Group-IB раскрыла личность «невидимого бога сети»
Резидент «Сколково» международная компания Group-IB в аналитическом отчете «Fxmsp: невидимый бог сети» раскрывала предположительную личность одного из самых активных продавцов доступов в корпоративные сети компаний, предоставлявшего свои услуги в даркнете около трех лет. За это время он скомпрометировал порядка 135 компаний в 44 странах. По минимальным оценкам, прибыль Fxmsp за период его активности могла составлять 1,5 млн долларов. Материалы по установлению предположительной личности Fxmsp переданы в международные правоохранительные органы.
Несмотря на то, что Fxmsp упоминался в публичных источниках, Group-IB впервые подробно описали ход расследования и факты, не обнародованные ранее. Не исключено, что он продолжает свою деятельность по взлому сетей компаний и все еще представляет опасность.
Исследуя активность на хакерских форумах более 17 лет, эксперты Group-IB Threat Intelligence начали фиксировать рост предложений, связанных с продажей доступов к корпоративным сетям, начиная с 2017 года – с появления на хакерской сцене Fxmsp. На тот момент форумы, в основном, наводняли предложения по доступам к взломанным сайтам, единичным серверам, учетным записям. Во второй половине 2017 года в «элитной» нише продаж доступов в корпоративные сети самым заметным игроком и абсолютным лидером по числу лотов был продавец с никнеймом Fxmsp. Со временем он создал новый тренд в андеграундном коммьюнити, сделав продажу доступов не товаром, а сервисом — с обеспечением привилегированного доступа в сети компаний-жертв для своих клиентов. Основная активность Fxmsp пришлась на 2018 год. После чего ниша некоторое время пустовала, а с начала 2019 года у предполагаемого киберпреступника появились последователи, которые сегодня ведут активную деятельность в андеграунде, взяв на вооружение техники Fxmsp. По данным исследования Group-IB, с начала 2020 года более 40 киберпреступников промышляют «ремеслом» Fxmsp на андеграундных форумах. Всего за это время было выставлено более 150 лотов по продаже доступов в корпоративные сети компаний различных отраслей.
Отчет Group-IB прослеживает деятельность Fxmsp с первой регистрации на андеграундном форуме, зафиксированной системой Group-IB Threat Intelligence, до его исчезновения с хакерских площадок. Fxmsp не специализировался на компрометации конкретных компаний. Топ-3 его жертв составляют предприятия легкой промышленности, провайдеры IT-сервисов и ритейл. Среди атакованных Fxmsp компаний была и «крупная рыба»: так, 4 из них входят в рейтинг “Global 500 | Fortune” за 2019 год. В послужном списке Fxmsp присутствуют банки, ТЭК, телекоммуникационные операторы, а также организации энергетического сектора. Одна из них в летом 2020 года пострадала от атаки шифровальщика. К этому времени сервисы от Fxmsp не предлагались в андеграунде уже 8 месяцев.
Данные, полученные в ходе исследования с использованием системы Group-IB Threat Intelligence, позволили выявить инструменты, которые использовал Fxmsp для компрометации компаний, определить – с большой степенью точности – число его жертв, а также установить предполагаемую личность киберпреступника. Отчет Group-IB поэтапно раскрывает, как из рядового пользователя даркнета, начинавшего с майнинга криптовалюты, менее чем за 3 года русскоязычный хакер Fxmsp, по самым скромным подсчетам, заработал около 1,5 млн. долларов – и это без учета продаж в «привате», лотов без указания цены, а также повторных продаж доступов в сети компаний-жертв.
Вместе со своим сообщником под ником Lampeduza, взявшим на себя рекламу и сопровождение всех сделок, в период с октября 2017 по сентябрь 2019 они выставили на продажу доступы в 135 компаний из 44 стран, включая США, Россию, Англию, Францию, Италию, Нидерланды, Сингапур, Японию, Австралию. Несмотря на негласный закон в андеграундной среде не работать «по РУ», Fxmsp продавал два лота по российским жертвам, за что был «забанен» модераторами форума, но это не остановило преступника.
Своим названием отчет Group-IB обязан одному из рекламных постов Lampeduza. Завоевав авторитет в андеграундной среде, группа обзавелась постоянными клиентами. Lampeduza привлекался лишь на стадии монетизации, в то время как Fxmsp занимался всеми этапами атаки, включая сканирование IP-диапазона в поисках открытого порта RDP 3389, брутфорс, закрепление в сети и установку бэкдоров.
Хотя в настоящее время Fxmsp фактически закончил свою “публичную” деятельность, этот наиболее плодовитый “продавец доступов”, вероятнее всего, остается на свободе, представляя угрозу для компаний широкого диапазона отраслей независимо от того, в какой стране они находятся, считают авторы аналитического отчета.
«Продажа доступа к корпоративным сетям все еще остается достаточно редкой услугой которая доступна на ограниченном числе андеграундных ресурсов, в основном российских, — комментирует технический директор Group-IB Дмитрий Волков. — От деятельности Fxmsp пострадали более 130 организаций по всему миру, он является одним из наиболее опасных преступников в своей среде, возможно, до сих пор продолжающим свою деятельность. Мы хотим, чтобы наше исследование позволило ускорить обнаружение и задержание преступника, скрывающегося под ником Fхmsp, и лиц, работающих с ним, и повлияло на снижение количества желающих быть его последователями. Именно поэтому мы приняли решение передать расширенную версию отчета международным правоохранительным органам и обнародовали имеющиеся материалы об инструментах и тактике Fxmsp, показав, как можно обеспечить защиту от подобных атак».