Особенности киберпреступлений в России: инструменты нападения и защиты информации

Об авторе

Введение

Стремительное развитие технологий с большим воодушевлением было встречено лицами, склонными к различного рода аферам и другим преступным деяниям.

Для хищения денежных средств мошенникам ранее приходилось подделывать бумажные платежные поручения и приходить с ними в банк, а для хищения важной информации требовалось проникать в помещения под покровом ночи и красть либо фотографировать документы из хитроумных сейфов. Все эти действия, безусловно, были сопряжены с высоким риском для жулика быть пойманным за руку и наказанным по всей строгости закона.

Интернет-технологии и сети передачи данных способствовали росту электронных учетных записей, которые хранят секреты пользователей и позволяют обмениваться важной информацией, а внедрение систем дистанционного банковского обслуживания избавило владельцев счетов от необходимости частых посещений банков для совершения платежных операций.

Стремление получить прибыль от новых технологий регулярно приводит к внедрению различных систем, протоколов и стандартов, которые при внимательном взгляде на них с другой точки зрения оказываются полны всевозможных уязвимостей.

Так, посмотрев на достижения человечества под другим углом зрения, криминальный мир обогатился разнообразием методов преступлений, совершаемых с использованием информационных технологий и средств связи. Поэтому сегодня мы имеем массу новых видов преступлений и схем их совершения, требующих изучения и выработки алгоритмов противодействия.

Мобильная связь, Интернет, платежные системы, средства дистанционного банковского обслуживания, электронные учетные записи — все это хорошо продается потребителям и значительно упрощает бизнес-процессы.

Все так называемые высокие технологии, формирующие информационное пространство, стали отдельным полем противостояния преступного сегмента и общества, при этом, если говорить прямо, ситуация больше напоминает охоту, чем противостояние.

Бесчисленное количество кибермошенников и хакерских группировок, наводящих ужас на отдельных граждан, корпорации, государственные органы и даже целые страны, вызывают трепет возмущения от бессилия, подпитываемого регулярными выпусками средств массовой информации. Неуловимость и безнаказанность злоумышленников, их кажущаяся вездесущность, непостижимость методов и средств, которыми действуют злоумышленники, — все это создает не очень оптимистичную картину.

Основная сложность для общества и государства в отношении киберпреступлений связана с тем, что сфера киберпреступлений обросла множеством мифов и стереотипов. Неправомерные доступы к компьютерной информации, «взломы» сайтов и почтовых ящиков, атаки на ресурсы и другие киберпреступления связывают с немыслимыми по сложности и гениальности техническими процессами, постичь которые может далеко не каждый. Тем не менее большинство самых известных киберпреступлений просто в исполнении и вполне поддается анализу любым образованным человеком.

Самым эффективным из методов, применяемых как серьезными киберпреступниками, так и мелкими мошенниками, является фишинг[1] во всем его разнообразии. Этот метод может использоваться в различных вариациях, но основная суть его заключается во введении человека в заблуждение с целью получения от жертвы требуемой для проникновения в защищенную среду информации либо совершения пользователем определенных действий. Основные виды фишинга осуществляются посредством средств связи — телефонных звонков, электронных сообщений и специально созданных сайтов (фишинг-движков).

На сегодняшний день можно выделить несколько обособленных групп преступлений, так или иначе связанных с фишингом и его разновидностями, совершаемых с использованием телекоммуникационных сетей.

К одной группе преступлений относятся «слепые звонки» по абонентским номерам, чаще всего от имени сотрудников службы безопасности, колцентров банков или операторов связи.

Мошенниками осуществляются телефонные звонки по номерным емкостям мобильных и стационарных телефонов. При осуществлении звонков мошенники подменяют номер вызывающего абонента таким образом, что у вызываемого абонента отображается номер телефона, принадлежащий соответствующему банку или другой официальной организации, от имени которой действует злоумышленник.

В процессе общения с клиентами банка злоумышленники с использованием методов социальной инженерии получают сведения о реквизитах, принадлежащих потерпевшим, банковских картах и иную информацию, необходимую для осуществления дистанционных операций по переводу денежных средств. После чего с использованием системы удаленного банковского обслуживания злоумышленники осуществляют хищение денежных средств с банковских счетов и платежных карт.

Технология подмены абонентского номера и связанная с этим преступная деятельность будут еще затронуты далее (п. 3.3.1).

