Cobalt Renaissance: новые атаки и совместные операции

Рустам Миркасымов

Эксперт по киберразведке

26 марта 2018 года Европол сообщил об аресте в испанском городе Аликанте лидера преступной группы Cobalt — хакерской группировки, которую Банк России называл главной угрозой для банков. Размах их деятельности поражает: Cobalt, по оценкам Европола, похитила около 1 млрд евро у 100 банков в 40 странах мира: России, Великобритании, Нидерландах, Испании, Румынии, Белоруссии, Польши, Эстонии, Болгарии, Грузии, Молдавии, Киргизии, Армении, Тайване и Малайзии. Но, несмотря на арест, лидера группы Cobalt, а чуть раньше — руководителя группы обнальщиков и нескольких его помощников, оставшиеся на свободе хакеры продолжают терроризировать финансовые учреждения. Списывать со счетов Cobalt пока еще рано.

23 мая, 13:21 (мск) Group-IB зафиксировала новую масштабную кибератаку Cobalt на ведущие банки России и СНГ. Это было похоже на вызов: фишинговая рассылка шла от имени известной антивирусной компании. Сотрудники банков получили «жалобу» на английском языке, что их компьютеры якобы нарушают законодательство. Пользователям предлагали внимательно ознакомиться с поясняющим документом и предоставить детальные объяснения. Если ответ не поступит в течение 48 часов, «антивирусная компания» угрожала наложить санкции на web-ресурсы получателя.

Эксперты Group-IB довольно быстро нашли связь рассылки с Cobalt: использовалась их уникальная троянская программа Coblnt, которая стояла на вооружении группы с конца декабря 2017. Почтовая рассылка шла с доменного имени kaspersky-corporate[.]com, который регистрировался тем же лицом, что и доменные имена из прошлых рассылок Cobalt.

Но были и особенности: впервые было использовано название антивирусного вендора и первая волна рассылок содержала пустой эксплоит ThreadKit без полезной нагрузки. Раньше подобных промахов хакеры из Cobalt не допускали. Впрочем, обнаружив ошибку, злоумышленники исправились.

Целями этой кибератаки могли быть не только банки России и СНГ: поскольку письмо было составлено на английском языке, велика вероятность, что оно ушло и в иностранные банки. В списке прежних рассылок Cobalt, с которым удалось ознакомиться специалистам Group-IB, содержались адреса 86 банков, в том числе иностранных - долгое время список адресатов не менялся. Недавно мы регистрировали атаку Cobalt на компании из гостиничной индустрии, что очень нетипично для этой группы.

Учитывая возросшее качество фишинговых писем, а также рассылку текстов на английском языке, стилизованых под «юридическую жалобу», велика вероятность проведения оставшимися на свободе членами группа Cobalt совместной операции с другими преступными группами.

Технический обзор

Фишинговая рассылка 23 мая уходила со следующих почтовых ящиков:

recive@kaspersky-corporate[.]com
info@kaspersky-corporate[.]com
r.levis@kaspersky-corporate[.]com

Тема письма: «Technical Support»

Доменное имя kaspersky-corporate[.]com зарегистрировано 2018-05-21, на данный момент резолвится на IP-адрес 172.217.22[.]110, ранее резолвился на 194.58.112[.]174 и 62.76.40[.]207

Адрес почтового сервера, с которого происходила рассылка, mail.kaspersky-corporate.com имеет IP-адрес 62.76.40[.]207.

Внутри письма содержится ссылка на загрузку документа Word – файл Complaint.doc (hxxps://kaspersky-security[.]com/Complaint.doc). При переходе по ссылке вначале пользователь получатель .doc эксплоит, сформированный фреймворком ThreadKit.

Complaint.doc
MD5 fa354151a3fc6d0dce69e8eeaa8cd197
Размер 192706 bytes

Однако злоумышленник допустил ошибку и забыл настроить билдер, вследствие чего эксплоит оказался пустым и ничего не устаналивал в систему. Более того, хакеры не поменяли стандартный decoy документ, установленный автором по умолчанию. При открытия эксплоита пользователям демонстрировалась заглушка.

Доменное имя kaspersky-security[.]com зарегистрировано 2018-05-08, резолвится на 91.230.121[.]86.

Позже по ссылке отдавался файл Complaint.scr, который был обычным исполняемым файлом:

MD5 7b55c7ae346efb428aaf63d25ca0fcc7
size 278016 bytes
Скомпилирован 18 мая 2018

Данная программа классифицируется как CobInt и является обычным бэкдором, уникальной разработкой группы Cobalt. Программа модульная и позволяет собрать начальную развед информацию о зараженном хосте, а также вести видеокаст рабочего стола. В случае, если оператор решит, что система представляет интерес, бэкдором будет загружен и запущен стейджер фреймворка CobaltStrike.

