Когда вы слышите о спонсируемой государством киберпреступности, у вас в голове, вероятно, возникают образы интернет-преступников, связанных с российским правительством, которые преодолевают сложные системы службы информационной безопасности и крадут горы государственных данных.
Ну, да, примерно так выглядит среднестатистический спонсируемый государством взлом. За одним исключением: самая большая хакерская преступная группировка из недавно пойманных (ну, почти пойманных), принадлежит обычным украинским парнями и использует сложные методы, в первую очередь ориентированные на американские предприятия и компании.
Знакомьтесь — Fin7, самая дорогостоящая хакерская преступная группа. Она считается одной из самых сложноорганизованных и агрессивных организаций в мире. Сообщается, что ей удалось украсть миллиарды долларов у компаний в Америке и во всем мире.
За годы своей работы Fin7, также известная как «Карбанак», украла информацию по более 15 000 кредитных карт из порядка 3600 предприятий по всему миру.
Министерство юстиции США уже предъявило обвинения трем украинским гражданам за их причастность к группировке по 26 уголовным статьям, включая заговор, хакерство и мошенничество с использованием электронных средств сообщения.
Эти трое граждан — Дмитрий Федоров (44 года), Федор Хладыр (33 года) и Андрей Колпаков (30 лет) — работали в «верхушке» подпольной империи. Один из них — на должности администратора, двое других были руководителями групп. Но не сомневайтесь: Fin7 продолжает свои коварные операции.
Бэрри Венгерик, эксперт по анализу угроз в фирме FireEye Inc. и соавтор отчета о деятельности Fin7, говорит, что аналитиков очень удивила изощренность методов, используемых группой. Большинство из них применяют в спонсируемых государством кибернападениях, а не в типичных виртуальных атаках ради финансовой наживы.
Возьмем случай с одним из сотрудников Red Robin Gourmet Burgers and Brews. Однажды он получил электронное письмо от ray.donovan84@yahoo.com. С виду — обычное письмо от недовольного клиента с жалобами на сервис в отеле.
В письме получателю предлагалось открыть прикрепленный файл, чтобы узнать подробности. К сожалению, сотрудник попался на уловку и открыл этот файл, тем самым предоставив доступ Fin7 к своей базе данных.
За несколько дней хакеры внедрились во внутреннюю сеть отелей. Через неделю они уже украли данные и пароли для входа в систему кассовых аппаратов.
Через две недели у хакеров Fin7 уже был файл, содержащий данные почти с 800 мест в Red Robin, в том числе информацию о местоположении панелей аварийной сигнализации в отдельных ресторанах. Настолько дотошна эта группировка.
В обвинительном заключении Fin7 говорится, что по этой же схеме было совершено по крайней мере девять атак. Если работник не открывал приложенный файл, агент Fin7 звонил и напоминал об этом.
Они делали все, чтобы достичь своих целей и затем замести следы. Например, группировка Fin7 использовала подставную компанию Combi Security, которая якобы имеет штаб-квартиру в Израиле и России (куда же без России). В марте сайт был выставлен на продажу. Вероятно, после того, как он отработал свое.
Члены группы часто общались через сервер HipChat фирмы Atlassian в многочисленных зашифрованных чатах. Вместе они разрабатывали вредоносные программы и схемы хакерских атак.
Jira, другая программа Atlassian, использовалась для управления проектами и для отслеживания украденных данных. В группировке состоят десятки людей, и большинство из них все еще скрываются где-то в дебрях Сети.
Что они сделали со всеми этими украденными бизнес-данными? Все просто: миллионы украденных номеров платежных карт были проданы на сайтах черного рынка, таких как Joker's Stash. Вероятно, все самое страшное еще впереди.