Компания Group-IB, ведущий поставщик услуг по обеспечению информационной и кибер-безопасности, офисы которой расположены в ОАЭ (Дубае) и России (Москва), опубликовала доклад, в котором были подробно описаны схемы мошеннических операции русскоязычной группы хакеров, известных как «MoneyTaker».

Менее чем за два года команда злоумышленников из «MoneyTaker» совершила более 20 успешных атак на финансовые и юридические компании по всей планете. Несмотря на то, что группа успешно совершила ряд атак на несколько банков в разных странах, о них не сообщалось общественности. Постоянно меняя свои инструменты и тактику для обхода антивирусов и систем обеспечения безопасности и, самое главное, тщательно маскируя следы вторжения, группе долгое время удавалось оставаться незамеченной.

По данным Group-IB свою первую атаку хакеры осуществили в США в мае 2016 года, последняя же состоялась совсем недавно – в ноябре 2017 года в России.

«MoneyTaker использует инструменты, расположенные в общем доступе, что значительно осложняет процесс выявления атак и проведение расследования», – утверждает Дмитрий Волков, соучредитель Group-IB и директор по интеллектуальной обработке данных. «Кроме того, атаки происходили в разных регионах мира. Специалисты Group-IB предполагают, что в ближайшем будущем состоятся новые атаки, поэтому для снижения риска подготовили отчет, содержащий описание используемых хакерами методов и инструментов, а также критерии, по которым можно определить, что вы стали жертвой MoneyTaker».

При помощи собственной системы разведки угроз безопасности Group-IB удалось выявить связь между всеми 20 случаями атак за 2016 и 2017 годы. Связи удалось обнаружить не только в используемых инструментах, но и распределенной инфраструктуре, одноразовых компонентах в наборе программных средств, применяемых группой, также Group-IB описывает конкретные схемы вывода средств – использование уникальных учетных записей для каждой транзакции. Еще одной отличительной особенностью группы является то, что после совершения кражи, злоумышленники продолжают следить за обманутыми банками, перенаправляя корпоративные электронные письма и другие документы в почтовые ящики на ресурсах Yandex и Mail.ru.