Group-IB CERT: Taxminan 200 000 foydalanuvchini yuqtirgan soxta buxgalteriya veb-saytlari tarmog’i aniqlandi.

Group-IB tashrif buyuruvchilarni Buhtrap va RTM bank troyanlari bilan yuqtirgan buxgalteriya veb-saytlari tarmog’ini aniqladi.

Group-IB tashrif buyuruvchilarni Buhtrap va RTM bank troyanlari bilan yuqtirgan buxgalteriya veb-saytlari tarmog’ini aniqladi, bu yuridik shaxslarni nishonga oladi. Joriy yilning aprel oyida paydo bo’lgan uchta veb-saytga allaqachon taxminan 200 000 kishi tashrif buyurgan. Ushbu maqsadli xakerlik hujumining qurbonlari orasida moliyaviy direktorlar, advokatlar, buxgalterlar va masofaviy bank tizimlari (RBS), to’lov tizimlari yoki kriptovalyuta hamyonlaridan foydalanadigan boshqa mutaxassislar bor edi. Kamida bitta veb-sayt ishlamoqda.

Group-IBning Kompyuter Favqulodda Hallariga Javob Berish Guruhi (CERT-GIB) Rossiya bankida zararli dasturlarni yuklab olishga urinish aniqlanganidan so’ng, yangi jinoiy sxema fosh etildi. Tergov davomida troyan dasturi buh-docum[.]ru ixtisoslashtirilgan hujjatlar to’plami – blankalar, shartnomalar, schyot-fakturalar va soliq yozuvlarini o’z ichiga olgan ixtisoslashtirilgan buxgalteriya resursidan o’rnatilganligi aniqlandi.

buh-docum[.]ru veb-saytining tahlili shuni ko’rsatdiki, u dastlab ro’yxatdan o’tgan va maxsus kontent bilan to’ldirilgan (saytda yuzlab turli xil moliyaviy hujjatlar mavjud edi), tashrif buyuruvchilarning ma’lum bir toifasi uchun ularning kompyuterlarini yuqtirish maqsadida. Maqsadli resurs moliyaviy direktorlar, bosh buxgalterlar va yuristlar – tashkilot hisoblarini boshqarish huquqiga ega bo’lganlarga qaratilgan edi. Ularning ixtisoslashgan ishlari tufayli ular xakerlik hujumlarining eng ko’p uchraydigan nishonlariga aylanishadi.

Saytdan hujjatlarni yuklab olayotganda, Buhtrap xakerlar guruhi tomonidan yaratilgan troyan dasturi (virusning ochiq kodli kodi 2016-yilda xakerlar veb-saytlarida paydo bo’lgan) yuklab olindi va keyin ishga tushirildi. Yuklab oluvchi kompyuter haqida ma’lumot to’pladi, brauzer tarixini, bank/buxgalteriya ilovalarining ma’lumotnoma ro’yxatlarini va turli to’lov tizimlari haqidagi ma’lumotlarni tekshirdi. Troyan operatorlari, ayniqsa, kriptovalyuta tizimlariga qiziqish bildirishdi. Qidiruv 400 dan ortiq kalit qidiruv so’rovlari («kalit so’zlar» deb ataladi) ro’yxati yordamida amalga oshirildi:

Agar dastur ushbu «kalit so’zlardan» birini aniqlasa, server yuridik shaxslarga hujum qilish va masofaviy bank tizimlari va turli to’lov tizimlaridan pul o’g’irlash uchun mo’ljallangan Buhtrap yoki RTM troyanlarini yuklab olish buyrug’ini berdi.

buh-docum[.]ru veb-saytini tekshirish jarayonida Group-IB CERT mutaxassislari deyarli bir xil tarkibga ega bo’lgan o’zaro bog’liq egizak resurslarni aniqladilar. Soxta buxgalteriya veb-saytlari tarmog’i kamida beshta resursdan iborat bo’lib, ularni umumiy maqsad birlashtirgan: yuklab olingan buxgalteriya shakllari va schyot-fakturalar orqali zararli dasturlarni tarqatish. Ushbu resurslar orasida Group-IB mutaxassislari quyidagilarni aniqladilar: buh-docum[.]ru, patrulpolice[.]org.ua, buh-blanks[.]ru, buh-doc[.]online va buh-doc[.]info.

Ikkita domen 2017-yil sentabr oyida ro’yxatdan o’tkazilgan, qolganlari esa atigi bir necha oy davomida faoliyat yuritgan. Bu vaqt ichida har bir sayt 200 000 potentsial qurbonlarni jalb qildi. Resurslar muntazam ravishda tegishli so’rovlar uchun qidiruv natijalarining yuqori qismida paydo bo’ldi («buxgalteriya shakllarini yuklab olish», «shaklni yuklab olish», «soliq deklaratsiyasini yuklab olish» va boshqalar). Soxta buxgalteriya tarmog’ining barcha resurslari bo’ylab umumiy trafik hajmi hozircha noma’lum, ammo u yuz minglab foydalanuvchilarni tashkil qiladi deb taxmin qilinmoqda.

Group-IBning «Yuqori texnologiyalar jinoyatchilik tendentsiyalari 2017» hisobotiga ko’ra, har bir bunday hujum kiberjinoyatchilar uchun o’rtacha kuniga 1,2 million rublgacha daromad keltiradi. Hozirda soxta buxgalteriya veb-saytlarining aksariyati bloklangan yoki blokirovka jarayonida.

«Hujumchilarning taktikasi o’zgardi: troyan dasturlarini tarqatish vektori an’anaviy zararli elektron pochta xabarlari va mashhur veb-saytlarni buzishdan yangi, ixtisoslashgan resurslarni yaratishga o’tdi, bu yerda hujumchilar troyan dasturlarini yuklab olish uchun mo’ljallangan kodni joylashtiradilar», deb izoh beradi CERT Group-IB rahbarining o’rinbosari Yaroslav Kargalev. «Natijada, bitta kompaniya xodimining beparvoligi butun biznes uchun katta yo’qotishlarga olib kelishi mumkin: bizning ma’lumotlarimizga ko’ra, kompyuter zararli dasturlaridan foydalanadigan kompaniyalarga har kuni kamida ikkita muvaffaqiyatli hujum sodir bo’ladi, natijada o’rtacha 1,2 million rubl o’g’irlanadi. Bundan tashqari, biz bunday resurslar ko’proq bo’lishi mumkinligini istisno qila olmaymiz.»

O’tgan yili Group-IB mutaxassislari o’zlarining «Hi-Tech Crime Trends 2017» hisobotida zararli dasturlardan foydalangan shaxslar tomonidan onlayn bank o’g’irliklarining 144% ga oshganini qayd etishdi. Kiberjinoyatchilar qurboniga aylanmaslik uchun Group-IB mutaxassislari kompaniyaning butun IT infratuzilmasini muntazam ravishda audit qilishni va dasturiy ta’minotni tezda yangilashni tavsiya qiladilar, chunki tajovuzkorlar ko’pincha yangi dasturiy ta’minot versiyalarida tuzatilgan ma’lum zaifliklardan foydalanadilar. Bundan tashqari, kompaniya ichidagi mavqei tufayli «xavf guruhi»ga kiradigan xodimlarga ixtisoslashgan kiberxavfsizlik bo’yicha treninglardan o’tish tavsiya etiladi. Bu holda, ularning xatolarining narxi juda yuqori bo’lishi mumkin.