Чем отметился уходящий год на ниве киберобороны
Один из главных трендов уходящего года — ретро больше не в моде. В старые добрые времена, когда деревья были большими, а дискеты 5-дюймовыми, хакеры отправляли вирусы нарочным — сначала проявляли чудеса межличного общения, втюхивая кому-нибудь зараженную дискету, а потом долго и мучительно ждали у моря погоды, то есть момента, когда вирус, не торопясь, зашифрует файлы на компьютере, а жертва прочухает что к чему. Видоизменяясь по мере совершенствования ITсферы, эта схема благополучно просуществовала до наших времен, но теперь явно теряет позиции под напором менее пыльных и более денежных вариантов.
Доступ к телу
— Все эти программы вымогатели в той или иной степени взаимодействовали с пользователем, то есть были видимы для него, — объясняет руководитель управления исследований угроз «Лаборатории Касперского» Тимур Биячуев. — Если мы посмотрим на трендовые угрозы 2018 года, то увидим совершенно другое: сейчас злоумышленники предпочитают работать так, что пользователь даже не подозревает, что его устройство заражено. Идет ли речь о банальном письме с вложением (вредоносная программа сейчас может выглядеть как обычный Word- или PDF-документ) или о ссылке на фишинговый сайт (точно повторяющий дизайн настоящего).
И если последствия захода на поддельный портал вы рано или поздно обнаружите (например, по обнулившемуся однажды онлайн-счету), то о собственной работе на неизвестного кота Базилио можете не догадываться всю оставшуюся жизнь. Речь — о программах, которые скрытно добывают для злоумышленников криптовалюту (занимаются майнингом), используя для этого ваш компьютер.
— Смартфон тоже подойдет, — уточняет Биячуев. — Потому что современные телефоны по производительности уже близки к ПК.
Действие таких программ чаще всего невидимы для пользователей компьютеров, однако на смартфонах его заметить можно — по уменьшению времени работы от батареи и небольшой «заторможенности» устройства. В некоторых случаях телефон перегревался, что даже приводило к деформации аккумулятора. Но, конечно, майнеры атакуют не только мобильники, но и Windows, и Mac OS, и веб, откуда, например, могут нападать на компьютеры пользователей госплатформ.
Мобильники, кстати, использовали в этом году и для более традиционных ходов. В середине года народ массово начал получать эсэмэски примерно такого содержания: «Сергей, вам уведомление от Тамары», при этом Тамара была в адресной книге Сергея, но и в мыслях не держала ставить его о чем-то в известность.
— Это была эпидемия мобильного банковского зловреда Asacub, — вспоминает Тимур. — Попадая на устройство, он перехватывал все смс-сообщения, анализировал адресную книгу и пересылал контактам из нее такие персонифицированные сообщения со ссылкой на свое тело. Неосторожный пользователь открывал ссылку, и в устройство проникал вирус. Причем каждый раз после отправки он подтирал исходящее сообщение, так что владелец атакованного гаджета даже не подозревал, что кому-то писал. Иногда, кстати, он делал это весьма неуклюже, например: «Станислав-вентиляция, тебе не стыдно за такое? Алла» или «Владимир, ставил замок на дверь, перейди по этой ссылке»...
Естественно, оперируя сообщениями, Asacub манипулировал и смс-банкингом, снимая деньги с привязанной к телефону кредитки, после чего многим было уже не до смеха.
2018-й, как известно, прошел у нас под знаком футбола, который, естественно, тоже стал отличным поводом для дополнительного заработка кибермошенников. Особенно отличились фишеры, начавшие кампанию по ловле на живца задолго до его начала, например «проводили» всевозможные акции и лотереи, «продавали» в интернете билеты на матчи и дешевые перелеты, «сдавали» в аренду жилье и т.д. Кибермошенники так активничали, что в кругах борцов за чистоту онлайна ЧМ окрестили «чемпионатом по обману».