CobInt имеет C2 на foxsecit.com [185.86.79[.]156], домен зарегистрирован 2018-05-18.

Стоит отметить, что доменные имена kaspersky-security[.]com и foxsecit[.]com зарегистрированы тем же лицом, что и ibm-notice[.]com, который использовался в марте группой Cobalt. А он в свою очередь связан с доменом spamhuas[.]com и hoteltoren[.]com.

А домены hoteltoren.com, dns-verifon[.]com, spam-huas[.]com, использовавшиеся группой Cobalt для атак на гостиницы и агрегаторы, подтверждают расширение сферы деятельности хакеров Cobalt.

Учитывая, что последние атаки группы Anunak/Carbanak были нацелены в том числе на различные отели, гостиницы с целью получения данных карт, высока вероятность связи этих двух хакерских групп. Этот факт только дополняет уже полученные ранее нами "железные" подтверждения кооперации.

Эксперты Threat Intelligence Group-IB выпустили отчет «Cobalt: эволюция и совместные операции», в котором впервые приводят доказательства связи Cobalt и группы Anunak, анализируют их совместные операции и используемые инструменты для атак.

foxsecit[.]com
185.86.79[.]156
kaspersky-security[.]com
91.230.121[.]86
ibm-notice[.]com
37.1.212[.]129
37.1.211[.]165
162.243.38[.]176
162.243.38[.]178
hoteltoren[.]com
172.81.132[.]131
kaspersky-corporate[.]com
194.58.112[.]174
62.76.40[.]207
172.217.22[.]110
mail.kaspersky-corporate[.]com
ibm-cert[.]com
138.197.128[.]24
ibm-warning[.]com
ibm-notice[.]com
dns-verifon[.]com
107.181.160[.]16
swift-sipn[.]info
85.143.166[.]158
swift-fraud[.]com
62.76.179[.]147
185.86.78[.]139
85.143.166[.]99
cloud.yourdocument[.]biz
31.148.219[.]177
ecb-europa[.]info
62.76.179[.]110
secure.n-document[.]biz
185.180.196[.]53
api.toshiba.org[.]kz
31.148.219[.]195
7b55c7ae346efb428aaf63d25ca0fcc7
fa354151a3fc6d0dce69e8eeaa8cd197
e5795f4418b28888a287e976f741dfbe

recive@kaspersky-corporate[.]com
info@kaspersky-corporate[.]com
r.levis@kaspersky-corporate[.]com
v.constancio@ecb-europa[.]info
admin@swift-sipn[.]info

Совместные операции

«Cobalt: эволюция и совместные операции» на данный момент является самым масштабным и детальным отчетом на международном рынке, позволяющим проследить этапы становления одной из самых агрессивных русскоговорящих хакерских групп в мире, нанесшей финансовый ущерб банкам и другим организациям в России, Великобритании, Нидерландах, Испании, Румынии, Белоруссии, Польше, Эстонии, Болгарии, Грузии, Молдавии, Киргизии, Казахстане, Армении, Тайване, Малайзии и в других государствах.

Эксперты Group-IB включили в свое исследование наиболее крупные и значимые атаки в истории Cobalt, которые были изучены в рамках анализа тактики и инструментов группы с момента ее появления. Также в документ включены данные, полученные в ходе мероприятий по реагированию, проводимых компанией. Ключевые разделы отчета посвящены различным типам атак Cobalt: на карточный процессинг, на банкоматы и платежные шлюзы, а также одним из самых ресурсоемких и сложных в реализации – атакам на SWIFT.

Первые атаки

Впервые хищения через SWIFT группа Cobalt совершила весной 2016 года в банке Гонконга, затем на Украине. Миллионы долларов, похищенные в обоих случаях, требовали не только технологической подготовки, но и серьезных контактов с обнальщиками, которые могли бы пропустить через себя крупные суммы, выведенные через SWIFT. Эти и другие факторы позволяли предположить, что скорее всего они действовали не одни.

После украинского эпизода атаки с использованием системы межбанковских переводов резко прекратились. Cobalt переключились на значительно более простые и безопасные для мулов (лиц, привлекаемых для обналичивания) взломы банков через карточный процессинг и банкоматы. Первым большим самостоятельным успехом Cobalt стал First Bank на Тайване в июле 2016 года. Все происходило как в кино. Люди в масках подходили к банкоматам, звонили по мобильному — банкомат выдавал деньги, преступники складывали их в рюкзаки и убегали. И так опустошили три десятка банкоматов на $2,18 млн. Полиция терялась в догадках: на корпусах банкоматов не было ни следов взлома, ни накладных устройств — скиммеров. Злоумышленники даже не использовали банковские карты. После такого масштабного налета восемь крупнейших банков страны приостановили выдачу наличных в 900 банкоматах

Именно тогда, в 2016 году, мы выпустили отчет о методах работы Cobalt по всему миру. После этого преступники стали действовать осторожнее, переключившись на более безопасные атаки, связанные с карточным процессингом. Параллельно группа начинает дорабатывать свои инструменты, в частности, эксплойты и stager'ы для того, чтобы усложнить их атрибуцию и обнаружение.

