וירוס Lurk פרץ לבנקים בזמן שהוא נכתב על ידי עובדים מרוחקים רגילים להשכרה

קטע מתוך הספר "פלישה. היסטוריה קצרה של האקרים רוסים"

בחודש מאי השנה בהוצאה לאור אינדיווידוום ספר יצא העיתונאי דניאל טורובסקי "פלישה. היסטוריה קצרה של האקרים רוסים." הוא מכיל סיפורים מהצד האפל של תעשיית ה-IT הרוסית - על בחורים שלאחר שהתאהבו במחשבים, למדו לא רק לתכנת, אלא לשדוד אנשים. הספר מתפתח, כמו התופעה עצמה - מחוליגניזם של בני נוער ומסיבות פורום ועד למבצעי אכיפת חוק ושערוריות בינלאומיות.

דניאל אסף חומרים במשך כמה שנים, כמה סיפורים שודר ב-Meduza, על החזרות שלו על מאמרים של דניאל, אנדרו קרמר מהניו יורק טיימס קיבל פרס פוליצר ב-2017.

אבל פריצה, כמו כל פשע, היא נושא סגור מדי. סיפורים אמיתיים מועברים רק מפה לאוזן בין אנשים. והספר מותיר רושם של חוסר שלמות מוזר בטירוף - כאילו כל אחד מהגיבורים שלו יכול להיות מורכב לספר בן שלושה כרכים של "איך זה באמת היה".

ברשות המוציא לאור, אנו מפרסמים קטע קצר על קבוצת לורק ששדדה בנקים רוסיים בשנים 2015-16.

בקיץ 2015, הבנק המרכזי הרוסי הקים את Fincert, מרכז לניטור ולתגובה לאירועי מחשב במגזר האשראי והפיננסי. באמצעותו הבנקים מחליפים מידע על מתקפות מחשב, מנתחים אותן ומקבלים המלצות על הגנה מפני סוכנויות ביון. יש הרבה התקפות כאלה: Sberbank ביוני 2016 מוערך הפסדי הכלכלה הרוסית מפשעי סייבר הסתכמו ב-600 מיליארד רובל - במקביל הבנק רכש חברת בת, Bizon, העוסקת באבטחת המידע של המיזם.

בחודש הראשון להגיש תלונה תוצאות עבודתו של Fincert (מאוקטובר 2015 עד מרץ 2016) מתארות 21 התקפות ממוקדות על תשתית בנקים; כתוצאה מאירועים אלו נפתחו 12 תיקים פליליים. רוב ההתקפות הללו היו מעשה ידיה של קבוצה אחת, שנקראה לורק לכבוד הווירוס באותו השם, שפותח על ידי האקרים: בעזרתו נגנב כסף ממפעלים מסחריים ובנקים.

משטרה ומומחי אבטחת סייבר חיפשו חברים בקבוצה מאז 2011. במשך זמן רב, החיפוש לא צלח - עד 2016, הקבוצה גנבה כשלושה מיליארד רובל מבנקים רוסים, יותר מכל האקרים אחרים.

נגיף Lurk היה שונה מאלה שחוקרים נתקלו בהם בעבר. כשהתוכנית הופעלה במעבדה לבדיקה, היא לא עשתה כלום (לכן היא נקראה Lurk - מהאנגלית "להסתתר"). יותר מאוחר התבררש-Lurk מתוכננת כמערכת מודולרית: התוכנה טוענת בהדרגה בלוקים נוספים עם פונקציונליות מגוונת - החל מיירט תווים המוזנים במקלדת, כניסות וסיסמאות ועד ליכולת להקליט זרם וידאו ממסך מחשב נגוע.

כדי להפיץ את הנגיף, הקבוצה פרצה לאתרים שבהם ביקרו עובדי הבנק: ממדיה מקוונת (לדוגמה, RIA Novosti ו- Gazeta.ru) ועד לפורומים של חשבונאות. האקרים ניצלו פגיעות במערכת לצורך החלפת באנרים פרסומיים והפיצו דרכם תוכנות זדוניות. בחלק מהאתרים, האקרים פרסמו קישור לוירוס רק בקצרה: בפורום של אחד ממגזיני הנהלת החשבונות הוא הופיע בימי חול בצהריים במשך שעתיים, אך גם בתקופה זו מצא לורק כמה קורבנות מתאימים.

