование трафика. В данном случае специалисты PT ESC не зафиксировали использования инструментария Cobalt Strike, из-за которого группа и получила свое название, но техника и тактика очень напоминают атаки, которые проводились ранее.

В 2017 году компания Positive Technologies проводила в ряде компаний расследования инцидентов, связанных с атаками группировки Cobalt. Принятые в ходе реагирования на инциденты меры позволили не только выявить и остановить деятельность нарушителей в рамках сетевой инфраструктуры, но и помешать повторной компрометации, которую злоумышленники пытались осуществить после потери контроля, а также предотвратить кражу денежных средств.



[1] В марте 2018 года в Европе был арестован предполагаемый лидер группировки.

Подробнее: You are not allowed to view links. Register or Login