Lurk 바이러스는 일반 원격 근무자가 고용하기 위해 작성하는 동안 은행을 해킹했습니다.

책“침략. 러시아 해커의 간략한 역사

올해 XNUMX월 출판사 Individuum에서 책이 나왔다 저널리스트 Daniil Turovsky“침략. 러시아 해커의 간략한 역사." 여기에는 러시아 IT 산업의 어두운 면에 대한 이야기가 포함되어 있습니다. 컴퓨터와 사랑에 빠진 사람들에 대한 이야기는 프로그래밍뿐만 아니라 사람들을 강탈하는 방법도 배웠습니다. 이 책은 십대 폭력 행위와 포럼 파티에서 법 집행 활동 및 국제 스캔들에 이르기까지 현상 자체와 마찬가지로 발전합니다.

다니엘은 수년간 자료를 수집했고 어떤 이야기들은 메두자에서 방영됨, New York Times의 Andrew Kramer는 Daniel의 기사를 다시 말한 공로로 2017년에 Pulitzer 상을 받았습니다.

그러나 해킹은 다른 범죄와 마찬가지로 너무 폐쇄적인 주제입니다. 진짜 이야기는 사람들 사이에서 입소문으로만 전해진다. 그리고 이 책은 마치 각 영웅이 "그것이 실제로 어땠는지"에 대한 XNUMX권의 책으로 편집될 수 있는 것처럼 엄청나게 호기심 많은 불완전성의 인상을 남깁니다.

게시자의 허가를 받아 2015~16년에 러시아 은행을 강탈한 Lurk 그룹에 대한 짧은 발췌문을 게시하고 있습니다.

2015년 여름, 러시아 중앙은행은 신용 및 금융 부문의 컴퓨터 사고를 모니터링하고 대응하는 센터인 Fincert를 설립했습니다. 이를 통해 은행은 컴퓨터 공격에 대한 정보를 교환하고 분석하며 정보기관으로부터 보호 권고를 받습니다. 이러한 공격이 많이 있습니다: 2016년 XNUMX월 Sberbank 고맙다 사이버 범죄로 인한 러시아 경제의 손실은 600억 루블에 달했습니다. 동시에 은행은 기업의 정보 보안을 담당하는 자회사 Bizon을 인수했습니다.

첫 번째 보고 Fincert의 작업 결과(2015년 2016월부터 21년 12월까지)에는 은행 인프라에 대한 XNUMX건의 표적 공격이 설명되어 있습니다. 이러한 사건의 결과로 XNUMX건의 형사 사건이 시작되었습니다. 이러한 공격의 대부분은 해커가 개발한 동일한 이름의 바이러스를 기리기 위해 Lurk라는 이름의 한 그룹의 작업이었습니다. 이 그룹의 도움으로 상업 기업과 은행에서 돈을 훔쳤습니다.

경찰과 사이버보안 전문가들은 2011년부터 이 그룹의 구성원을 찾고 있다. 오랫동안 검색은 실패했습니다. 2016년까지 이 그룹은 다른 해커보다 러시아 은행에서 약 XNUMX억 루블을 훔쳤습니다.

Lurk 바이러스는 조사관들이 이전에 접했던 바이러스와는 달랐습니다. 테스트를 위해 실험실에서 프로그램을 실행했을 때 아무 작업도 수행되지 않았습니다(그래서 이 프로그램을 Lurk라고 불렀습니다. 영어로 "숨기다"라는 뜻입니다). 나중에 그것은 밝혀졌다.Lurk는 모듈식 시스템으로 설계되었습니다. 프로그램은 키보드에 입력된 문자 가로채기, 로그인 및 비밀번호부터 감염된 컴퓨터 화면의 비디오 스트림을 녹화하는 기능에 이르기까지 다양한 기능을 갖춘 추가 블록을 점차적으로 로드합니다.

바이러스를 확산시키기 위해 그룹은 온라인 미디어(예: RIA Novosti 및 Gazeta.ru)부터 회계 포럼에 이르기까지 은행 직원이 방문하는 웹사이트를 해킹했습니다. 해커는 광고 배너 교환 시스템의 취약점을 악용하고 이를 통해 악성 코드를 배포했습니다. 일부 사이트에서 해커는 바이러스에 대한 링크를 간략하게만 게시했습니다. 회계 잡지 중 하나의 포럼에서는 평일 점심 시간에 XNUMX시간 동안 나타났지만 이 시간에도 Lurk는 여러 명의 적절한 피해자를 찾았습니다.

