Hakerlar banklarni qanday talaydi — Positive Technologies hisoboti

Hujumchilar banklarning 58 foizidagi moliyaviy ilovalarga kirish imkoniyatiga ega bo‘lishlari mumkin.

Positive Technologies tomonidan bugun e’lon qilingan tadqiqotga ko‘ra, banklar tashqi hujumlarga qarshi yetarlicha samarali himoya tizimlarini yo‘lga qo‘ygan bo‘lsalar-da, ichki tarmoqlardagi tajovuzkorlarga qarshi kurashishga yetarli darajada tayyor emaslar. Himoya chegarasini buzib kirgach — xoh u ijtimoiy muhandislik, xoh veb-ilovalar zaifliklari yoki ichki tahdidlar orqali bo‘lsin — hujumchilar o‘zlarini xavfsizlik darajasi boshqa sohalardagi kompaniyalarnikidan farq qilmaydigan muhitda topadilar.

Bankning ichki tarmog‘iga kirish imkoniyatiga ega bo‘lgan Positive Technologies mutaxassislari holatlarning 58 foizida moliyaviy ilovalarga kirishga muvaffaq bo‘lishdi. Banklarning 25 foizida bankomatlarni boshqarish uchun foydalaniladigan tugunlar (nodlar) buzib kirilgan; bu shuni anglatadiki, Cobalt guruhi usullariga o‘xshash xakerlik usullaridan foydalanuvchi taqlidchilar ushbu muassasalardan mablag‘larni o‘g‘irlashlari mumkin edi. Banklarning 17 foizida esa — Lazarus va MoneyTaker guruhlari nishoniga aylangan — banklararo o‘tkazma tizimlari orqali mablag‘larni o‘z hisob raqamlariga o‘tkazish imkoniyati mavjud bo‘lgan.

Banklarning 17 foizida karta bo‘yicha operatsiyalarni qayta ishlash tizimlari yetarli darajada himoyalanmagan; bu esa tajovuzkorlarga karta hisoblaridagi mablag‘ miqdorini o‘zgartirish imkonini beradi — xuddi shunday holat 2017-yil boshida Sharqiy Yevropa banklariga qilingan hujumlar paytida kuzatilgan edi. Turli xil bank ilovalariga muvaffaqiyatli hujum qilish qobiliyati bilan tanilgan Carbanak guruhi ekspertlar tomonidan tekshirilgan banklarning yarmidan ko‘pidan mablag‘ o‘g‘irlashi mumkin edi. Bankning ichki tarmog‘iga kirib olgan tajovuzkorga uning bank tizimlariga to‘liq kirish huquqini qo‘lga kiritish uchun o‘rtacha hisobda bor-yo‘g‘i to‘rtta qadam kifoya qiladi.

Hisobotda qayd etilishicha, banklarda tarmoq perimetrini himoya qilish boshqa kompaniyalarga qaraganda ancha kuchliroqdir: uch yillik davr mobaynida tashqi penetratsion testlar (tizimga ruxsatsiz kirishga urinish sinovlari) natijasida umumiy tizimlarning 58 foizida ichki tarmoqqa ruxsatsiz kirishga muvaffaq bo‘lingan bo‘lsa, banklar uchun bu ko‘rsatkich atigi 22 foizni tashkil etgan. Biroq, hujumchilarni harakatga keltiruvchi kuchli moliyaviy manfaatlar hamda ko‘plab banklarning onlayn xizmatlar kodi xavfsizligini loyihalash va ishlab chiqish bosqichlarida tahlil qilmasligi hisobga olinsa, hatto ushbu ko‘rsatkich ham ideal holatdan yiroqdir. Sinovlar muvaffaqiyatli yakunlangan barcha holatlarda tizimga veb-ilovalaridagi zaifliklar orqali kirilgan (ijtimoiy muhandislik usullaridan foydalanilmagan). Bunday kirish usullari ATMitch va Lazarus kabi guruhlar tomonidan qo‘llanilgan.

Masofaviy kirish va boshqaruv interfeyslari ham banklar uchun jiddiy xavf tug‘diradi, chunki ular ko‘pincha har qanday tashqi foydalanuvchi uchun ochiq bo‘ladi. Eng keng tarqalganlari qatoriga SSH va Telnet protokollari (barcha banklarning yarmidan ko‘pining tarmoq chegarasida uchraydi), shuningdek, fayl serveriga kirish protokollari (banklarning 42 foizida mavjud) kiradi.