К другой группе преступлений, использующих фишинг, можно отнести рассылки сообщений, содержащих ссылки на скачивание вредоносного программного обеспечения[2]. Сообщения рассылаются как в виде SMS на абонентские номера, так и в виде электронных сообщений на почтовые ящики, мессенджеры и аккаунты социальных сетей.

Один из простых примеров этой категории преступлений практиковался в 2013–2014 годах, в некоторых регионах встречается и по сей день. Применялась схема, целью которой было заражение мобильного телефона вредоносной программой, осуществляющей рассылки сообщений вида: «Имя контакта из записной книжки мобильного телефона, для Вас есть новое MMS-сообщение. Ссылка» или «Имя контакта из записной книжки мобильного телефона, по Вашему объявлению на сайте. Может, обменяемся? Ссылка».

Общим признаком для всех аналогичных сообщений являлось наличие обращения к абоненту по имени либо имени-отчеству, в зависимости от того, как он был внесен в записную книжку ранее зараженного мобильного телефона, а также обязательное наличие ссылки на интернет-ресурс.

При переходе по ссылке на мобильное устройство потерпевшего скачивается вредоносное программное обеспечение, которое получает доступ к телефонной книге мобильного телефона для осуществления дальнейших рассылок сообщений, содержащих ссылки на скачивание вредоносного программного обеспечения. В зависимости от типа вредоносной программы могла также присутствовать функция, позволяющая скрыто от пользователя отправлять и получать SMS-сообщения в целях совершения операций с привязанными к абонентскому номеру потерпевшего банковскими картами и электронными кошельками.

Частыми явлениями стали рассылки электронных писем от лица государственных органов с вложением файлов, содержащих вредоносные алгоритмы, либо упомянутые выше ссылки на скачивание вредоносного программного обеспечения. Злоумышленниками осуществляется рассылка электронных писем от имени прокуратуры, налоговой службы, в теме которых указывается, например, «Предписание об устранении нарушений», «Штраф», «Сверка».

В качестве примера подобной рассылки на электронные почтовые адреса можно привести рассылку фишинговых писем от имени Банка России, так называемые «вакансии», отличительной чертой которых являлось наличие вложения с заголовком вида «вакансия_ NoXX.doc». Согласно отчету FinCERT[3] (Центра мониторинга и реагирования на компьютерные атаки в кредитно-финансовой сфере

Главного управления безопасности и защиты информации Банка России), во вложении таких сообщений содержался макрос, выполняющий скачивание загрузчика вредоносного ПО.

С целью придания достоверности данным письмам для рассылки используются электронные адреса и доменные имена, визуально схожие с доменными именами реальных сайтов государственных органов. При переходе по ссылке, содержащей такое доменное имя, может осуществляться перенаправление пользователя на официальный сайт соответствующей государственной структуры.

В тексте письма от имени должностных лиц, как правило, излагается важная причина, по которой незамедлительно требуется открыть вложенный файл, имеющий вид электронного документа, либо перейти по содержащейся в письме ссылке на интернет-ресурс.

После открытия документа или совершения перехода по ссылке компьютер пользователя заражается вредоносным программным обеспечением, которое в зависимости от заложенного в него функционала может заблокировать доступ к имеющим значение для финансово-хозяйственной деятельности организации файлам (документам, базам данных бухгалтерских и складских программ) с последующим вымогательством денежных средств за их разблокировку (расшифровку); либо может управлять программой удаленного банковского обслуживания и формировать платежные поручения с внесением в реквизиты получателя средств данных подконтрольных злоумышленникам счетов.

Использование фишинговых сайтов составляет третью условную группу преступлений, связанных с фишингом.

Эта группа включает в себя создание сайтов, оформленных в виде почтовых сервисов, банковских ресурсов, социальных сетей или интернет-магазинов.

Примером такой незаконной деятельности может быть интернет-магазин, торгующий популярными товарами, зачастую по сниженным ценам, по сравнению со среднерыночными.

Злоумышленниками создается сайт, визуально схожий с уже существующим, «раскрученным», либо совершенно новый интернет-магазин. При заказе товара осуществляется перенаправление пользователя на фишинговую страницу оплаты, практически не имеющую отличий от страницы официальной платежной системы. При вводе пользователем на данной странице учетных данных для входа в личный кабинет платежной системы они, естественно, попадают в распоряжение злоумышленникам, после чего используются для хищения денежных средств со счетов электронного кошелька.