В сентябре 2016 они сумели получить доступ в один из банков Казахстана. Процесс подготовки атаки и изучения инфраструктуры банка занял 2 месяца. В ноябре они успешно похитили около 600 тысяч долларов через карточный процессинг, после чего поставили такие атаки на поток. Уже в 2017 году, используя этот метод хищения, хакеры Cobalt установили абсолютный «рекорд» и предприняли попытку похитить 25 млн евро в одном из европейских банков.

Лишь через 1,5 года Cobalt рискнет атаковать SWIFT снова. Именно тогда в декабре 2017-го года произойдет атака через SWIFT в российском банке, ставшая первым подобным прецедентом в истории отечественной банковской индустрии.

Долгое время "секрет успеха" Cobalt состоял в том, что хакеры тестировали новые инструменты и схемы, часто меняли локацию проведения атак и хорошо знали, как работают банки. После заражения компьютеров сотрудников банка группа Cobalt изучала внутреннюю инфраструктуру организации, наблюдала за рабочим процессом и только после этого проводила атаку. В среднем промежуток от проникновения до вывода денег составлял три-четыре недели, средняя сумма хищения — 100 млн руб.

Слияния и поглощения

На протяжении всего времени работы Group-IB на международном рынке информационной безопасности мы наблюдаем объединение различных киберкриминальных структур и вербовку отдельных представителей хакерских групп для совершения атак на банки и другие организации. Мы убеждены в том, что эта тенденция в ближайшие годы усилится. В данном отчете мы впервые публично заявляем о совместных операциях группы Cobalt и Anunak (Carbanak), а также приводим ретроспективу наиболее значимых атак с 2016 по 2017 год.

В более раннем исследовании 2016 года мы связали появление Cobalt с прекращением существования другой группы – Buhtrap. Между последней атакой Buhtrap и первой атакой Cobalt в России прошло три месяца. Именно в этот период группа Cobalt подготовила свою инфраструктуру и совершила хищения через SWIFT в банках Гонконга и Украины. О том, что к атакам на SWIFT причастны именно Cobalt, говорит уникальный загрузчик (stager), который использовали только они. Однако для Cobalt образца 2016 года эти атаки были неожиданно сложными технически. Кроме того, сам процесс обналичивания денег, выведенных через SWIFT, всегда являлся нетривиальной задачей. Эти факты указывали на вероятное наличие сообщников. Связь с группой Anunak удалось найти только спустя 1.5 года (в 2017 году), когда в одном из сложных инцидентов в ходе мероприятий по реагированию нами был обнаружен уникальный SSH-бэкдор, который использовался группой Anunak в 2014-м году.

Anunak, самая опытная группа, в 2013-2014 году атаковавшая более 50 российских банков и 5 платежных систем, похитив в общей сложности более 1 млрд рублей (около $25 млн). Также атаковала POS-терминалы американских и европейских ритейл-сетей. Активно вовлекала новых людей в атаки и делилась опытом. Имеет целый ряд последователей, копирующих их тактику.Статус: Начиная с 2015 года не совершила ни одного успешного хищения на территории России, но их троян еще используется для атак на компании за пределами СНГ.

Технологическая гонка

2017-й стал годом технологического прорыва группы. Вероятнее всего, Cobalt нашли команду разработчиков, которые на постоянной основе выполняли их заказы, создавая новые инструменты и дорабатывая эксплойты в целях затруднения обнаружения средствами защиты. Новый ресурс позволил им быть оперативнее: при появлении PoC для 1-day эксплойтов группа Cobalt в течение нескольких часов начинала использовать ее модифицированную версию.

Модернизация технологий и усовершенствование тактики позволили Cobalt еще успешнее атаковать свои цели внутри банков – SWIFT, карточный процессинг, платежные шлюзы. В этом же году Cobalt устанавливает персональный «рекорд», сделав попытку вывести максимальную для них сумму 25 млн. евро из одного европейского банка.

Среди новых и модернизированных про- грамм в 2017, используемых Cobalt:

Известный во всем мире вирус-шифровальщик был использован Cobalt в ходе взлома российского банка. Хакеры попытались похитить деньги через карточный процессинг, но после неудачной попытки воспользовались модифицированной версией шифровальщика Petya – «PetrWrap», которую они же и разработали. Низкоуровневая модификация была исполнена на С, что свидетельствует о высоком уровне технической подготовки автора. В результате они вывели из строя сеть этого небольшого банка, что значительно затруднило реагирование.