Biroq, eng zaif bo‘g‘in — bu bank xodimlari. Hujumchilar korporativ tarmoqqa zararli dasturiy ta’minotni kiritish uchun oddiy, ammo samarali usul — fishingdan foydalanib, tarmoq himoya tizimlarini osonlikcha chetlab o‘tadilar. Fishing xatlari bank xodimlarining ham ish, ham shaxsiy elektron pochta manzillariga yuboriladi. Himoya tizimini buzib kirishning ushbu usulidan Cobalt, Lazarus, Carbanak, Metel va GCMAN kabi deyarli barcha jinoiy guruhlar foydalangan. Positive Technologies ma’lumotlariga ko‘ra, o‘rtacha hisobda bank foydalanuvchilarining taxminan 8 foizi fishing havolalarini bosgan, 2 foizi esa ilova qilingan faylni ishga tushirgan. Tadqiqotda, shuningdek, xakerlar forumlarida bank ichidagi shaxslar (insayderlar) tomonidan taklif etilayotgan xizmatlar haqidagi e’lonlarga misollar keltirilgan. Mutaxassislarning fikricha, ayrim hollarda muvaffaqiyatli hujum amalga oshirilishi uchun tarmoq portlariga jismoniy kirish imkoniyatiga ega bo‘lgan xodimning (masalan, farrosh yoki qo‘riqchi) huquqlari kifoya qiladi. Zararli dasturiy ta’minotning dastlabki tarqalish yo‘llaridan yana biri — resurslari yetarli darajada himoyalanmagan uchinchi tomon kompaniyalariga hujum qilish va nishonga olingan bank xodimlari tez-tez tashrif buyuradigan veb-saytlarni zararlantirishdir; bu usullardan Lazarus va Lurk kabi guruhlar foydalangan.

Jinoyatchilar bankning mahalliy tarmog‘iga kirish imkoniga ega bo‘lgach, hujumni davom ettirish uchun xodimlarning ish stansiyalari va serverlarida mahalliy administrator huquqlarini qo‘lga kiritishlari kerak bo‘ladi. Hujumning odatiy usullari asosan ikkita zaiflikdan foydalanadi: kuchsiz parol siyosati hamda operatsion tizim xotirasidan parollarni tiklashga qarshi yetarli darajada himoyalanmaganlik.

Banklarning deyarli yarmida tarmoq chegarasida lug‘at asosidagi parollar aniqlangan bo‘lsa-da, ichki tarmoqdagi tekshirilgan barcha tizimlar parol siyosatining zaifligi muammosiga duch kelmoqda. Tizimlarning taxminan yarmida zaif parollar foydalanuvchilar tomonidan o‘rnatilgan; biroq, ma’lumotlar bazasini boshqarish tizimlari (MBBT), veb-serverlar yoki operatsion tizimlarni o‘rnatish, shuningdek, xizmat ko‘rsatish hisoblarini yaratish jarayonida administratorlar tomonidan qoldirib ketilgan standart hisob qaydnomalariga ham tez-tez duch kelinadi. Banklarning chorak qismida «P@ssw0rd» paroli ishlatilishi aniqlangan; boshqa keng tarqalgan parollar qatoriga esa «admin», «Qwerty123» kabi kombinatsiyalar hamda bo‘sh yoki standart parollar (masalan, «sa» yoki «postgres») kiradi.

Tarmoqqa kirib olgach, hujumchilar ma’lum zaifliklardan foydalanish hamda administratorlarda shubha uyg‘otmaydigan qonuniy dasturiy ta’minotni qo‘llash orqali hech qanday to‘siqsiz va sezilmasdan harakatlanadilar. Korporativ tarmoq himoyasidagi kamchiliklardan foydalangan holda, tajovuzkorlar bankning butun infratuzilmasi ustidan tezda to‘liq nazoratni qo‘lga kiritadilar.

«Agar hujum o‘z vaqtida aniqlanib, to‘xtatilsa — tegishli himoya choralari mavjud bo‘lgan taqdirda buni istalgan bosqichda amalga oshirish mumkin— tajovuzkor o‘z maqsadiga erisha olmaydi va mablag‘larni o‘g‘irlay olmaydi, — deydi Positive Technologies tahlilchisi Yekaterina Kilyusheva.— Elektron pochta orqali kelgan ilovalarni faqat foydalanuvchi ish stansiyalariga o‘rnatilgan antivirus dasturlariga tayangan holda emas, balki izolyatsiya qilingan muhitda tekshirish zarur. Xavfsizlik tizimlaridan o‘z vaqtida ogohlantirishlar olish hamda ularga zudlik bilan munosabat bildirish juda muhimdir; bu jarayon xavfsizlik hodisalarini uzluksiz monitoring qilish (ichki yoki tashqi SOC tomonidan) va axborot xavfsizligi hodisalarini qayta ishlash samaradorligini sezilarli darajada oshiruvchi hamda jarayonni soddalashtiruvchi SIEM yechimlaridan foydalanish orqali amalga oshiriladi.»