배너를 클릭하면 사용자는 익스플로잇이 있는 페이지로 이동한 후 공격받은 컴퓨터에서 정보가 수집되기 시작했습니다. 해커는 주로 원격 뱅킹 프로그램에 관심이 있었습니다. 은행 지불 주문의 세부 사항이 필요한 세부 사항으로 대체되었으며 승인되지 않은 이체는 그룹과 관련된 회사의 계좌로 전송되었습니다. Kaspersky Lab의 Sergei Golovanov에 따르면 일반적으로 이러한 경우 그룹은 "이체 및 현금화와 동일한" 페이퍼 컴퍼니를 사용합니다. 받은 돈은 그곳에서 현금화되고 가방에 넣어 해커가 가져가는 도시 공원에 책갈피를 남깁니다. 그들. 그룹 구성원은 자신의 행동을 부지런히 숨겼습니다. 모든 일일 서신을 암호화하고 가짜 사용자로 도메인을 등록했습니다. "공격자는 트리플 VPN, Tor, 비밀 채팅을 사용하지만 문제는 제대로 작동하는 메커니즘조차 실패한다는 것입니다."라고 Golovanov는 설명합니다. - VPN이 끊어지면 비밀 채팅이 그다지 비밀이 아닌 것으로 판명되고 Telegram을 통해 전화하는 대신 간단히 전화로 전화를 겁니다. 이것이 인적 요소입니다. 그리고 수년 동안 데이터베이스를 축적해 왔을 때 그러한 사고를 찾아야 합니다. 그 후 법 집행 기관은 공급자에게 연락하여 누가 그러한 IP 주소를 방문했는지, 언제 방문했는지 알아낼 수 있습니다. 그러면 케이스가 완성됩니다.”

Lurk에서 해커 구금 보았다 액션 영화처럼. 비상상황부 직원들은 예카테린부르크의 여러 지역에 있는 해커들의 시골집과 아파트의 자물쇠를 끊었고, 그 후 FSB 장교들은 비명을 지르며 해커들을 붙잡고 바닥에 던지고 건물을 수색했습니다. 그 후 용의자들은 버스에 실려 공항으로 이동한 뒤 활주로를 따라 걸어가 화물기에 탑승해 모스크바로 이륙했다.

값비싼 아우디, 캐딜락, 메르세데스 모델 등 해커 소유의 차고에서 자동차가 발견되었습니다. 272개의 다이아몬드가 박힌 시계도 발견됐다. 압수 12만 루블 상당의 보석과 무기. 경찰은 총 80개 지역에서 약 15건의 수색을 실시했고 약 50명을 구금했다.

특히 그룹의 기술 전문가가 모두 체포되었습니다. 정보기관과 함께 러크 범죄 수사에 참여한 카스퍼스키랩 직원 루슬란 스토야노프는 경영진이 원격근무 인력을 모집하기 위해 정규 사이트에서 이들 중 상당수를 찾았다고 말했다. 광고에는 해당 작업이 불법이라는 사실이 언급되지 않았으며 Lurk의 급여는 시장 급여보다 높으며 재택 근무가 가능했습니다.

Stoyanov는 “주말을 제외하고 매일 아침 러시아와 우크라이나의 여러 지역에서 개인들이 컴퓨터 앞에 앉아 일을 시작했습니다.”라고 설명했습니다. "프로그래머는 [바이러스의] 다음 버전의 기능을 조정하고 테스터는 이를 확인한 다음 봇넷 책임자가 모든 것을 명령 서버에 업로드한 후 봇 컴퓨터에서 자동 업데이트가 발생했습니다."

법정에서 그룹 사건에 대한 고려는 2017년 가을에 시작되어 2019년 초까지 계속되었습니다. 사건의 양이 약 XNUMX권에 달하기 때문입니다. 이름을 숨긴 해커 변호사 명시된용의자 중 누구도 수사에 참여하지 않았지만 일부는 혐의의 일부를 인정했습니다. “우리 고객은 Lurk 바이러스의 다양한 부분을 개발하는 작업을 수행했지만 많은 사람들은 그것이 트로이 목마라는 사실을 인식하지 못했습니다.”라고 그는 설명했습니다. "누군가가 검색 엔진에서 성공적으로 작동할 수 있는 알고리즘의 일부를 만들었습니다."

그룹의 해커 중 한 명에 대한 사건은 별도의 소송으로 제기되었으며 예카테린부르크 공항 네트워크 해킹을 포함하여 5년을 선고 받았습니다.

최근 수십 년 동안 러시아에서 특별 서비스는 "ru에서 작업하지 마십시오"라는 주요 규칙을 위반한 대다수의 대규모 해커 그룹을 물리치는 데 성공했습니다. Carberp(러시아 은행 계좌에서 약 XNUMX억 루블을 훔쳤습니다), Anunak(러시아 은행 계좌에서 XNUMX억 루블 이상을 훔쳤음), Paunch(전 세계 감염의 최대 절반이 통과하는 공격 플랫폼을 만들었습니다) 등이 있습니다. 이러한 그룹의 수입은 무기 딜러의 수입과 비슷하며 해커 외에도 경비원, 운전사, 계산원, 새로운 공격이 나타나는 사이트 소유자 등 수십 명의 사람들로 구성됩니다.

출처 : habr.com