Group-IB: задержан администратор ботсетей, состоявших из 50 000 зараженных компьютеров.
www.samag.ru
     
Поиск   
              
 www.samag.ru    Web  0 товаров , сумма 0 руб.
E-mail
Пароль  
 Запомнить меня
Регистрация | Забыли пароль?
О журнале
Журнал «БИТ»
Подписка
Где купить
Авторам
Рекламодателям
Магазин
Архив номеров
Вакансии
Контакты
   

ЭКСПЕРТНАЯ СЕССИЯ 2019


  Опросы

Какие курсы вы бы выбрали для себя?  

Очные
Онлайновые
Платные
Бесплатные
Я и так все знаю

 Читать далее...

1001 и 1 книга  
28.05.2019г.
Просмотров: 1296
Комментарии: 2
Анализ вредоносных программ

 Читать далее...

28.05.2019г.
Просмотров: 1407
Комментарии: 1
Микросервисы и контейнеры Docker

 Читать далее...

28.05.2019г.
Просмотров: 1083
Комментарии: 0
Django 2 в примерах

 Читать далее...

28.05.2019г.
Просмотров: 829
Комментарии: 0
Введение в анализ алгоритмов

 Читать далее...

27.03.2019г.
Просмотров: 1431
Комментарии: 0
Arduino Uno и Raspberry Pi 3: от схемотехники к интернету вещей

 Читать далее...

Друзья сайта  

Форум системных администраторов  

sysadmins.ru

 Group-IB: задержан администратор ботсетей, состоявших из 50 000 зараженных компьютеров.

Источник: Пресс-служба компании Group-IB Просмотров: 213

Сотрудники МВД при участии экспертов Group-IB, международной компании, специализирующейся на предотвращении кибератак, задержали в Новокузнецке (Кемеровская область) администратора ботсетей, насчитывающих несколько тысяч зараженных компьютеров российских и зарубежных пользователей. Задержанный был «наемником», он предлагал киберкриминальным группам услуги по модели cybercrime as-as-service: на арендованных серверах разворачивал, тестировал и обслуживал административные панели троянов, а также сам похищал учетные записи — логины и пароли почтовых клиентов и браузеров для последующей продажи на подпольных форумах. В настоящее время следствие выясняет, с какими из действующих преступных групп был связан задержанный.

Расследование началось с масштабного инцидента весной 2018 года, когда c помощью трояна Pony Formgrabber, предназначенного для кражи учетных записей, новокузнецким хакером были заражены около 1 000 персональных компьютеров жителей России и других стран, благодаря чему он получил доступ к их почтовым ящикам и переписке. Эта ботсеть просуществовала почти год — с осени 2017 года до августа 2018 года, все это время собирая с зараженных машин персональные данные и учетные записи — логины, пароли и тд.

По версии следствия, задержанный предлагал на даркнет-форумах свои услуги администратора и периодически получал заказы от киберпреступников для настройки серверов управления ботсетями. Принадлежность его к конкретной хакерской группе и «подработка» на другие группы не исключаются.

«Услуги cybercrime-as-a-service пользуются повышенным спросом как у финансово мотивированных хакеров, так и прогосударственных APT-группировок, — заметил Сергей Лупанин, руководитель отдела расследования Group-IB. — Причем часто бывает, что „наемники“, технический персонал — разработчики вредоносных программ, администраторы серверов и ботсетей, создатели фишинговых сайтов-клонов, трафферы, нагоняющие пользователей на сайт с вредоносной программой — могут не знать, на кого конкретно они работают, но, как правило, у них есть ряд работодателей, которые периодически привлекают их для перенастройки инфраструктруктуры в связи с обновлениями используемых вредоносных программ и с целью обхода средств защиты».

Расследование вывело экспертов Group-IB на 25-летнего безработного жителя Новокузнецка. С 15 лет он не только подрабатывал разработкой web-сайтов для компьютерных игр, но и был завсегдатаем хакерских форумов. Здесь же, набравшись опыта, получил первые заказы на создание и обслуживание административных панелей (далее — админка) для управления вредоносными программами. Позже начал продавать готовые админки. За настройку одной админки, по словам задержанного, он получал в среднем от 1000 до 5 000 рублей — деньги ему переводили в криптовалюте. Задержанный специализировался на троянах класса RAT (Remote Access Toolkit), которые позволяли получить полный доступ к зараженному компьютеру — Pony, SmokeBot, BetaBot, Novobot, njRAT, Neutrino, DiamondFox, Tresure Hunter RAMScraper (для POS-терминалов) и др. На жаргоне киберпреступников заразить машину трояном RAT значит «бросить крысу».

В ходе оперативно-разыскных мероприятий на ноутбуке задержанного было обнаружено несколько десятков панелей вредоносных программ, предназначенных для управления ботсетями, которыми он руководил только за последние три месяца. Таким образом, по минимальным оценкам, задержанный мог администрировать ботсети, объединяющие не менее 50 000 инфицированных компьютеров.

«Когда я настраивал такие серверы, я понимал, что они могут использоваться для несанкционированного доступа к компьютерам других людей для копирования персональных данных», — признался задержанный. Кому хакер продавал эту информацию он не знает: «Люди, которые откликались на мои объявления на хакерских форумах, имели только псевдонимы». Эксперты Group-IB не исключают, что украденные данные, которые задержанный продавал на форумах, киберпреступники могли использовать для рассылки спама, заражения вредоносными программами, различного рода мошенничества или кражи денег.

Кроме того, задержанный внимательно следил за спросом на андеграундных площадках: поскольку в последние годы мобильные трояны вытесняют трояны для персональных компьютеров, злоумышленник начал тестировать вредоносные программы под ОС Android, например, мобильный троян LokiBot. В настоящее время задержанному предъявлено обвинение по ч. 1 ст 273 УК РФ (Создание, использование и распространение вредоносных компьютерных программ ), он полностью признал вину. Ведется следствие.

Троян Pony Formgrabber уже давно стоит «на вооружении» злоумышленников. Используя его, преступная группа Toplel, атаковала клиентов российских банков в 2014-2015 годах и в 2017 году. Согласно недавнему исследованию Group-IB, с помощью шпионских вредоносных программ, в том числе Pony Formgrabber, злоумышленники скомпрометировали 40 000 учетных записей пользователей крупнейших государственных ресурсов в 30 странах мира. Компрометация данных госслужащих, дипломатов, сотрудников силовых структур несет серьезные риски, так как в результате может быть разглашена государственная тайна.


Источник: Пресс-служба компании Group-IB

               Copyright © Системный администратор

Яндекс.Метрика
Tel.: (499) 277-12-41
Fax: (499) 277-12-45
E-mail: sa@samag.ru