DarkVishnya - nowa seria cyberataków finansowych w Europie Wschodniej
W latach 2017-2018 eksperci z Kaspersky Lab uczestniczyli w akcji reagowania na incydent związany z serią cyberkradzieży w organizacjach finansowych w Europie Wschodniej. Badacze odkryli, że w każdym przypadku do sieci korporacyjnej włamywano się przy użyciu nieznanego urządzenia kontrolowanego przez atakujących, które zostało przemycone do budynku firmy i podłączone do sieci. Jak dotąd zaatakowanych w ten sposób zostało co najmniej osiem banków w regionie Europy Wschodniej, a straty szacuje się na dziesiątki milionów dolarów.
Cyberprzestępcy wykorzystywali trzy rodzaje urządzeń: laptop, Raspberry Pi (komputer o rozmiarze karty kredytowej) lub Bash Bunny (specjalnie zaprojektowane narzędzie do automatyzacji i przeprowadzania ataków poprzez port USB). Wszystkie te urządzenia były wyposażone w modem GPRS, 3G lub LTE, który umożliwiał atakującym zdalne przeniknięcie do sieci korporacyjnej atakowanej organizacji finansowej.
Po ustanowieniu połączenia cyberprzestępcy próbowali uzyskać dostęp do serwerów WWW w celu kradzieży danych, których potrzebowali do uruchomienia protokołu pozwalającego na uzyskanie zdalnego dostępu (Remote Desktop Protocol, RDP) na wybranym komputerze, a następnie przechwycenia środków pieniężnych lub danych. Na końcowym etapie atakujący stosowali oprogramowanie zdalnej administracji w celu utrzymania dostępu do zainfekowanego komputera działającego w sieci atakowanej organizacji finansowej.
"Przez ostatnie półtora roku obserwowaliśmy całkowicie nowy rodzaj ataków na banki, dość wyrafinowany i złożony pod względem wykrywania. Punkt wejścia do sieci korporacyjnej pozostawał przez długi czas nieznany, ponieważ mógł być zlokalizowany w dowolnym biurze w dowolnym regionie. Nie zdołaliśmy znaleźć zdalnie tych nieznanych urządzeń, które zostały przemycone i ukryte przez intruzów. Dodatkowo, atakujący wykorzystywali legalne narzędzia, które jeszcze bardziej komplikowały reagowanie na incydent" - powiedział Siergiej Golowanow, ekspert ds. cyberbezpieczeństwa, Kaspersky Lab.
W celu zapewnienia sobie ochrony przed tą nietypową metodą cyberataków instytucje finansowe powinny podjąć następujące działania:
- Zadbać o monitorowanie urządzeń połączonych z internetem i zwrócić uwagę na dostęp do sieci korporacyjnej.
- Wyeliminować luki w zabezpieczeniach, w tym te dotyczące niewłaściwej konfiguracji sieci
- Korzystać z wyspecjalizowanego rozwiązania do ochrony przed zaawansowanymi cyberzagrożeniami, które potrafi wykrywać wszystkie rodzaje anomalii i badać podejrzaną aktywność w sieci na głębszym poziomie w celu zidentyfikowania, rozpoznania i zdemaskowania złożonych ataków.
