Атаки Cobalt возвращаются в банки

Прошедшая 18 мая атака на российские банки, скорее всего, была совершена группировкой Cobalt, установили эксперты. Это значит, что, несмотря на задержание главаря хакеров, главная угроза кредитных организаций вновь вернулась в банки.

В минувшую пятницу российские банки подверглись массовой атаке — рассылке фишинговых писем, содержащих вредонос. В тот же день, 18 мая, они получили предупреждение от ФинЦЕРТ (подразделение ЦБ по кибербезопасности) об опасной рассылке. Проанализировав фишинговую рассылку, эксперты выявили, что данная атака с большой долей вероятности принадлежит группировке Cobalt, которая считалась грозой российских банков весь 2017 год и, как полагали многие специалисты, прекратила свое существование после задержания ее лидеров.

По данным Банка России, в 2017 году группировка совершила 240 попыток атак на кредитные организации, из которых успешными были 11. Общая сумма хищений составила 1,15 млрд руб.

В конце марта лидер группировки был задержан ( см. "Ъ" от 27 марта ), после чего рассылки Cobalt прекратились. На тот момент эксперты прогнозировали минимум полгода спокойной жизни для банков, полагая, что очень нескоро оставшиеся на свободе члены группировки смогут объединиться и продолжить атаки. Но данный прогноз был слишком оптимистичен.

Как следует из сегодняшнего отчета Positive Technologies (есть у "Ъ"), прошедшая атака имеет ряд признаков, которые указывают на принадлежность атаки группировке Cobalt. По словам руководителя Центра экспертной оценки безопасности Positive Technologies Алексея Новикова, атакующая сейчас группировка имеет техники и тактики, схожие с нашумевшей группировкой Cobalt, или имеет в своем составе людей, так или иначе с ней связанных. Согласно отчету, использованный в данной рассылке домен был идентичен тем, что задействовала Cobalt. Кроме того, сильное сходство обнаружено в структуре вредоноса.

Собеседник "Ъ" в правоохранительных органах отметил, что есть и определенные различия. "Признаком работы группировки Cobalt было использование определенных компонентов, позволяющих производить управление атакованным компьютером,­— отмечает собеседник "Ъ".—

Новый вирус их (отличительные компоненты.— "Ъ" ) не использовал, в итоге атакованные банки быстро вычислили вредонос, хищений средств не было".

Эксперты сошлись во мнении, что реакция банков на новую угрозу в первую очередь должна касаться работы с персоналом — сотрудникам нужно напоминать о недопустимости открытия сомнительных писем. По словам Алексея Новикова, по статистике, 27% сотрудников компаний при получении письма с фишинговой ссылкой переходят по ней, специалисты информбезопасности делают это в 3% случаев.

Вероника ГОРЯЧЕВА