Масштабная волна вредоносных рассылок группы Silence затронула более 80 тыс. получателей — сотрудников российских кредитно-финансовых организаций, среди которых основную долю занимают банки и крупные платежные системы. Вредоносное вложение было замаскировано под приглашение на международный форум iFin-2019, сообщила международная компания Group-IB, специализирующаяся на предотвращении кибератак.
Массовая атака началась с фишинговых рассылок Silence 16 января. Впервые в практике Silence вредоносное вложение было замаскировано под приглашение. Интересно, что XIX Международный форум iFin-2019 «Электронные финансовые услуги и технологии», действительно, пройдет в Москве 19 и 20 февраля, о чем организаторы мероприятия сделали рассылку около 9 утра по Москве 16 января. Через несколько часов свое «приглашение» отправила группа Silence. Фальшивая рассылка велась от имени Forum iFin-2019, но с адреса info@bankuco[.]com. Текстовые совпадения указывают на то, что в своем письме злоумышленники использовали официальный анонс, но отредактировали его.
Практика маскировки злоумышленниками вредоносных программ под официальные приглашения широко распространена у прогосударственных хакерских группировок, которые специализируются на шпионаже: они направляют в военные ведомства, посольства, министерства и СМИ «приглашения» на конференции НАТО, ООН или ЕС со скрытыми внутри вредоносными программами, цель которых — шпионить за получателем.
В январской фишинговой рассылке был использован реальный анонс финансового форума: это еще раз подтверждает версию о том, что участниками Silence, одной из самых малочисленных и слабоизученных хакерских групп, являются люди, предположительно занимавшиеся или занимающиеся легальной работой, в том числе пентестами и реверс-инжинирингом в финансовом секторе, полагают в Group-IB.
В пользу этой версии говорит и другой факт: в рамках январской кампании специалисты Group-IB обнаружили еще две фишинговые рассылки, нацеленные на российские банки, якобы от имени начальников отделов межбанковских операций ЗАО «Банк ICA» и ЗАО «Банкуралпром» (на самом деле такие банки не существуют). Отправители обращались в банки с просьбой оперативно рассмотреть вопрос по открытию и обслуживанию корреспондентских счетов их организаций. Во вложении содержался архив с договором, при распаковке которого на компьютер пользователя загружалась все та же вредоносная программа Silence.Downloader.
Как показал анализ текста письма, хакеры Silence не застрахованы от ошибок: в письме от имени ЗАО «Банкуралпром» в подписи значится другой несуществующий банк — ЗАО «БанкЮКО». Проверка по указанным адресам (Челябинская обл., г. Магнитогорск, ул. Гагарина, д. 17 и д. 25) показала, что здесь расположены офис другой кредитно-финансовой организации и жилой дом.
Также Group-IB зафиксировала вредоносные рассылки Silence по финансовым учреждениям в период с 25 по 27 декабря. На этот раз применялась новая схема с использованием социальной инженерии. Преступники разослали письма якобы от реально существующей фармацевтической компании, сотрудник которой обращался в банк с просьбой открыть корпоративный счет и зарплатный проект. Хакеры Silence, представляясь «соучредителем» фармкомпании, детально описывали филиальную структуру, указывали количество сотрудников и «торопились» со сменой партнера по зарплатному проекту. Более того, в письмо был вложен «дизайн-макет», чтобы сделать брендированные банковские карты для персонала.
Массовая атака началась с фишинговых рассылок Silence 16 января. Впервые в практике Silence вредоносное вложение было замаскировано под приглашение. Интересно, что XIX Международный форум iFin-2019 «Электронные финансовые услуги и технологии», действительно, пройдет в Москве 19 и 20 февраля, о чем организаторы мероприятия сделали рассылку около 9 утра по Москве 16 января. Через несколько часов свое «приглашение» отправила группа Silence. Фальшивая рассылка велась от имени Forum iFin-2019, но с адреса info@bankuco[.]com. Текстовые совпадения указывают на то, что в своем письме злоумышленники использовали официальный анонс, но отредактировали его.
Практика маскировки злоумышленниками вредоносных программ под официальные приглашения широко распространена у прогосударственных хакерских группировок, которые специализируются на шпионаже: они направляют в военные ведомства, посольства, министерства и СМИ «приглашения» на конференции НАТО, ООН или ЕС со скрытыми внутри вредоносными программами, цель которых — шпионить за получателем.
В январской фишинговой рассылке был использован реальный анонс финансового форума: это еще раз подтверждает версию о том, что участниками Silence, одной из самых малочисленных и слабоизученных хакерских групп, являются люди, предположительно занимавшиеся или занимающиеся легальной работой, в том числе пентестами и реверс-инжинирингом в финансовом секторе, полагают в Group-IB.
В пользу этой версии говорит и другой факт: в рамках январской кампании специалисты Group-IB обнаружили еще две фишинговые рассылки, нацеленные на российские банки, якобы от имени начальников отделов межбанковских операций ЗАО «Банк ICA» и ЗАО «Банкуралпром» (на самом деле такие банки не существуют). Отправители обращались в банки с просьбой оперативно рассмотреть вопрос по открытию и обслуживанию корреспондентских счетов их организаций. Во вложении содержался архив с договором, при распаковке которого на компьютер пользователя загружалась все та же вредоносная программа Silence.Downloader.
Как показал анализ текста письма, хакеры Silence не застрахованы от ошибок: в письме от имени ЗАО «Банкуралпром» в подписи значится другой несуществующий банк — ЗАО «БанкЮКО». Проверка по указанным адресам (Челябинская обл., г. Магнитогорск, ул. Гагарина, д. 17 и д. 25) показала, что здесь расположены офис другой кредитно-финансовой организации и жилой дом.
Также Group-IB зафиксировала вредоносные рассылки Silence по финансовым учреждениям в период с 25 по 27 декабря. На этот раз применялась новая схема с использованием социальной инженерии. Преступники разослали письма якобы от реально существующей фармацевтической компании, сотрудник которой обращался в банк с просьбой открыть корпоративный счет и зарплатный проект. Хакеры Silence, представляясь «соучредителем» фармкомпании, детально описывали филиальную структуру, указывали количество сотрудников и «торопились» со сменой партнера по зарплатному проекту. Более того, в письмо был вложен «дизайн-макет», чтобы сделать брендированные банковские карты для персонала.
