MoneyTaker: охота на невидимку

Сисадмин одного из российских банков мог с домашнего компьютера заходить на сервера банка. Это стало точкой входа — через него хакеры проникли в системы банка и почти три недели свободно передвигались внутри, прикидывая, как украсть деньги. В банке стоял антивирус и он почти ежедневно "орал", фиксируя, как атакующие сканируют порты серверов и рабочих станций и используют различные хакерские инструменты. На "тревогу" никто не обращал внимания, пока в конце ноября этого года из банка не похитили несколько десятков миллионов через АРМ КБР (автоматизированное рабочее место клиента банка России). Хакеры сначала хотели вывести деньги через банкоматы, но они не работали. Чисто российская история: у их владельца, партнера обворованного банка, незадолго до этих событий отозвали лицензию.

Группа, жертвой которой стал российский банк, называется MoneyTaker. Последние полтора года она регулярно проводит целенаправленные атаки против банков, постоянно меняя локации. Однако до публикации отчета Group-IB в открытых источниках на удивление не было никаких сведений, описывающих их активность. Группа долгое время оставалась незамеченной, используя обширный арсенал инструментов, позволяющих обходить антивирусные и антиспам системы, уничтожать любые следы атаки и значительно затруднять исследование инцидентов постфактум.

Речь идет не только об используемых инструментах, но и сложно определяемом «почерке» группы, начиная от использования распределенной инфраструктуры, часть элементов которой является одноразовыми, и заканчивая схемой вывода денег: для каждой транзакции злоумышленники используют свой счет. Еще одна характерная черта: совершив успешную атаку, хакеры не спешили покидать «место преступления», продолжая шпионить за сотрудниками банка после взлома корпоративной сети с помощью пересылки входящих писем на адреса Yandex и Mail.ru в формате first.last@yandex.com.

Важными «находками», позволившими обнаружить связи между преступлениями, стали программы для повышения привилегий, скомпилированные на основе кодов с российской конференции ZeroNights 2016. Также в отдельных инцидентах использовались известные банковские трояны Citadel и Kronos. Последний применялся для установки POS-трояна ScanPOS.

Для своих целенаправленных атак MoneyTaker используют распределенную инфраструктуру, которую сложно отследить. Уникальной особенностью группы является применение Persistence сервера, который «отдает» полезную нагрузку только для реальных жертв, чьи IP-адреса добавлены в белый список.

Для управления и координации действий MoneyTaker использует сервер (Pentest framework Server): на него устанавливаются легитимные инструменты для проведения тестов на проникновение Metasploit, он же «управляет» всей атакой. Именно Metasploit используется для проведения сетевой разведки, поиска уязвимых приложений, эксплуатации уязвимостей, повышения прав в системах, сбора информации и др. После успешного заражения одного из компьютеров и первичного закрепления в системе атакующим необходимо начать исследование локальной сети, чтобы получить права администратора домена и в конечном итоге захватить полный контроль над сетью.

Стараясь как можно дольше оставаться в тени, хакеры используют «бестелесные» программы, которые работают только в оперативной памяти и уничтожаются после перезагрузки. Для обеспечения персистентности (закрепления в системе) MoneyTaker делает ставку на скрипты – их тяжело обнаружить средствами антивирусной защиты и при этом легче модифицировать. В некоторых случаях они вносили изменения в код программы «на лету» – прямо во время проведения атаки.

Кроме того, для защиты взаимодействия вредоносной программы и сервера управления используются не случайно сгенерированные SSL-сертификаты, а специально созданные с использованием доверенных брендов (Bank of America, Federal Reserve Bank, Microsoft, Yahoo и др.).

Первая атака на карточный процессинг, которую специалисты Group-IB связали с хакерами MoneyTaker была проведена в мае 2016. Получив доступ в сеть банка, они скомпрометировали рабочее место операторов FirstData STAR network portal, внесли необходимые изменения и сняли деньги. В январе 2017 аналогичный инцидент произошел уже другом банке.

Схема атаки проста. После получения контроля над банковской сетью, атакующие проверяли есть ли возможность подключаться к системе управления карточным процессингом. Затем они легально открывали или покупали на теневом рынке карты банка, в который они получили доступ. Дальше мулы (сообщники хакеров, роль которых – снимать деньги с карт) с открытыми ранее в этих банках картами уезжали в другую страну, где ждали сигнала о начале операции. Атакующие, используя доступ к карточному процессингу, убирали или увеличивали лимиты на снятие наличных для карт мулов, а также убирали овердрафт лимиты, что позволяло уходить в минус даже по дебетовым картам. После чего мулы, используя эти карты, снимали наличные в одном банкомате, потому переходили к другому и так далее. Средний ущерб от одной такой атаки составлял 0.5 миллиона долларов.

Члены преступной группировки MoneyTaker используют как заимствованный софт, так и созданный ими. Например, для слежки за работой операторов банка с внутренними системами хакеры «написали» свое приложение, выполняющее функции скриншотера и кейлоггера.

Оно предназначено для считывания вводимых пользователем клавиш, снятия скриншотов рабочего стола и перехвата содержимого буфера обмена. Приложение скомпиллировано на языке Delfi и содержит 5 таймеров: те или иные функции приложения (активирует функции перехвата, делает скриншоты, отгружает данные, отключает себя и др.) выполняются при очередном срабатывании таймера. И здесь хакеры применили «меры безопасности»: в код таймера внедрена функция антиэмуляции для обхода антивирусов и средств автоматического анализа семплов.

В атаке на АРМ КБР в одном из российских банков «участвовала» разработанная группой одноименная система Moneytaker v5.0. Это модульная программа, каждый компонент которой выполняет определенные действия: «ищет» платежные поручения и модифицирует их, заменяя имеющиеся реквизиты на реквизиты злоумышленников, а затем «заметает следы». В момент внесения в платежное поручение изменений оно еще не подписано: на подпись отправляется измененная «платежка» с реквизитами мошенников. Помимо уничтожения следов, модуль сокрытия меняет реквизиты злоумышленников в подтверждении дебета после списания обратно на подлинные. Таким образом платежное поручение отправляется и принимается к исполнению с реквизитами злоумышленника, а ответы в банк приходят словно реквизиты были исходными. Это дает злоумышленникам дополнительное время до обнаружения хищений.