К кибератаке на Металлинвестбанк может быть причастна группировка Buhtrap

К кибератаке на Металлинвестбанк, в результате которой хакеры вывели с корсчета кредитной организации 667 млн рублей , могла быть причастна группировка под названием Buhtrap, сообщил "Ведомостям" гендиректор компании Group-IB (расследование киберпреступлений) Илья Сачков. Это не единственная успешная атака: по данным Group-IB, в ходе 13 атак на российские банки с августа 2015 года по февраль 2016-го эта группировка украла 25 млн долларов.

Buhtrap известна с 2014 года. Тогда она взламывала банк-клиенты, а целевыми атаками на банки занялась позже. Ущерб от ее действий растет: в августе прошлого года хакеры украли у одного из банков 25,6 млн рублей, следует из отчета Group-IB. С тех пор хакеры набрались опыта: они научились быстрее находить дорогу к АРМ КБР (автоматизированное рабочее место клиента Банка России), что способствует успешности атаки, говорит директор департамента киберразведки Group-IB Дмитрий Волков.

В отличие от других хакерских группировок Buhtrap не интересуют онлайн-системы денежных переводов, банкоматы и платежные шлюзы. Группировка пользуется специальным вирусом, обученным искать и заражать АРМ КБР. Чаще всего этот вирус попадает в IT-инфраструктуру банка с помощью фишинговых писем якобы от Центробанка, сказано в отчете Group-IB. Фишинг позволяет выдавать письма с вредоносным кодом за сообщения от адресата, которому доверяет пользователь.

Во вторник сотни банков подверглись атаке. Они получили вредоносные письма якобы от FinCert — одной из структур ЦБ, занимающейся борьбой с хакерами. Письма предупреждали об атаке на банк через АРМ КБР. Волков заявляет, что к этому инциденту также причастна Buhtrap.

По мнению Волкова, Buhtrap хочет украсть у одного банка именно 1 млрд рублей — такую сумму они пытались вывести несколько раз и всегда банкам удавалось или предотвратить хищение, или вернуть часть украденных средств.