Итоги, 2012 № 44 - [30]

Общественности о фишерах (от английского fisher — «рыболов») в России известно крайне мало: банки предпочитают об этом молчать, как о неприличной болезни. Но специалисты в сфере компьютерной безопасности знают достоверно: кривая фишинговых преступлений в течение этого года резко взмыла вверх. Этому есть объяснение — граждане распробовали услугу удаленного банковского обслуживания через Интернет, начав пользоваться ею в массовом порядке. А это именно то, что нужно фишерам, — большой садок с наивными «карасями». Иными словами, раньше наши грабили на Западе, теперь неплохой рынок появился и в России.

Типичную схему воровства описывает Игорь Чекунов, заместитель гендиректора «Лаборатории Касперского» по юридическим вопросам и безопасности: «Злоумышленник выбирает банк-жертву с большим количеством частных клиентов, создает поддельный сайт, повторяющий реальную веб-страницу удаленного обслуживания, затем приобретает на криминальном рынке банковского троянца — программу, которая, попав на компьютер жертвы, скрытно готовит его ПО к неправильной обработке банковской транзакции». Банковские троянцы, такие как Carberp, SpyEye и Zeus, — один из самых ходовых товаров на черном рынке, отмечает Сергей Гордейчик, технический директор Positive Technologies. Затем на том же черном рынке приобретается две услуги. Одна — она называется арендой связки — подразумевает, что исполнитель обязуется заразить вредоносом заказчика то количество компьютеров, которое этот заказчик предоставит. Стоит эта услуга совсем недорого — от 20 долларов. Но компьютеры для заражения необходимо предоставить. За это отвечает другая услуга — перенаправление пользователей на фишинговые сайты, где происходит заражение.

Перенаправление каждой тысячи уникальных IP-адресов на связку стоит от четырех долларов, а процент заражения составляет 15—45 процентов, в зависимости от «свежести» связки, рассказали аналитики «Лаборатории Касперского». Стало быть, чтобы заразить тех 170 клиентов банка, которые, как было доказано в суде, пострадали от «рук» фишеров, нужно было закупить несколько миллионов перенаправлений — это вполне по карману вчерашним студентам.

Любой популярный сайт, сам не подозревая о том, может стать рассадником фишинговой заразы, если его взломают хакеры и разместят на нем вредоносное ПО. Помните нашумевшую историю со взломом сайта пользователей Sony PlayStation? Тогда в Интернете поднялся крик — персональные данные пользователей попали в чужие руки! Однако опасность была в другом: посетители ресурса подцепляли вредоносное ПО. Так что, если вы любите в обеденный перерыв расслабиться на каком-нибудь сайте с анекдотами и приколами, помните, что именно такие места предпочитают и компьютерные преступники. Собственно, в зависимости от качества аудитории посетителей конкретных ресурсов услуги перенаправления имеют разную стоимость. Скажем, самая дорогая VIP-услуга, утверждают эксперты «Лаборатории Касперского», — перенаправление пользователей крупного бухгалтерского портала, там ведь сосредоточена именно целевая аудитория — те, кто гарантированно работает с банковскими счетами клиентов. Такой случай, кстати, имел место нынешним летом.

А дальше начинается «рыбная ловля»: мошенники спокойно ждут, когда среди жертв попадется клиент нужного банка. Точнее, когда этот пользователь, уже будучи зараженным, решит удаленно обратиться к своему банковскому счету. В этот момент оживает спавший на его компьютере троянец и в момент обращения пользователя к сайту банка подставляет ему страничку поддельного ресурса. Клиент честно указывает все реквизиты, их тут же перехватывают преступники и, не теряя времени, сами обращаются к подлинному банковскому ресурсу, проверяют состояние счета и делают банковский перевод. Тут же подключаются сообщники, ответственные за обналичивание денежных средств. Как правило, они снимают деньги в банкоматах этого же банка в других городах. На всю операцию уходит несколько часов.

Этот механизм сработал и в анализируемом нами случае — банк использовал для аутентификации доступа к счету устаревший метод скретч-карты, на которой в столбик записаны одноразовые пароли. Но даже более сложный метод получения одноразового пароля по SMS не является панацеей. Знаете, что делают преступники в этом случае? Они предусмотрительно размещают на страничке регистрации на поддельном сайте банка поле с номером мобильного телефона. Человек его заполняет, сообщая, естественно, свой номер злоумышленникам. А поскольку они контролируют процесс, то знают, когда человеку придет SMS, и звонят ему от имени службы безопасности банка: мы, дескать, проверяем работу автоматизированной системы, хотим убедиться, правильный ли код вы только что получили. И человек сам сообщает одноразовый пароль преступникам…

Могли ли пользователи заметить обман? Могли. Соединение с настоящим банком происходит в защищенном режиме, о чем свидетельствует буква s в адресной строке, набираемой пользователем: https://... А у фишеров такой возможности не было. К слову, нынешние преступники научились обходить это препятствие, и общение с мошенническим сайтом теперь чаще всего происходит также в защищенном режиме. Запрос номера мобильного телефона тоже должен насторожить бдительных клиентов — для регистрации в системе удаленного обслуживания он не требуется. Были у наших героев и другие огрехи: орфографические ошибки в текстах на веб-странице, необновленный раздел «Новости», неправильный телефон техподдержки, а также несовпадение используемых шрифтов. Правда, весной фишеры начали применять более изощренный метод с использованием прокси-серверов, замечает Илья Сачков, генеральный директор Group-IB, эту подмену рядовому пользователю практически невозможно обнаружить.