בלחיצה על הבאנר הועבר המשתמש לעמוד עם מעללים, ולאחר מכן החל לאסוף מידע על המחשב המותקף - ההאקרים התעניינו בעיקר בתוכנית לבנקאות מרחוק. פרטים בצווי תשלום בנקאיים הוחלפו בדרישות, והעברות לא מורשות נשלחו לחשבונות של חברות הקשורות לקבוצה. לדברי סרגיי גולובאנוב ממעבדת קספרסקי, בדרך כלל במקרים כאלה, קבוצות משתמשות בחברות מעטפת, "שהן זהות להעברה ולפיבוש": הכסף המתקבל מזומן שם, מוכנס לשקיות ומשאיר סימניות בפארקים העירוניים, לשם לוקחים האקרים. אותם . חברי הקבוצה הסתירו בחריצות את מעשיהם: הם הצפנו את כל ההתכתבות היומית ורשמו דומיינים עם משתמשים מזויפים. "התוקפים משתמשים ב-VPN משולש, ב-Tor, בצ'אטים סודיים, אבל הבעיה היא שאפילו מנגנון שמתפקד היטב נכשל", מסביר גולובנוב. - או שה-VPN נופל, ואז הצ'אט הסודי מתברר כל כך לא סודי, ואז אחד, במקום להתקשר דרך טלגרם, התקשר פשוט מהטלפון. זה הגורם האנושי. וכאשר אתה צובר מאגר מידע כבר שנים, אתה צריך לחפש תאונות כאלה. לאחר מכן, גורמי אכיפת החוק יכולים לפנות לספקים כדי לברר מי ביקר בכתובת IP כזו או אחרת ובאיזה שעה. ואז התיק נבנה".

מעצר האקרים מ- Lurk הסתכל כמו סרט פעולה. עובדי המשרד למצבי חירום ניתקו את המנעולים בבתי כפר ודירות של האקרים באזורים שונים של יקטרינבורג, ולאחר מכן פרצו שוטרי FSB בצרחות, תפסו את ההאקרים והשליכו אותם לרצפה וערכו חיפוש בחצרים. לאחר מכן, החשודים הועלו על אוטובוס, נלקחו לשדה התעופה, הלכו לאורך המסלול והועלו למטוס מטען, שהמריא למוסקבה.

מכוניות נמצאו במוסכים השייכים להאקרים - דגמי אאודי, קאדילק ומרצדס יקרים. כמו כן התגלה שעון מצופה ב-272 יהלומים. נתפס תכשיטים בשווי 12 מיליון רובל וכלי נשק. בסך הכל ערכה המשטרה כ-80 חיפושים ב-15 אזורים ועצרה כ-50 בני אדם.

במיוחד נעצרו כל המומחים הטכניים של הקבוצה. רוסלן סטויאנוב, עובד מעבדת קספרסקי שהיה מעורב בחקירת פשעי לורק יחד עם שירותי המודיעין, אמר כי ההנהלה חיפשה רבים מהם באתרים קבועים לגיוס כוח אדם לעבודה מרחוק. בפרסומות לא נכתב דבר על כך שהעבודה תהיה בלתי חוקית, והשכר ב-Lurk הוצע מעל לשוק, וניתן היה לעבוד מהבית.

"כל בוקר, מלבד סופי שבוע, באזורים שונים של רוסיה ואוקראינה, אנשים התיישבו ליד המחשבים שלהם והחלו לעבוד", תיאר סטויאנוב. "מתכנתים שינו את הפונקציות של הגרסה הבאה [של הווירוס], בודקים בדקו אותה, ואז האדם האחראי על הבוטנט העלה הכל לשרת הפקודות, ולאחר מכן התרחשו עדכונים אוטומטיים במחשבי הבוט".

הדיון בתיק הקבוצה בבית המשפט החל בסתיו 2017 ונמשך בתחילת 2019 - בשל היקף התיק המכיל כשש מאות כרכים. עורך דין האקר מסתיר את שמו מוּצהָרשאף אחד מהחשודים לא יעשה עסקה בחקירה, אך חלקם הודו בחלק מהאישומים. "הלקוחות שלנו אכן עבדו בפיתוח חלקים שונים של וירוס Lurk, אבל רבים פשוט לא היו מודעים לכך שזהו טרויאני", הסביר. "מישהו עשה חלק מהאלגוריתמים שיכולים לעבוד בהצלחה במנועי חיפוש."

עניינו של אחד מההאקרים של הקבוצה הובא להליכים נפרדים, והוא קיבל 5 שנים, כולל על פריצת הרשת של שדה התעופה יקטרינבורג.

בעשורים האחרונים ברוסיה, השירותים המיוחדים הצליחו להביס את רוב קבוצות האקרים הגדולות שהפרו את הכלל העיקרי - "אל תעבוד על ru": Carberp (גנבה כמיליארד וחצי רובל מחשבונות הבנקים הרוסיים), אנונק (גנבו יותר ממיליארד רובל מחשבונות הבנקים הרוסיים), פאנץ' (הם יצרו פלטפורמות להתקפות שדרכן עברו עד מחצית מהזיהומים ברחבי העולם) וכן הלאה. ההכנסה של קבוצות כאלה דומה לרווחים של סוחרי נשק, והם מורכבים מעשרות אנשים בנוסף להאקרים עצמם - מאבטחים, נהגים, קופאים, בעלי אתרים שבהם מופיעים מעללים חדשים וכו'.

מקור: www.habr.com