— В этом году действительно сильно выросло число преступлений с фейковыми сайтами, — рассказал «ВМ» Илья Рожнов, руководитель команды аналитиков Brand Protection Group-IB. — Со страниц, копирующих сайты банков, платежных систем, телеком-операторов, интернет-магазинов и известных брендов, по нашим данным, ежедневно фиксировалось 1274 фишинговых атак. Ежемесячная выручка фишинговых ресурсов, использующих бренды известных компаний, в среднем составляет примерно 3 миллиона рублей, а посетителями таких сайтов — тоже ежемесячно — становятся около 200 тысяч человек.
Всего же с помощью фишинга в этом году удалось похитить 251 миллион рублей — на 6 процентов больше, чем в прошлом. Средняя сумма хищения при этом составила около 1000 рублей.
Особенно, по словам Ильи, полюбилась мошенникам «черная пятница» — накануне этой распродажи эксперты Group-IB обнаружили более 400 сайтов-клонов, копирующих площадку популярного китайского маркет-плейса, и еще две сотни сайтов, созданных под известные бренды и интернет-магазины.
— Целью подобных поддельных ресурсов может быть как реализация контрафакта, так и кража денег или банковских данных, — объясняет Рожнов. — При этом злоумышленники выбирают для дублирования не только раскрученные бренды, но и небольшие розничные интернет-магазины. Часто они покупают домен, очень схожий по названию с оригинальными, настраивают на нем «редирект» (автоматическая переадресация пользователей с одного URL-адреса на другой. — «ВМ») и раскручивают эту ссылку.
Перейдя по ней, пользователь оказывается на странице с совершенно другим адресом.
При этом используются те же каналы продвижения, что и у легальных ресурсов: рассылка в мессенджерах, баннерная реклама, поисковая оптимизация (SEO), продвижение в соцсетях.
Кстати, активная раскрутка нелегальных сайтов по теме ЧМ-2018 шла именно через соцсети. Накануне чемпионата их количество выросло до 42 000, а суммарный охват аудитории был более миллиона подписчиков! Еще один тренд этого года состоял в том, что большая часть фишинговых сайтов начала использовать сложную и детально проработанную механику — от пользователя требуется заполнить анкету, пройти опрос или викторину и так далее. Завершается все просьбой оплатить «закрепительный платеж» или полным вводом данных банковской карты.
Бег с препятствиями
Поговорку про курочку, которая по зернышку клюет, хакеры, конечно, знают, одобряют и всячески двигают в жизнь. Но и всевозможные схемы с получением большого куша, естественно, не игнорируют. Причем если раньше его добывали исключительно взломом и проникновением на банковские сайты, то в нынешнем году мошенники все больше трудились над созданием новых тематических ресурсов для бухгалтеров и гендиректоров, которые используют в работе системы дистанционного банковского обслуживания, платежные системы или криптокошельки.
А еще в этом году киберпреступнику, похоже, смертельно надоела работа в изоляции. В связи с чем он пошел в народ. В прямом смысле этого слова.
— В этом году мы впервые зафиксировали атаку, к которой никто не был готов, — рассказывает Сергей Голованов, ведущий антивирусный эксперт «Лаборатории Касперского». — Потому что злоумышленники использовали программное обеспечение, которое не является вредоносным. По Москве прокатилась серия виртуальных краж с помощью банкоматов. К нему подходил человек, открывал специальным ключом, клал внутрь ноутбук с профессиональной программой для тестирования работы диспенсера (он выдает деньги клиенту) и драйверами для диагностики банкомата. После этого подключал лэптоп через USB к диспенсеру (из-за чего банкомат воспринимал его как собственный компьютер), закрывал корпус и уходил.
Дальше преступники дистанционно подключались через GPRS-модем к ноутбуку, на счет «три» снимали бешеные деньги, а спустя несколько часов, в очередной раз имитируя починку железного ящика, возвращались и забирали ноут.
