Чтобы обналичить 200 миллионов рублей, похищенных с помощью кибератак из российских банков, хакерам, работавшим одновременно в разных городах, потребовалось всего 15 минут. Три года назад на обналичивание такой же суммы у преступников уходило более суток, говорится в исследовании Лаборатории компьютерной криминалистики Group-IB.
По данным участника «Сколково» компании Group-IB, 74% банков оказались не готовы к кибератакам, у 29% были обнаружены активные заражения вредоносными программами, а в 52% случаев выявлены следы совершения атак в прошлом. Компания проанализировала высокотехнологичные преступления 2018 года, к реагированию на которые привлекались ее эксперты-киберкриминалисты.
Фото: Group-IB
Среди выявленных тенденций прошлого года — трансграничные атаки, запускающие «цепную реакцию», что приводит ко множественным заражениям финансовых организаций. В 2018 году команда реагирования Group-IB фиксировала использование данного вектора как в России, так и в Восточной Европе.
Общее количество реагирований (Incident Response) Лаборатории компьютерной криминалистики Group-IB выросло более чем в 2 раза относительно 2017 года. Основные угрозы, с которыми сталкивались пострадавшие компании, возглавляют целевые атаки, конкурентный шпионаж, атаки с помощью вирусов-шифровальщиков, криптомайнинг.
Главный вывод экспертов-криминалистов Group-IB – подавляющее большинство российских компаний, ставших жертвами хакерских атак в прошлом году, не имело плана реагирования на киберинцидент. Они не были готовы в сжатые сроки мобилизовать работу профильных подразделений и не способны организационно и технически противостоять действиям атакующих. Эксперты Group-IB обращают внимание на высокую вероятность повторных инцидентов в таких компаниях.
Более 60% атакованных банков оказались неспособны централизованно управлять свой сетью, особенно в территориально распределенной инфраструктуре, около 80% не имеют достаточной глубины журналирования событий протяженностью более месяца, более 65% тратили на согласование работ между подразделениями более 4 часов. При этом среднее количество часов, потраченных на совещания, согласования доступов, регламентные работы в рамках одного реагирования при наступлении инцидента составляло 12 часов.
Что интересно сопоставить со скоростью обналичивания похищенных средств, которая, как сказано выше, зачастую уже исчисляется не в часах, а в минутах.
«Банк, чья инфраструктура оказалась взломанной, может не просто потерять денежные средства, но и стать угрозой для других игроков финансового рынка, – комментирует ситуацию Валерий Баулин, глава Лаборатории компьютерной криминалистики компании Group-IB, – Атакуя цель, финансово мотивированная хакерская группа стремится извлечь максимальную выгоду: получая контроль над системами банка, она заинтересована не только в выводе денег из него, но и в заражении максимального количества новых жертв. Для этой цели запускается «принцип домино» — вредоносная рассылка из скомпрометированной инфраструктуры идет по спискам компаний-партнеров банка. Такой вектор опасен, прежде всего тем, что письма отправляются из реального банка, то есть отправитель не подделан, что повышает вероятность их открытия в банке-партнере. Таким образом запускается цепная реакция, которая может привести ко множественным заражениям финансовых организаций. В 2018 году мы зафиксировали использование данного вектора как в России, так и в Восточной Европе».