В мае они начали тестирование нового инструмента — библиотеки формата PE (DLL), выполнявшей роль разведывательного модуля. Однако этот инструмент так и не был использован группой, и они перешли к тестированию нового JS-бэкдора, который должен был выполнять роль разведмодуля и усложнять процесс их обнаружения и исследования. Данный бэкдор впервые был использован в атаках через компрометацию серверов американского интегратора с высоким качеством составления фишинговых писем и приложением реальных отчетов из системы SWIFT. Программа использовалась в атаках не только по странам СНГ и восточной Европы, но и для атак англоговорящих компаний.

В сентябре Cobalt реализовала функциональность JS-бэкдора в исполняемом файле, но без возможности загрузки и запуска других программ. В этом InfoStealer была указана версия 0.2. Он полностью memory-hosted и не оставляет следов в файловой системе. Данная программа использовалась в атаках на СМИ, разработчиков ПО, страховые компании с целью использования их инфраструктуры для дальнейших атак на банки.

В декабре они начали использовать новый Java-загрузчик, генерируемый фреймворком CobaltStrike, но с уникальным payload'ом, который догружает Recon бэкдор Coblnt. Бэкдор в виде команд от сервера получает модули на исполнение. Подобное усложнение вектора атаки очень похоже на тактику используемую в целенаправленных атаках профессиональными прогосударственными атакующими. Похожим образом в свое время работал Lurk.

Атака через посредника и нетипичные жертвы

Важным изменением тактики Cobalt стало смещение в сторону непрямых атак. В феврале 2016 года эксперты Group-IB фиксируют успешный взлом системного интегратора, которого Сobalt использует как «посредника» для проведения атак на компании в России, Казахстане, Молдавии, а также их представительства в других странах. В течение последующих 9 месяцев они получат доступ минимум в 4 аналогичных компании: по одной в Украине и США, и двум компаниям в России.

В марте 2017-го они начали готовить атаки на компании, предоставляющие электронные кошельки и терминалы оплаты. Уже в апреле они изучили новую схему и создали уникальную программы для автоматического формирования мошеннических платежей через платежные шлюзы. В сентябре они проводят первую атаку на компанию разработчика электронных кошельков и похищают деньги через платежный шлюз. Именно в этом инциденте впервые обнаружены явные следы группы Anunak.

Позже группа начинает атаковать еще более нетипичные цели – страховые агентства и СМИ. Они захватывают контроль над почтовыми серверами или учетными записями жертв для последующего использования их инфраструктуры в атаках на финансовые организации.

Cobalt: перезагрузка

В 2018-й год Cobalt вошла на пике формы – как с точки зрения технологического, так и ресурсного обеспечения. И когда в марте 2018 года в Испании был задержан лидер Cobalt, это не остановило других участников этой группы. Они продолжили атаковать финансовые учреждения, хотя и снизили свою активность в России и СНГ, временно сосредоточившись на других регионах. Примечательно, что зафиксированные в марте фишинговые рассылки всегда приходили от имени американских компаний, например, IBM, Verifon, Spamhaus.

7-10 марта письма рассылались с доменов ibm-cert.com, ibm-warning.com, ibm-notice.com.

15 марта была зафиксирована новая рассылка — в качестве сервера управления использовался домен dns-verifon.com, эксплуатировавший бренд компании VeriFon – крупнейшего вендора POS-терминалов.

26 марта письма рассылали от имени компании Spamhaus, некоммерческой организации, специализирующейся на борьбе со спамом. Для этой рассылки атакующие зарегистрировали очень похожий домен spamhuas.com.

3 апреля были зафиксированы рассылки со скомпрометированного почтового сервера шведской компании.

18 мая осуществлена рассылка от имени SWIFT с использованием уникального JS бэкдора Cobalt, используемая с осени 2017 только в атаках на организации в США и Европе.

23 мая Group-IB обнаружила новую масштабную кибератаку на ведущие банки России и СНГ со стороны преступной группы Cobalt от имени антивирусной компании.

28 мая группа вновь рассылает JS-бэкдор от имени Центрального Европейского Банка.

Учитывая технологическое развитие группы, а также тот факт, что после ареста главаря, на свободе до сих пор остаются другие ее участники и они продолжают атаки, мы не исключаем, что члены Cobalt в ближайшее время вольются в другие группы или будут возрождены в виде условного Cobalt 2.0. В любом случае, их рано списывать со счетов.

Отчет "Cobalt: эволюция и совместные операции"
Как менялись инструменты, тактика и цели хакерской группировки, похитившей около 1 млрд евро у 100 банков в 40 странах мира

Получить отчет