TipTop нечаянно нагрянет

Сегодня Group-IB раскрывает подробности громкого кейса хакерской группы TipTop, в течение четырех лет атаковавшей клиентов крупнейших российских банков. После ликвидации группы Cron в конце 2016 года, группа TipTop являлась одной из самых крупных и опасных в России. С помощью Android-троянов киберпреступники смогли инфицировать более 800 000 смартфонов и ежедневно похищали от 100 000 рублей до 700 000 рублей.

Главной целью группы TipTop были клиенты крупных российских банков — пользователи смартфонов на ОС Android. Для заражения телефонов злоумышленники маскировали вредоносные программы под мобильные приложения известных банков из ТОП-10, а также под мессенджер Viber, магазин приложений Google Play или графические приложения компании Adobe.

Ссылки на них киберпреступники размещали на собственных ресурсах или взломанных легитимных сайтах. Чтобы увеличить количество жертв, злоумышленники выкупали рекламу в поисковиках по запросу «мобильный банк» и размещали там ссылки на свои ресурсы.

После того как пользователь пытался скачать приложение, на его смартфон устанавливался банковский Android-троян Hqwar (также известный как Agent.BID). Все мобильные трояны, которые использовали злоумышленники могли перехватывать и читать СМС, записывать телефонные разговоры, отправлять USSD-запросы, но их главной целью была кража данных банковских карт с помощью фишинговых окон, копирующих окна легальных приложений, или с помощью web-фейков для ввода логинов-паролей учетных данных личных кабинетов от интернет-банкинга популярных банков.

В ходе исследования эксперты Group-IB обнаружили, что для обналичивания украденных денег в течение 2015-2017 годов группой использовалась схема с выводом денег через мобильный банкинг (суммы до 8 тысяч рублей с одного зараженного устройства). В период с 2017 по 2018 годов стала применяться схема с кражей данных банковских карт через web-фейки, которые могло демонстрировать вредоносное приложение на экране мобильного телефона.

При краже данных карты перевод мог быть выполнен через сервисы CARD2CARD российских банков, а также с использованием сервисов оплаты услуг (например, покупка и дальнейшая перепродажа лицензий на игры и карт оплаты Playstation Network и Xbox Live). Также использовался вывод денежных средств с мобильного телефона жертвы путём оплаты несуществующих услуг в магазинах, принадлежащих злоумышленникам, с подключенным сервисом оплаты.

Впервые активность участников группы TipTop сотрудники Group-IB зафиксировали еще в 2015 году. Все 4 года своей «работы» TipTop постоянно пробовала новые инструменты, что затрудняло атрибуцию группы с конкретной атакой. В 2015 году для заражения клиентов российских банков хакеры использовали мобильный Android-троян Hqwar (Agent.BID). С 2016 года — троян Honli, а с февраля 2016 года его модернизированную версию, определяемую антивирусами как Asacub.g. В этом же году они пробуют заражать смартфоны с помощью трояна своих предшественников — Cron, давшего название группе. Тогда же на вооружении у TipTop стоял троян CatsElite (MarsElite). В апреле 2017 года они вновь возвращаются к использованию мобильного банкера Hqwar (Agent.BID). Однако параллельно с ним группа использовала Lokibot, а также модернизированный старый троян Marcher (Rahunok). Серверы, откуда шло заражение вредоносными программами и управление бот-сетями в разное время находились в Германии, в США, на Украине.

Полицейские установили, что к хищению денежных средств у жительниц Чувашской Республики (75 000 рублей) причастен ранее судимый 31-летний житель г. Красноярска, который исполнял роль заливщика группы TipTop и непосредственно переводил деньги со счетов пользователей на счета и карты злоумышленников..

Злоумышленник был задержан в результате проведенной спецоперации отдела «К» БСТМ МВД по Республике Чувашия и Управления «К» МВД России при содействии экспертов Group-IB. В результате обыска, проведенного полицейскими по месту жительства подозреваемого, обнаружены и изъяты компьютерная техника, жесткие диски, флэш-накопители, телефоны и SIM-карты.

Следователями отдела МВД России по Канашскому району Республики Чувашия было возбуждено уголовное дело по признакам преступления, предусмотренного статьей 273 Уголовного кодекса Российской Федерации «Создание, использование и распространение вредоносных компьютерных программ». Затем материалы дела были переданы в Канашский районный суд, которым обвиняемый в результате был приговорен к 2 годам лишения свободы условно. Другие участники TipTop также установлены и задержаны.