Хакеры RTM атаковали банки и другие организации от лица госучреждений

Безопасность
мобильная версия

Компания Group-IB, специализирующаяся на предотвращении кибератак, зафиксировала массовую вредоносную рассылку по финансовым учреждениям и предприятиям. Злоумышленники отправили более 11 000 писем с поддельных почтовых адресов российских госучреждений — все они содержали троян RTM, с 2016 г. стоящий «на вооружении» у одноименной хакерской группы и предназначенный для кражи денег из сервисов дистанционного банковского обслуживания (ДБО) и платежных систем. В среднем, одно успешное хищение такого типа приносит злоумышленникам около 1,1 млн рублей. В настоящее время вредоносные рассылки продолжаются.

Начиная с 11 сентября 2018 г. Group-IB фиксировала массовые рассылки по российским банкам, промышленным и транспортным компаниям: 3210 писем было отправлено в сентябре, 2311 — в октябре, в 4768 — в ноябре и 784 — в декабре. Рассылки шли «волнами», пик пришелся на 24 и 27 сентября — 729 и 620 писем соответственно. В общей сложности с сентября до начала декабря хакеры отправили 11 073 письма с 2 900 различных электронных адресов, подделанных под госучреждения. Среди «отправителей»: региональные управления Роспотребнадзора, Россельхознадзора, Ростехнадзора, Росприроднадзора, Министерства труда и соцразвития, УФСИН, прокуратуры, судов и другие. Фальшивые письма, не имеющие к деятельности реальных государственных и муниципальных организаций никакого отношения, были замаскированы под служебные документы, например, «Оплата август-сентябрь», «Копии документов», «Служебная записка», «Отправка на четверг», и др.

Каждое такое письмо содержит вредоносное вложение, представляющее собой архив с исполняемым файлом. Распакованные файлы имеют поддельные иконки «PDF», что дополнительно вводит пользователя в заблуждение. После запуска извлеченного из архива файла происходит заражение компьютера.

Схема хищения классическая: RTM при помощи скриншотов и кейлоггера узнает логин и пароль пользователя, скачивает и запускает средства удалённого управления компьютером, после чего либо создаётся платёжное поручение и отправляется в систему ДБО через удаленное управление на заражённом компьютере, либо похищаются аутентификационные данные и секретный ключ, используемые в системе ДБО, а отправка поручения происходит с компьютера злоумышленника.

Эксперты Group-IB подчеркивают, что опасность подобных атак еще и в том, что они могут быть «долгоиграющими», так как зачастую финансовые учреждения не проводят качественного реагирования на произошедший инцидент, считая его единичным. Это позволяет трояну «работать» на своего создателя продолжительное время. Случалось, что вредоносная программа эксплуатировалась злоумышленниками до полугода, оставаясь незамеченной для банка.