Эксперты обнаружили атаку хакеров на военно-промышленный комплекс России
Эксперты центра безопасности компании Positive Technologies зафиксировали группировку, организовавшую кибератаку на военно-промышленный комплекс России и других стран. Об этом говорится в исследовании Positive Technologies (есть у РБК). Среди пострадавших — не менее 17 компаний из России, Японии, Монголии, Белоруссии, США, Таджикистана, Узбекистана, Киргизии, Казахстана и Украины. Хакерская группировка была обнаружена в апреле 2017 года и получила название SongXY.
Злоумышленники заражали компьютерные сети оборонных и промышленных предприятий, рассылая письма с вредоносным программным обеспечением. Согласно скриншотам из исследования Positive Technologies, хакеры пытались атаковать сотрудников военно-промышленного комплекса России: зараженные письма были отправлены с такими темами, как «компенсация военнослужащим за аренду жилья» и «повышение зарплаты военнослужащим», а для рассылки использовались электронные адреса mo_mil@mail.ru и mo.belo@bk.ru.
«Главной задачей кампании SongXY был шпионаж, и используемое вредоносное программное обеспечение после попадания в корпоративную систему жертвы позволяло злоумышленникам не только скрытно следить за пользователями, но и удаленно контролировать зараженную систему», — говорится в исследовании Positive Technologies. Среди вредоносных программ, которые использовались хакерами, были Lurid (может самостоятельно скачивать с зараженного компьютера информацию), Gh0st (способна делать скриншоты экрана, перехватывать звук микрофона и контролировать веб-камеру) и др.
В сентябре злоумышленники сменили тактику и вместо вредоносного софта стали добавлять в некоторые письма ссылку на изображение. После ее активации хакеры получали информацию об IP-адресе и версии программ Microsoft Office на компьютере жертвы. Эти данные использовались, чтобы подобрать эксплойт — программу, которая позволяет атаковать компьютерную сеть с помощью уязвимостей в установленном софте.
Больше атак ради денег
В докладе Positive Technologies также отмечается увеличение числа кибератак в четвертом квартале 2017 года, что связано с ростом потребительской активности в преддверии новогодних праздников. Из общего числа атак 73% были совершены с целью получения финансовой выгоды, в то время как доля атак, нацеленных на получение данных, сократилась с 25% в третьем квартале до 19% — в четвертом. Большинство киберпреступлений было направлено на частных лиц (около 32%). Госструктурам были адресованы 13% атак, финансовым учреждениям — 9%, медицинским — 8%. Среди лидеров по числу произошедших уникальных киберинцидентов Positive Technologies указала США, Россию, Австралию, Южную и Северную Корею, Японию и Китай.
Согласно прогнозу другой компании, работающей в сфере информационной безопасности, Group-IB, в преддверии чемпионата мира по футболу в ближайшее время злоумышленники будут активно использовать интерес к этому мероприятию. «Мы выявили тысячи сайтов, эксплуатирующих в названии слова «FIFA», «Russia», «WorldСup2018», «tickets», «чемпионат мира» и их различные комбинации, — сообщил эксперт Group-IB. — Такие сайты создают для продажи контрафакта, распространения вирусов, кражи данных банковских карт или незаконной реализации билетов».
По словам антивирусного эксперта «Лаборатории Касперского» Дениса Легезо, компания отслеживает большое число атак, которые схожи по технике и инструментам с группировкой SongXY и продолжаются несколько лет. «Часто мы наблюдаем рассылку зараженных документов, связанных с крупными международными или основными индустриальными событиями в регионе. Это один из самых популярных способов доставки вредоносов потенциальным жертвам целевых атак», — отметил он.
Представитель специализирующейся на кибербезопасности компании Solar Security указал, что аналогичные с SongXY методы атак компания наблюдает в госсекторе, энергетике и других отраслях.
Эксперт по киберразведке Group-IB Рустам Миркасымов полагает, что SongXY может быть внутренним названием Positive Technologies для «некой китайской прогосударственной хакерской группы». «Данная группа, по нашим данным, работает еще с 2008 года, и да, мы их тоже видим. В свое время мы оповещали своих клиентов о том, что с почтового ящика действующего офицера Минобороны России (к которому получили доступ хакеры) была осуществлена рассылка с вредоносным вложением», — рассказал Миркасымов.
Атаки SongXY связывает с китайскими хакерами и представитель «Лаборатории Касперского». «По такому списку используемых вредоносов, географии и индустрии жертв почти наверняка можно сказать, что это атака из Китая. Разработчики и операторы целевых атак из этой страны многочисленны, очень активны, ежедневно (в буквальном смысле слова) меняют вредоносное программное обеспечение для того, чтобы избежать обнаружения защитными системами», — отметил он.
