Hujumchilar qo’liga 40 000 ta davlat resurs foydalanuvchisi akkaunti tushib qoldi.

Eng ko’p qurbonlar Italiya, Saudiya Arabistoni va Portugaliyada bo’lgan.

Group-IB mutaxassislari 30 ta mamlakatda, jumladan, Polsha, Ruminiya va Shveytsariya hukumat veb-saytlari, Italiya Mudofaa vazirligi, Isroil mudofaa kuchlari, Bolgariya hukumati, Gruziya Moliya vazirligi, Norvegiya immigratsiya xizmati, Ruminiya va Italiya Tashqi ishlar vazirliklari va boshqa davlatlarning yirik hukumat resurslarining 40 000 dan ortiq buzilgan foydalanuvchi akkauntlarini aniqladilar. Eng ko’p qurbonlar Italiyada (52%), Saudiya Arabistonida (22%) va Portugaliyada (5%) bo’lgan. Mutaxassislarning fikricha, buzilgan foydalanuvchi nomlari va parollar yer osti forumlarida sotilgan yoki pul va ma’lumotlarni o’g’irlash uchun ishlatilgan bo’lishi mumkin. Jabrlanuvchilar orasida davlat xizmatchilari, harbiy xizmatchilar va davlat xizmatlari veb-saytlarida ro’yxatdan o’tgan oddiy fuqarolar bor. Kiberjinoyatchilar akkauntlarni o’g’irlash uchun Pony Formgrabber, AZORult va Qbot (Qakbot) troyanlari kabi turli xil vositalardan foydalanganlar. Birinchisi konfiguratsiya fayllari, ma’lumotlar bazalari va jabrlanuvchining kompyuteridagi 70 dan ortiq dasturlarning maxfiy saqlash ma’lumotlarini to’playdi, keyin ma’lumotlarni hujumchilarning buyruq va boshqaruv serveriga yuboradi. AZORult troyan dasturi nafaqat mashhur brauzerlardan parollarni o’g’irlash, balki kriptovalyuta hamyon ma’lumotlarini ham o’g’irlash qobiliyatiga ega. Qbot qurti login va parollarni to’plashi, keyloggerlarni o’rnatishi, cookie-fayllar va raqamli sertifikatlarni o’g’irlashi, faol internet sessiyalarini to’sib qo’yishi va foydalanuvchilarni soxta sahifalarga yo’naltirishi mumkin.

Zararli dastur tajovuzkorlar tomonidan foydalanuvchilarning korporativ yoki shaxsiy elektron pochta manzillariga yuborilgan fishing elektron pochtalari orqali tarqatilgan. Elektron pochtalarda ochilganda jabrlanuvchining tizimida zararli dasturni ishga tushiradigan va ma’lumotlarni o’g’irlaydigan fayl yoki arxiv mavjud edi.

Kiberjinoyatchilar odatda o’g’irlangan ma’lumotlarni mavzu bo’yicha (bank mijozlari ma’lumotlari, hukumat portallaridagi akkauntlar va oldindan tayyorlangan «kombolistlar» – elektron pochta/parol kombinatsiyalari) saralaydilar va ularni yashirin forumlarda sotish uchun joylashtiradilar. Ba’zi hollarda saralanmagan ma’lumotlar sotuvga qo’yiladi. Mutaxassislarning ta’kidlashicha, hukumat veb-saytlaridagi akkauntlar kamdan-kam hollarda ommaga ochiq bo’ladi.

Bunday ma’lumotlar nafaqat kiberjinoyatchilar, balki sabotaj va kiberjosuslikka ixtisoslashgan ATP guruhlari uchun ham qimmatlidir. Ushbu ma’lumotlardan foydalanib, tajovuzkorlar foydalanuvchining hukumat portalidagi akkauntiga, akkaunt bilan bog’liq maxfiy ma’lumotlarga kirishlari yoki davlat idorasining ichki tarmog’iga kirishlari mumkin. Hatto bitta xodimning ma’lumotlarini buzish jiddiy xavf tug’diradi, chunki bu tijorat yoki davlat sirlarini oshkor qilishga olib kelishi mumkin.

Mutaxassislar allaqachon 30 ta mamlakatdagi hukumat markazlari (CERT) bilan bog’lanishgan va mahalliy javob guruhlarini ular aniqlagan ma’lumotlarning buzilishi haqida xabardor qilishgan.