— Самой большой проблемой для нас в этой истории было перехватить ноутбук, — вспоминает Голованов. — Пришлось за ним побегать. Но вообще, когда нашу спецбригаду вызывают в банк, из которого внезапно кто-то неизвестный начинает выводить крупные суммы, обычно причиной оказывается человеческий фактор — какой-то сотрудник нажал не на ту ссылку, гулял, где не надо, по интернету и так далее. Однако в 2018-м мы боролись с другим. Частенько злоумышленники, как в голливудских фильмах, лично проникали в офис и оставляли там «закладку», которую дистанционно использовали потом для вывода средств. Закладками были и ноутбуки, и платы, которые вставляли в корпоративный компьютер, и небольшие устройства, напоминающие флешку. Выглядело все это так: в банк под видом курьера или соискателя на должность приходил человек, его пускали в здание, а уходя, он оставлял одно из этих устройств. Ущербы исчислялись десятками миллионов долларов… Для охотников за киберворами, конечно, такие ламповые схемы сплошная головная боль — бегай за ними, рыскай по углам в поисках подброшенного… Но для всего прогрессивного человечества, если подумать, уж лучше так, чем виртуальная войнушка. Потому как фокус интересов вирусных кулибиных последнее время смещается. По наблюдениям Group-IB, на смену хакерам, жаждущим легкой наживы, приходят группы, работающие за идею и зарплату: — Весь этот год такие проправительственные группы активно атаковали объекты критической инфраструктуры — предприятия энергетического, ядерного, коммерческого, водного, авиационного и других секторов, — объясняют ITсыщики. — Цель — саботаж и шпионаж. При этом самыми энергичными на этой ниве являются хакерские объединения Китая, Северной Кореи и Ирана. Сейчас в мире насчитывается как минимум 40 таких активных групп, спонсорами которых выступают различные государства, но как максимум — их гораздо больше.
И это уже становится проблемой. Например, по данным составителей доклада «Глобальные риски — 2018», озвученного в этом году на Всемирном экономическом форуме в Женеве, наращивание трансграничных кибератак может привести к фрагментированию глобальной сети, то есть распаду интернета на отдельные национальные и региональные участки.
Скажем, приводят возможный сценарий докладчики, кто-то неправильно определит источник киберудара, и «ответка» прилетит к невиновному. Тот, естественно, даст сдачи, круг вовлеченных в конфликт сторон расширится. Потом еще кто-нибудь пальнет не туда… Так и до разборок в реале достреляться можно. Не говоря уж про то, что все начнут громоздить непроходимые баррикады на виртуальных госграницах… В общем, пусть уж лучше банковскую охрану на профпригодность проверяют, чем так...
БДИ!
— В первую очередь обращаем внимание на адресную строку в браузере и ее содержимое. Если в названии сайта содержатся тире или несколько точек (ali-express, *con.su.
club), то лучше там ничего не заказывать.
— Находим официальный сайт через поисковик или страницу в Википедии.
— Проверяем адресную строку каждый раз, когда переходим со страницы на страницу.
— При планировании виртуальных покупок обращаем внимание на дату создания сайтов. Для этого используем бесплатные Whoisсервисы, где по адресу сайта можно узнать дату регистрации и информацию о владельце домена (как правило, «возраст» сайта с фальшивками всегда небольшой, иногда они создаются за несколько дней до распродажи).
— Не доверяем плохо работающим сайтам — официальная страница даже в случае пика нагрузки должна работать корректно.
— Не переходим по ссылкам в публикациях, посвященных скидкам.
— Заводим для шопинга в интернете отдельную карту, переводя на нее конкретную сумму товара непосредственно перед покупкой. Не оставляем ее данные на подозрительных ресурсах.
— Регулярно обновляем программы и ОС.
— Используем сложные и разные пароли.
ИНТЕРЕСНЫЙ ФАКТ
В фильме «Матрица» есть эпизод, когда Тринити взламывает компьютер электросети. Обычно в таких сценах режиссеры не заморачиваются правдивостью картинки на мониторе. Однако в данном случае героиня действительно использовала для этого специальную программу. Это первый случай в истории Голливуда, когда взлом компьютера был показан настолько достоверно и детально.
КСТАТИ
Американский программист Питер Нортон, создатель известного антивируса Norton Internet Security, до 1987 года не верил в компьютерные вирусы, называл их «несуществующим мифом» и сравнивал с байками о крокодилах, живущих в канализации Нью-Йорка.