• Исследовательское подразделение Blackberry обнаружило атакующего, движимого жаждой наживы, который нацелился на мексиканские банки с высоким капиталом и криптовалютные биржи. Планируемый объём хищений превышает 100 миллионов долларов.
  • Атакующие действуют из Латинской Америки и используют AllaKore RAT для компрометации конфиденциальных данных банков и криптовалютных бирж.

Атакующий, движимый жаждой наживы, был обнаружен, а предупреждение выпущено исследовательско-разведывательным подразделением Blackberry — технологического гиганта, некогда доминировавшего на рынке мобильных устройств. Атакующий нацелился на многие мексиканские банки с высоким капиталом и криптовалютные биржи. Злоумышленники могут пытаться похитить более 100 миллионов долларов выручки — такой прогноз приводится всхеме угрозы.

Кто является целями?

СогласноанализуBlackberry, выбор целей не зависел от отрасли: атакующие интересовались в первую очередь крупными компаниями, у многих из которых годовая выручка превышала 100 миллионов долларов. Blackberry также отследила компании, которые злоумышленники выбирали в розничной торговле, сельском хозяйстве, производстве, транспорте, государственном секторе, коммерческих услугах, производстве оборудования и банковской сфере. В каждой фишинговой атаке использовались репутационно надёжные мексиканские государственные ресурсы, например платёжный механизм, управляемый Мексиканским институтом социального обеспечения.

Blackberry выяснила, что для хищения конфиденциальных данных пользователей банков и криптовалютных компаний использовался открытый инструмент удалённого доступа AllaKore RAT. Маскируясь под легитимные названия и ссылки, угроза часто обходит недоверие сотрудников и устанавливает программу в корпоративные системы и базы данных.

Большинство атак было совершено с IP-адресов, принадлежащих Starlink Mexico. Blackberry также пришла к выводу, что субъект угрозы действует из Латинской Америки, поскольку в модифицированной полезной нагрузке RAT используются инструкции на испанском языке.

Этот субъект угрозы нацелен на мексиканские компании как минимум с конца 2021 года. О субъекте угрозы, ориентированном на Мексику и известном какFIN13, в декабре 2021 года опубликовала отчёт американская компания по кибербезопасности Mandiant. Согласно исследованию, лишь два субъекта угрозы на протяжении длительного периода нацеливались на одну страну. Из упомянутых организаций только 14 остаются движимыми жаждой наживы спустя более года. Этот субъект угрозы отличается тем, что сосредоточен на конкретных регионах и действует настойчиво.

Читайте также:Как укрепить кибербезопасность после утечки базы данных Верховного суда австралийского штата?

Что такое AllaKore RAT?

AllaKore RAT— это простой инструмент удалённого доступа с открытым исходным кодом. Впервые он был замечен в 2015 году, а в мае 2023 года группа угрозы SideCopy использовала его для проникновения в компании в определённом регионе. AllaKore чрезвычайно мощный: он может загружать и выгружать файлы, записывать нажатия клавиш, делать снимки экрана и даже удалённо управлять компьютером жертвы.

Процедура установки последних версий AllaKore RAT сложнее: программа отправляется целям в виде файла установки программного обеспечения Microsoft. Вредоносное ПО начинает работать только после проверки того, что жертва находится в Мексике.

В отчёте Blackberry поясняется: «Полезная нагрузка AllaKore RAT существенно модифицирована, чтобы субъекты угрозы могли отправлять похищенные банковские учётные данные и уникальную аутентификационную информацию на сервер управления и контроля (C2) для финансового мошенничества».

Читайте также:Риски кибербезопасности умных устройств: полное руководство