Обзор инцидентов безопасности за прошлую неделю

[душман]

Минувшая неделя ознаменовалась рядом инцидентов в России и в мире, в числе которых первая в РФ успешная атака на банк с использованием международной межбанковской системы SWIFT, ставшие уже привычными атаки на криптовалютные биржи, арест членов группировки, распространявшей вымогательское ПО, а также масштабные утечки данных. Об этих и других событиях в мире ИБ в период с 18 по 24 декабря 2017 года пойдет речь в кратком обзоре.

В начале прошедшей недели в СМИ появилась информация о первой в России успешной кибератаке на банк, в ходе которой хакерская группировка Cobalt для вывода средств использовала международную систему передачи финансовой информации SWIFT. Как выяснилось позже, атака оказалась успешной лишь частично , так как в банке своевременно заметили подозрительные транзакции на большие суммы (в том числе в валюте). «Глобэкс» оказался не единственным банком, оказавшимся под прицелом Cobalt. В минувшие выходные стало известно, что хакеры также атаковали «Севастопольский Морской банк». По одним данным, злоумышленники похитили более 10 млн рублей, по другим - 24 млн рублей.

Хакеры не теряют интерес к криптовалюте и всему, что с ней связано. 20 декабря децентрализованная криптовалютная биржа EtherDelta сообщила о хакерской атаке, в результате которой злоумышленникам удалось получить доступ к ее DNS-серверу. Кроме того, возросла активность северокорейских хакеров, в последнее время также переключившихся на криптовалютные биржи и пользователей криптовалюты. В частности, исследователи безопасности из Proofpoint обнаружили новую вредоносную кампанию, направленную против организаций, компаний и частных пользователей, владеющих криптовалютой, в рамках которой злоумышленники загружали на системы жертв бэкдор Gh0st RAT. По мнению экспертов, за атаками стоит киберпреступная группировка Lazarus, предположительно связанная с правительством КНДР.

Киберпреступники не устают изобретать новые способы распространения программ для добычи криптовалюты, в одной из кампаний они использовали мессенджер Facebook для установки вредоносного ПО Digminer, предназначенного для майнинга Monero. По данным специалистов Trend Micro, кампания в основном направлена на пользователей из Украины, Азербайджана, Вьетнама, Южной Кореи, Филиппин, Таиланда и Венесуэлы.

В рамках другой операции злоумышленники атаковали сайты на WordPress по всему миру в целях установки майнера криптовалюты Monero. Для взлома ресурсов атакующие использовали брутфорс. Согласно словам экспертов компании WordFence, злоумышленники атаковали свыше 190 тыс. сайтов, в рамках кампании им удалось заработать порядка $100 тыс. в криптовалюте.

В минувшую среду Европол сообщил об аресте участников группировки, занимавшейся распространением вымогательского ПО CTB-Locker и Cerber. Хакеры арендовали программы по бизнес-модели «вымогательское ПО как услуга» (Ransomeware as-a-Service, RaaS) и распространяли их посредством электронной рассылки, замаскированной под накладные. 70% от суммы выкупа оставалось в руках злоумышленников, остальные 30% они отправляли разработчикам вредоносов.

На прошедшей неделе стало известно сразу о нескольких масштабных утечках данных. В частности, из-за некорректно настроенного сервера Amazon S3, принадлежащего компании по сбору и анализу данных Alteryx, в открытом доступе оказалась информация о 123 млн американских домохозяйств. На сервере хранились данные, принадлежащие партнерам Alteryx, в том числе кредитного агентства Experian и Бюро переписи населения США. Некорректно настроенный сервер был расположен на поддомене alteryxdownload. В частности в Сети оказалась маркетинговая база данных Experian ConsumerView и информация переписи населения США 2010 года. 21 декабря японский автопроизводитель Nissan предупредил об утечке персональных данных 1,13 млн своих клиентов. Утечка произошла в результате взлома компьютерной сети финансового отдела канадского подразделения компании.

Исследователи безопасности из компании Kromtech сообщили об утечке данных более 19 млн американских избирателей из штата Калифорния. Данные оказались в открытом доступе в Сети из-за некорректно настроенной базы MongoDB и впоследствии были похищены злоумышленниками. Хакеры использовали автоматический скрипт для сканирования интернета на предмет незащищенных баз данных MongoDB, после чего удаляли их содержимое и требовали выкупв размере 0,2 биткойна за восстановление данных.

Прошедшая неделя не обошлась и без курьезов. Австралийская федеральная полиция (Australian Federal Police, AFP) случайно транслировала в сервис Periscope обсуждение операции по аресту человека, подозреваемого в шпионаже для северокорейского правительства. Трансляция продлилась около минуты и не содержала подробностей, позволяющих идентифицировать фигуранта расследования, однако журналистам все же удалось услышать ряд важных подробностей брифинга.