Вирусът Lurk хакна банки, докато беше написан от редовни отдалечени работници под наем

Откъс от книгата „Нашествие. Кратка история на руските хакери"

През май тази година в издателство Индивидуум излезе книга журналист Даниил Туровски „Нашествие. Кратка история на руските хакери. Той съдържа истории от тъмната страна на руската ИТ индустрия - за момчета, които, влюбени в компютрите, се научиха не просто да програмират, но и да ограбват хората. Книгата се развива, както и самото явление - от тийнейджърско хулиганство и форумни купони до операции на реда и международни скандали.

Даниел събираше материали в продължение на няколко години, някои истории излъчен по Meduza, за своите преразкази на статиите на Даниел, Андрю Крамър от New York Times получи наградата Пулицър през 2017 г.

Но хакерството, като всяко престъпление, е твърде затворена тема. Истинските истории се предават само от уста на уста между хората. И книгата оставя впечатлението за безумно любопитна незавършеност - сякаш всеки от нейните герои може да бъде събран в тритомник за това "как беше в действителност".

С разрешението на издателя публикуваме кратък откъс за групата Lurk, която ограби руски банки през 2015-16 г.

През лятото на 2015 г. Руската централна банка създаде Fincert, център за наблюдение и реагиране на компютърни инциденти в кредитния и финансовия сектор. Чрез него банките обменят информация за компютърни атаки, анализират ги и получават препоръки за защита от разузнавателните служби. Има много такива атаки: Сбербанк през юни 2016 г оценявам загубите на руската икономика от киберпрестъпления възлизат на 600 милиарда рубли - в същото време банката придоби дъщерна компания Bizon, която се занимава с информационната сигурност на предприятието.

В първия доклад резултатите от работата на Fincert (от октомври 2015 г. до март 2016 г.) описват 21 целенасочени атаки срещу банкова инфраструктура; В резултат на тези събития са образувани 12 наказателни дела. Повечето от тези атаки бяха дело на една група, която беше наречена Lurk в чест на едноименния вирус, разработен от хакери: с негова помощ бяха откраднати пари от търговски предприятия и банки.

Полицията и специалисти по киберсигурност издирват членове на групата от 2011 г. Дълго време търсенето беше неуспешно - до 2016 г. групата открадна около три милиарда рубли от руски банки, повече от всеки друг хакер.

Вирусът Lurk беше различен от тези, с които изследователите се сблъсквали преди. Когато програмата беше пусната в лабораторията за тестване, тя не направи нищо (затова беше наречена Lurk - от английския "скривам се"). По късно оказа сече Lurk е проектиран като модулна система: програмата постепенно зарежда допълнителни блокове с различна функционалност - от прихващане на символи, въведени от клавиатурата, влизане и пароли до възможност за запис на видео поток от екрана на заразен компютър.

За да разпространи вируса, групата хакна уебсайтове, посещавани от банкови служители: от онлайн медии (например РИА Новости и Gazeta.ru) до счетоводни форуми. Хакерите се възползваха от уязвимост в системата за обмен на рекламни банери и разпространяваха зловреден софтуер чрез тях. На някои сайтове хакерите публикуваха връзка към вируса само за кратко: във форума на едно от счетоводните списания той се появи през делничните дни на обяд за два часа, но дори през това време Lurk намери няколко подходящи жертви.

Щраквайки върху банера, потребителят се отвеждаше на страница с експлойти, след което започва да се събира информация за атакувания компютър - хакерите се интересуваха главно от програма за дистанционно банкиране. Реквизитите в банковите платежни нареждания са подменени с изискуемите, а неразрешени преводи са изпращани по сметки на компании, свързани с групата. Според Сергей Голованов от Kaspersky Lab обикновено в такива случаи групите използват фиктивни компании, „които са същите като прехвърляне и теглене“: получените пари се осребряват там, поставят се в чанти и оставят отметки в градските паркове, където хакерите вземат тях . Членовете на групата старателно криеха действията си: криптираха цялата ежедневна кореспонденция и регистрираха домейни с фалшиви потребители. „Нападателите използват троен VPN, Tor, тайни чатове, но проблемът е, че дори добре работещ механизъм се проваля“, обяснява Голованов. - Или VPN пада, тогава тайният чат се оказва не толкова таен, тогава един, вместо да се обажда чрез Telegram, се обажда просто от телефона. Това е човешкият фактор. И когато трупате база данни с години, трябва да търсите такива инциденти. След това правоприлагащите органи могат да се свържат с доставчиците, за да разберат кой е посетил такъв или такъв IP адрес и по кое време. И тогава случаят е построен.

Задържане на хакери от Lurk погледна като екшън филм. Служители на Министерството на извънредните ситуации отрязаха ключалките в селски къщи и апартаменти на хакери в различни части на Екатеринбург, след което служители на ФСБ избухнаха в писъци, хванаха хакерите и ги хвърлиха на пода и претърсиха помещенията. След това заподозрените бяха качени на автобус, откарани до летището, минаха по пистата и качени на товарен самолет, който излетя за Москва.

В гаражи на хакери са открити автомобили - скъпи модели Audi, Cadillac и Mercedes. Открит е и часовник, инкрустиран с 272 диаманта. Иззети бижута на стойност 12 милиона рубли и оръжия. Общо полицията извърши около 80 претърсвания в 15 региона и задържа около 50 души.

По-конкретно всички технически специалисти от групата бяха арестувани. Руслан Стоянов, служител на Kaspersky Lab, който участва в разследването на престъпленията Lurk заедно с разузнавателните служби, каза, че ръководството е търсило много от тях на редовни сайтове за набиране на персонал за дистанционна работа. В обявите не се казваше нищо, че работата ще бъде нелегална, а заплатата в Lurk се предлагаше над пазарната и можеше да се работи от вкъщи.

„Всяка сутрин, с изключение на почивните дни, в различни части на Русия и Украйна хората сядаха пред компютрите си и започваха да работят“, описва Стоянов. „Програмистите промениха функциите на следващата версия [на вируса], тестерите го провериха, след това лицето, отговорно за ботнета, качи всичко на командния сървър, след което се извършиха автоматични актуализации на бот компютрите.“

Разглеждането на делото на групата в съда започна през есента на 2017 г. и продължи в началото на 2019 г. - поради обема на делото, който съдържа около шестстотин тома. Хакерски адвокат крие името си декларираче никой от заподозрените няма да се споразумее с разследването, но някои признаха част от обвиненията. „Нашите клиенти работиха по разработването на различни части от вируса Lurk, но много от тях просто не знаеха, че това е троянски кон“, обясни той. „Някой е направил част от алгоритмите, които могат да работят успешно в търсачките.“

Случаят на един от хакерите на групата беше отделен в отделно производство и той получи 5 години, включително за хакване на мрежата на летището в Екатеринбург.

През последните десетилетия в Русия специалните служби успяха да победят повечето големи хакерски групи, които нарушиха основното правило - „Не работете на ru“: Carberp (откраднаха около милиард и половина рубли от сметките на руските банки), Anunak (откраднаха повече от милиард рубли от сметките на руски банки), Paunch (те създадоха платформи за атаки, през които преминаха до половината от инфекциите по света) и т.н. Доходите на такива групи са сравними с приходите на търговците на оръжие и те се състоят от десетки хора, освен самите хакери - охранители, шофьори, касиери, собственици на сайтове, където се появяват нови експлойти и т.н.

Източник: www.habr.com