Компания Group-IB в своем отчете рассказала, как хакерам удалось украсть денежные средства одного из российских банков через атаку на автоматизированное рабочее место клиента Банка России (АРМ КБР). «После долгого затишья группа MoneyTaker успешно атаковала российский банк. Очевидно, что злоумышленники на этом не остановятся и будут продолжать атаковать АРМ КБР», — говорится в отчете «Большой куш: угрозы для финансовых организаций».
В прошлый раз MoneyTaker успешно атаковала по такой схеме ПИР Банк. Инцидент произошел летом 2018 года, тогда злоумышленникам удалось украсть с корсчета в Банке России более 58 млн рублей.
В отчете не сказано, о каком банке и сумме идет речь на этот раз. Как сообщил источник РБК, близкий к ЦБ, хакеры таким образом смогли украсть более полумиллиарда рублей. Другой источник на рынке кибербезопасности отметил, что пострадал действующий «не очень крупный банк». Еще один собеседник знает, что это был маленький банк не из первой сотни. ЦБ известно об этом инциденте: «По итогам разбора его причин до участников информационного обмена доведен соответствующий информационный бюллетень ФинЦЕРТ». Бюллетень был разослан в апреле 2021 года.
К краже хакеры готовились больше полугода. «Атака началась в июне 2020 года через компрометацию аффилированной с банком компании. Предположительно, они начали с физического устройства, установленного в аффилированной сети», — говорится в отчете Group-IB. Затем хакеры смогли получить доступ к сети банка — на это им понадобилось около месяца. Еще полгода они исследовали сеть с помощью программного обеспечения для хранения учетных данных проверки клиента, удаленного доступа и т.д.
