Похитивших со счетов клиентов российских банков более 1,7 млрд рублей хакеров запустили сисадмины

Стали известны подробности расследования резонансного уголовного дела хакерской группы, которая с помощью вредоносной компьютерной программы за пять лет похитила со счетов клиентов российских банков более 1,7 млрд рублей. Установлено, что мошенничеству способствовало использование системными администраторами пострадавших компаний зараженных программ для работы по удаленному доступу, пишет "Коммерсант".

Напомним, в июне МВД РФ совместно с ФСБ РФ заявило о задержании порядка 50 хакеров из 15 регионов России, которые похищали деньги со счетов в российских банках с помощью троянской программы Lurk. Именно разработкой данного вируса, по версии следствия, занимались хакеры, основными членами и лидерами которых были жители Свердловской области. 14 из них во главе с предполагаемыми лидерами сообщества Константином Козловским и Александром Ереминым были задержаны в Екатеринбурге и доставлены в Москву.

По версии следствия, они внедряли троянскую программу Lurk через средства удаленного управления компьютерами Ammyy Admin. Как следует из специального отчета "Лаборатории Касперского", было два основных пути распространения вируса: использование эксплойт-паков и взломанных сайтов. Первый вариант заключался в распространении через профильные сайты — бухгалтерские форумы и специализированные новостные сайты скрытых ссылок на файлы с вирусом. Второй путь заключался в использовании взломанных сайтов, в частности крупной компании Ammyy (на ее сайте в качестве клиентов указаны МВД РФ, Почта России, система правовой информации "Гарант").

"Как оказалось, размещенный на официальном сайте установщик программы Ammyy Admin не имел цифровой подписи и представлял собой троянец-дроппер. После его запуска во временном каталоге создавались и запускались на исполнение два файла: установщик утилиты и вредоносная программа-шпион Trojan-Spy.Win32.Lurk. Кроме того, злоумышленники модифицировали php-скрипт на веб-сервере Ammyy Group таким образом, чтобы при попытке скачать программу администрирования вирус проверял, является ли заражаемый компьютер частью корпоративной сети, и если да, то запускал помимо собственно самой утилиты и вредоносную программу Lurk. Это свидетельствует о том, что злоумышленники охотились именно за корпоративными рабочими станциями и серверами", — отмечается в отчете экспертов.

По их мнению, запускать вирус могли сами системные администраторы потерпевших компаний, использовавшие зараженный софт для удаленной помощи своим клиентам. "Примечательно, что 1 июня содержимое дроппера изменилось — вместо Lurk, об аресте создателей которого было объявлено в тот же день, с сайта начала распространяться вредоносная программа Trojan-PSW.Win32.Fareit, также предназначенная для кражи персональной информации. Это позволяет предположить, что злоумышленники, стоящие за взломом сайта Ammyy Admin, за определенную плату предлагают всем желающим "место" в трояне-дроппере для распространения с ammyy.com", — отмечается в отчете "Лаборатории Касперского".

Участники банковского рынка отмечают, что избежать подобных инцидентов можно только с помощью строгого контроля использования постороннего программного обеспечения.