Антифрод Сбербанка помог предотвратить кражу 57 миллиардов рублей

Татьяна Никитина 09 Июля 2021 - 17:57

Общее

BI.ZONE

Защита от мошенничества

Безопасность платежей

Мошенничество

Онлайн-мошенничество

...

Антифрод Сбербанка помог предотвратить кражу 57 миллиардов рублей

Сбербанк рапортует об успешном противодействии мошенничеству в России и зарубежных странах. В прошлом году специализированная защита от фрода помогла банку сохранить более 57 млрд рублей, принадлежащих вкладчикам.

Последние несколько лет число кибератак на инфраструктуру и сервисы Сбера, по внутренним оценкам, растет в геометрической прогрессии. Специалисты кредитно-финансовой организации ежедневно фиксируют более 100 таких инцидентов и свыше 10 тыс. попыток отъема денег у клиентов мошенническими методами. Тем не менее, наличные средства обеспечения безопасности успешно справляются с таким натиском.

Используемая Сбером система фрод-мониторинга, которую разрабатывали специалисты компании BI.ZONE, исправно служит и его зарубежным дочкам. Так, в Казахстане она помогла в 10 раз сократить число успешных попыток вывода средств со счетов клиентов (данные за 2020 год в сравнении с предыдущим). Помимо антифрода Сбербанк Казахстан применяет еще более десятка различных систем противодействия кибератакам, в том числе проактивные ИБ-решения. В настоящее время основными угрозами здесь являются мошенничество с использованием социальной инженерии, утечки данных и целевые атаки на системы банка.

Использование антифрода в белорусском дочернем предприятии (БПС-Сбербанк) в этом году уже сэкономило клиентам около 2 млн местных рублей. Банковские мошенники в Белоруссии в основном полагаются на социальную инженерию — на такие инциденты приходится 99% случаев кибермошенничества, зафиксированных банком.

В Sberbank Europe для защиты от кибератак используется множество различных инструментов и ИБ-решений ведущих производителей. Расположенные в Европе банки Сбера часто сталкиваются с вредоносными и фишинговыми рассылками, адресованными не только вкладчикам, но и на сотрудникам банка. Такие атаки блокируются с помощью почтовых шлюзов и партнерских решений, а отчеты об инцидентах направляются прямиком в правоохранительные органы и местные CERT.

Сотрудники Sberbank Europe иногда сами проявляют инициативу и пресекают мошенничество — за последние полгода их бдительность помогла банкам и клиентам сберечь несколько десятков тысяч евро. Европейские дочки Сбера также зачастую подвергаются DDoS-атакам и атакам на общедоступные ресурсы банка, но специализированная защита успешно справляется с такими нападениями.

Следующая главная новость »

Подписывайтесь на канал "AM Live" в Telegram, чтобы первыми узнавать о главных событиях и предстоящих мероприятиях по информационной безопасности.

Яков Шпунт 22 Января 2025 - 15:03

PT Expert Security Center Трояны Кибершпионаж Целевые атаки Таргетированные атаки Корпорации Государство Positive Technologies

Российские компании атакует неуловимая кибергруппировка

С мая 2023 года финансовые подразделения российских компаний атакует ранее неизвестная группировка DarkGaboon. Её особенностью является использование вредоносной программы Revenge RAT и поддельных документов, имитирующих легитимные материалы финансовой тематики.

Активность DarkGaboon впервые привлекла внимание департамента киберразведки Positive Technologies (PT Expert Security Center) в октябре 2024 года, когда была обнаружена волна атак с использованием Revenge RAT, нацеленная на российские финансовые структуры.

Хотя первые версии этой программы появились ещё в 2018 году, исследователи выявили, что элементы инфраструктуры злоумышленников носят названия, связанные с африканской тематикой. Это позволило связать их с новой финансово мотивированной APT-группировкой, названной DarkGaboon в честь габонской гадюки, обитающей вблизи горы Килиманджаро.

В октябре 2024 года группировка атаковала один из российских банков. В филиал банка было отправлено письмо с темой «Сверка взаиморасчётов». Оно содержало грамотно составленный текст на русском языке, касающийся бухгалтерии, и архив-приманку «Акт сверка.z». В архиве находились таблица Excel, пояснительная записка и вредоносный файл, замаскированный под PDF-документ.

Рассылки осуществлялись с ранее скомпрометированного аккаунта Gmail. Управляющий сервер находился за пределами России и использовал адрес 31.13.224[.]86 с панелью управления Revenge RAT. Домены, связанные с инфраструктурой, формировали кластер под названием "kilimanjaro", при этом сами серверы располагались в Европе.

Вредоносная программа защищена криптером с использованием алгоритма AES и обфускацией .NET Reactor. Все образцы Revenge RAT подписаны поддельными сертификатами X.509. Для обхода эвристического анализа зловред активирует пятиминутный таймер, после чего начинается извлечение и расшифровка полезной нагрузки.

Программа закрепляется в системе через каталог автозапуска или директорию C:\Users<user>\AppData\Roaming, внося изменения в реестр Windows. После закрепления Revenge RAT собирает информацию о системе и отправляет её на управляющий сервер.

DarkGaboon регулярно обновляет свои вредоносные программы и документы-приманки, используя четыре основных шаблона с небольшими изменениями. Эта стратегия позволила долгое время оставаться незамеченными. С марта 2024 года частота обновлений увеличилась, что может указывать на рост активности группировки.

Основные жертвы DarkGaboon — российские компании. Среди пострадавших оказались банки, предприятия розничной торговли, сферы услуг, спорта и туризма.