Доходы российских кибермошенников падают

Согласно исследованию Group-IB, средняя сумма успешных хищений уменьшилась с $54 700 до $40 000. Группы, специализирующиеся на хищениях денежных средств у физических лиц, остались без изменений в организационном плане. Однако именно с середины прошлого года начали появляться новые преступные группы, использующие в своей работе мобильные банковские троянские программы.

Уменьшилась средняя сумма хищения у юридических лиц с $56 000 в прошлом году до $40 000 в этом году. Средняя сумма хищения у физических лиц уменьшилась с $2 500 в прошлом году до $2 300 в этом году. Количество попыток хищения у физических лиц в день сократилось с 4 до 3. Среднее количество хищений одной группой, использующей мобильные трояны, равно 5 в день.

Благодаря исследованию ботсетей в 2014 году экспертам Group-IB удалось установить, что число скомпрометированных пользователей по разным системам дистанционного банковского обслуживания для юр. лиц по состоянию на 01.08.2014 составило 2162 юридических лиц у IBANK2 (общий максимальный баланс – 8 998 777 040,00 руб.), 580 юридических лиц у СБРФ, iFOBS — 204 юридических лиц. Потенциальный объем ущерба составляет 12 155 785 399 руб. В данную цифру не включены балансы на счетах пользователей системы iFOBS, Альфа-Банка, BSS и т.д., в связи с отсутствием данных.

Рынок данных банковских карт за последние 10 лет окончательно структурировался и пришел к организации массовых автоматизированных каналов сбыта в виде электронных торговых площадок. Профессиональные оптовые продавцы, осуществляющие массовые хищения карточной информации в торговых сетях и online-ритейле, поставляют в оптовом режиме похищенные данные на эти площадки, получая в среднем до половины от суммы розничных продаж данных.

Весной 2014 возросло количество сетевых атак на банки, целью которых являлось хищение денежных средств любым доступным способом с использованием уязвимостей внутренних и внешних банковских систем. Достоверно известно, что жертвами взлома стали более 35 банков и несколько юридических лиц. Результаты проведенных исследований показали, что схема совершения преступления хорошо отработана, затраченное время минимально, действия злоумышленников строго регламентированы, средняя длина цепочки скомпрометированных компьютеров составляла 6-7. Характерной особенностью атак является использование методов социальной инженерии и самописных вредоносных программ, а также содействие с работниками банка. Работники банка, находившиеся в сговоре со злоумышленниками, передавали сведения о внутренней структуре банковской системы, построению сети, именам и IP-адресам ключевых информационных систем, особенностях работы «специфичных» систем, которые использовались в конкретном банке и не имели широкого распространения.

До недавнего времени мобильные троянские программы представляли угрозу для банков и их клиентов, только если компьютер клиента банка был заражен, т.к. хакер получал доступ к логину/паролю от интернет-банка с помощью троянской программы на мобильном устройстве и доступ к одно разовым паролям, например, с помощью Zitmo (Zeus-in-the-mobile). С распространением мобильных устройств, злоумышленники нашли способ совершать хищения с банковских счетов, используя только троянскую программу на мобильном устройстве.

Согласно исследованиям мобильных бот-сетей, 40% пользователей мобильных устройств имеют счет в банке, привязанный к зараженному мобильному телефону.

Современные мобильные троянские программы позволят злоумышленникам совершать хищения в автоматическом режиме, что приведет к взрывному росту числа инцидентов. На текущий момент большое распространение получили вредоносные программы русскоговорящих авторов, которые активно испытывают свои вредоносные программы на российских и украинских банках последние 8 месяцев, постепенно переключаясь на европейские, что в 2014 году может привести к росту хищений в данном сегменте.

Кроме совершения хищений, мобильные бот-сети активно используются для шпионажа за владельцами телефонов, перехватывая СМС-сообщения, изображения, историю и запись телефонных переговоров, отслеживая перемещения владельца устройства.

Одним из способов использования мобильных бот-сетей является шпионаж. Функции вредоносной программы позволяют злоумышленникам не только получать любые файлы с мобильного устройства (аудио, фото, видео, историю сообщений (skype, viber, what sup и т.д.), но и осуществлять запись телефонных переговоров.

Компьютерные атаки в качестве выражения протеста уже стали обыденностью. Публикация переписки чиновников, конфиденциальных документов тоже никого не удивляют. Жертвами атак в марте 2014 г. стали – «Сбербанк», «Газпром банк», «Альфа-банк», «ВТБ 24»; веб-сайты российских органов власти – Роскомнадзора, Центробанка, Администрации президента; а также сайты СМИ – Lifenews, Первого канала, RussiaToday, «Комсомольской правды» и др. Учитывая политическую обстановку, можно сделать предположение, что подобного рода акции будут проводиться все чаще.

Тенденция по целевым атакам на банки продолжает активно развиваться. Банки об этой угрозе осведомлены, но, как показала практика, мало кто предпринимает активные шаги для минимизации этого риска. Кроме того, в этом году были зафиксированы и другие целевые атаки, повлекшие значительный ущерб для компаний, а также утечку конфиденциальной информации. Никто из злоумышленников, причастных к данным атакам, не задержан, поэтому нет никаких поводов для снижения уровня инцидентов подобного рода. Напротив, чувство безнаказанности мотивирует людей на более активные действия, особенно тех, кто имеет успешный опыт проведения таких атак.

В этом году атаки на банкоматы стали более изощрёнными. Несмотря на то, что участники двух из трех групп были задержаны, активность в данном сегменте повысилась. Вредоносные программы уже на руках у злоумышленников, и ими могут начать пользоваться другие преступники. Есть риск, что люди, которые ранее занимались физическими взломами/похищениями/взрывами банкоматов, теперь начнут использовать вредоносные программы, что позволит им быть более незаметными. Кроме того, есть риск вербовки работников из сервисных компаний, обслуживающих банкоматы различных банков.

Банковские троянские программы появляются почти каждые два месяца. За последний год их появилось больше чем обычных банковских троянских про грамм. Однако, суммы хищений с использованием мобильных троянов гораздо ниже из-за установленных банками лимитов и поддержки СМС-банкинга не всеми банками. Чтобы повысить доходность от использования мобильных банковских троянов, понадобиться автоматизировать процесс хищения, т.е. реализовать автозалив. Учитывая, что эта задача решается, и в будущем мобильных банковских троянов будет больше, то можно ожидать значительный рост хищений с их использованием. В настоящее время работают две преступные группы, использующие троянские программы для персональных компьютеров, которые перенаправляют пользовательские запросы на фишинговые страницы российских банков. Данная схема является мало эффективной, и в следующем году должен быть значительный спад по ее использованию.

Рынок вредоносных программ для POS терминалов хорошо вырос за послед нее время. Сейчас уже известны: Alina, BlackPos, Dexter, JackPos, PosCardStealer, Project Hook, ChewBacca, VSkimmer, Backoff, BrutPOS, Nemanja, Decebal, RetalixScrapper. Программы совершенствуются, и появляются новые авторы. Сейчас основной целью являются США и Европа, однако, для России эта угроза была неактуальна. Следующий год может стать переломным, и злоумышленники начнут их использовать для атак и в российском сегменте.