Silence: когда молчание превращается в золото

В августе 2017 года Нацбанк Украины предупредил государственные и частные банки о масштабной фишинговой рассылке. Ее авторы использовали эксплоит из арсенала прогосударственной хакерской группы APT28. Однако сам инструмент, как выяснили в Group-IB, был модифицирован специально под атаку на банки — судя по всему, авторы рассылки обладали глубокими навыками реверс-инжиниринга.

Украинский ЦБ тогда связал эту атаку с новой волной эпидемии вируса- шифровальщика NotPetya, но это были не прогосударственные хакеры. Можно было предположить, что эта целевая атака — дело рук наиболее агрессивных хакерских групп уровня Cobalt или MoneyTaker. Но и эта гипотеза
не подтверждалась. Те, с кем столкнулись специалисты Group-IB, оказались малоизученной, молодой и активной хакерской группировкой, которая очень быстро училась, в том числе и на собственных ошибках.

Новое явление хакерской сцены получило название Silence. Это имя уже звучало в сообщениях антивирусных вендоров, однако никаких технических подробностей о группе до появления данного отчета не было.

Хакерские группы, специализирующиеся на целенаправленных атаках на банки, — Anunak, Corkow, Buhtrap — имели отношение к управлению бот- сетями. Silence — исключение из правил. Еще в начале своего пути, летом 2016 года, Silence не имела навыков взлома банковских систем и в процессе своих первых операций училась прямо по ходу атаки. Они внимательно анализировали опыт, тактику, а также инструменты других преступных групп. Они постоянно пробовали применять на практике новые техники и способы краж из различных банковских систем, в числе которых АРМ КБР, банкоматы, карточный процессинг.

Навыки в области реверс-инжиниринга и пентеста, уникальные инструменты, которые хакеры создали для взлома банковских систем, выбор неизвестного трояна для патчинга, а также многочисленные ошибочные действия подтвер- ждают гипотезу о том, что бэкграунд Silence, скорее всего, легитимный. Как минимум один из хакеров работал (или продолжает работать) в компании, специализирующейся на информационной безопасности. Чем дольше мы изучали группу, тем более устойчивой становилась версия о том, что мы имеем дело с одним или несколькими whitehat, которые перешли на темную сторону.

После того, как Group-IB вышла на след Silence, ее участники перешли в контратаку. Одно из фишинговых писем было сознательно направлено на адрес CERT-GIB (Центр реагирования на инциденты информационной безопасности Group-IB). Вряд ли это была атака в чистом виде, скорее «вызов». И мы его приняли.

Отчет, который можно сказать здесь, является первым подробным исследованием, раскрывающим преступления группы Silence. Здесь мы описываем, как хакеры Silence совершали хищения из различных финансовых систем, как развивалась эта группа и как вела разработку своих уникальных инструментов. Для технических специалистов мы выделили отдельные разделы, позволяющие изучить часть методов и технологий, которые можно использовать для хантинга за этой группой. Также мы приводим подробный анализ уникальных инструментов, созданных Silence, технические индикаторы компрометации, YARA и IDS правила для успешного выявления атак этой группы.

Рабочая версия экспертов Group-IB предполагает, что в команде Silence четко прослеживаются две роли — оператора и разработчика. Вероятно, оператор является лидером группы, по характеру действий он — пентестер, хорошо знакомый с инструментарием для проведения тестов на проникновение в банковскую инфраструктуру. Эти знания позволяют группе легко ориентиро- ваться внутри атакуемого банка. Именно оператор получает доступ к защи- щенным системам внутри банка и запускает процесс хищений.

Разработчик параллельно является реверс-инженером с достаточно высокой квалификацией. Его академические знания о том, как создаются программы, не мешают ему делать ошибки в коде. Он отвечает за разработку инструментов для проведения атак, а также способен модифицировать сложные эксплойты и чужие программы. При этом для патчинга он использует малоизвестный троян, ранее не встречавшийся ни у одной другой группы. Кроме того, он знает технологии работы банкоматов и имеет доступ к сэмплам вредоносного ПО, которые, как правило, содержатся в базах компаний, занимающихся информационной безопасностью.

Как и большинство финансово-мотивированных APT-групп, участники Silence русскоговорящие, о чем свидетельствуют язык команд программ, приоритеты по расположению арендуемой инфраструктуры, выбор русскоязычных хостеров и локация целей преступников:

• Команды трояна Silence — русские слова, набранные на английской раскладке: htrjyytrn > reconnect > реконнект
  htcnfhn > restart > рестарт
  ytnpflfybq > notasks > нетзадач
  
• Основные цели находятся в России, хотя фишинговые письма отправлялись также сотрудникам банков в более чем 25 странах в Центральной и Западной Европы, Африки и Азии.
  
• Для аренды серверов Silence пользуются услугами русскоговорящих хостеров.

Успешные атаки Silence ограничиваются странами СНГ и Восточной Европой, а основные цели находятся в России, Украине, Белоруссии, Азербайджане, Польше, Казахстане. Однако единичные фишинговые письма отправлялись также сотрудникам банков в более чем 25 странах Центральной и Западной Европы, Африки и Азии: Киргизия, Армения, Грузия, Сербия, Германия, Латвия, Чехия, Румыния, Кения, Израиль, Кипр, Греция, Турция, Тайвань, Малайзия, Швейцария, Вьетнам, Австрия, Узбекистан, Великобритания, Гонконг и другие.