Новая активность хакеров группы Cobalt

По сообщению компании Positive Technologies, ее эксперты обнаружили вредоносную активность, характерную для группировки Cobalt, ранее атаковавшей более 250 компаний по всему миру. В середине мая 2018 года специалисты подразделения Expert Security Center (PT ESC) зафиксировали вредоносную рассылку фишинговых писем в организациях кредитно-финансового сектора. По ряду признаков можно предположить, что атака организована группой Cobalt или кем-то из ее бывших участников.

Первое расследование по Cobalt компания провела в 2016 г.: тогда за одну ночь группировка похитила более 2 млн руб. (в местной валюте) из шести банкоматов одного восточноевропейского банка. В 2017 г. к списку обычных для группы целей их стран СНГ, Восточной Европы и Юго-Восточной Азии добавились компании, расположенные в Северной Америке, Западной Европе и даже в Южной Америке. Деятельность около 75% компаний, включенных группой в список для рассылки фишинговых писем, связана с финансами.

Как отмечают эксперты PT ESC, на первом этапе атаки группировка Cobalt использует методы социальной инженерии для доставки вредоносных файлов. Причем Cobalt не рассчитывает только на невнимательность пользователей или недостатки спам-фильтров на почтовых серверах. Для повышения эффективности атак они используют взлом публичных сайтов со слабой защитой для загрузки на них вредоносных файлов, поддельные письма от имени финансовых регуляторов и контрагентов, рассылки не только на корпоративные, но и на личные почтовые адреса сотрудников. Целью рассылки фишинговых писем являются, как правило, компрометация узлов, связанных с управлением банкоматами, и заражение ATM вредоносным ПО для манипуляций с диспенсером.

Технические особенности фишинговой рассылки, зафиксированной в мае 2018 г., повторяют некоторые атаки группы Cobalt. В частности, похожая структура домена для рассылки писем применялась во время атак на банки России и Восточной Европы. Структура скачанного по ссылкам вредоносного документа схожа с документами, сгенерированными с помощью эксплойт-кита Threadkit, который Cobalt использовала с февраля 2018 г. В ходе новой атаки эксплуатировалась привычная схема доставки загрузчика, предназначенного для скачивания бэкдора, и аналогичный метод расшифровки. Кроме того, бэкдор имеет все те же функции: разведка, запуск программ, загрузка новых модулей, самообновление, самоудаление, поиск антивирусов в системе, шифрование трафика. В данном случае специалисты PT ESC не зафиксировали использования инструментария Cobalt Strike, из-за которого группа и получила свое название, но техника и тактика очень напоминают атаки, которые проводились ранее.