Наибольшую же популярность фишинг приобрел у охотников за чужими паролями. Этой группе киберпреступлений в книге уделено особое внимание, потому что автор считает это направление киберпреступлений наиболее опасным и, совершенно напрасно, недооцениваемым как пользователями, так и специалистами.

Разнообразные онлайн-сервисы и гаджеты, программы и технологии вошли в жизнь человека, внедрились в бизнес-процессы и государственные услуги, начали использоваться в политике и, закономерно, стали инструментами и мишенями преступной деятельности.

Началом эры компьютерной киберпреступности автор склонен считать 2005–2006 годы. Многими специалистами 2007 год указывается как точка отсчета — начало широкомасштабных кибервойн (кибератаки на ресурсы Германии, Эстонии, затем Грузии, Ирана). С этим периодом связано начало профессионального использования кибершпионажа для достижений определенных целей — финансовой выгоды, кражи интеллектуальной собственности, пропаганды и прочего. И основным оружием для ведения кибервойн и реализации кибершпионажа стал фишинг.

Кибершпионаж застал врасплох консервативных управленцев всех мастей, считавших, что существующие правила и меры безопасности способны защитить информацию и финансы.

Регулярно привлекает внимание появляющиеся в СМИ и на просторах Интернета отрывки личной переписки бизнесменов, политиков, различных корпоративных материалов, документов для служебного пользования, фотографий известных лиц, моделей, ведущих, актрис и других медийных личностей, которые похищаются из почтовых аккаунтов, облачных хранилищ, серверов и мобильных телефонов.

Многие читатели слышали про интернет-площадку, которую связывают с деятельностью нашумевшей в 2016–2017 годах хакерской группировки. На той площадке, несмотря на появившуюся в СМИ информацию о задержании членов данной хакерской группы[4], и сегодня предлагается всем желающим приобрести электронную переписку чиновников и бизнесменов за криптовалюту.

Сегодня кибершпионаж задевает всех, кто является носителем информации, за которую теоретически можно получить деньги, кто владеет или управляет финансами, кто принимает важные решения, и даже тех, кто просто кому-то интересен.

В этой книге не будут затронуты международные отношения и противостояние секретных специальных служб, это как-нибудь в следующий раз, лет через тридцать. Материал книги касается гражданского смыслового значения кибершпионажа, которое связано с несанкционированным получением и использованием компьютерной информации врагом: конкурентами, хакерами, мошенниками, маньяками.

Кибератаки стали массовым явлением, а их направления задевают все сферы общества.

В столь широком распространении киберпреступлений некоторые специалисты склонны винить пользователей, не всегда соблюдающих обыкновенные правила компьютерной безопасности, сравнивая эти правила с соблюдением правил дорожного движения. Однако, по мнению автора, беда пришла с другой стороны.

Проигрыш перед информационной угрозой был предначертан особенностями психологии человека. Именно психология стала основной уязвимостью, тем местом, где инструменты социальной инженерии успешно эксплуатировали эмоции, стереотипы и ассоциативное мышление.

Сложившееся впечатление об эффективности программно-аппаратных средств защиты, вера в дорогостоящие решения и неграмотные инструкции лишь усугубили проблему компьютерной безопасности.

Несмотря на серьезные затраты, вкладываемые в обеспечение безопасности, количество и многообразие преступлений, совершаемых с использованием компьютерных технологий, возрастает с каждым годом. Все чаще юридические лица несут репутационные и финансовые потери от кражи информации, составляющей коммерческую тайну, и подвергаются кибератакам.

Для демонстрации наиболее популярных ситуаций, связанных с применением фишинга, будет нелишним привести несколько типичных историй, своеобразных образцов актуального в сегодняшние дни гражданского кибершпионажа.

История первая

Бухгалтерия обслуживала несколько организаций, входящих в один холдинг. Все платежи проводились с использованием системы дистанционного банковского обслуживания только одним лицом — главным бухгалтером. Платежи в компании проводились строго по графику и с обязательным соблюдением разработанных инструкций.

Система дистанционного обслуживания компании, на которую приходилась основная коммерческая деятельность, была защищена SMS-подтверждением на каждый платеж, однако такая система предусматривает настройку доверенных платежей на избранных контрагентов.

На вторую организацию, входящую в холдинг, с основной компании регулярно переводились денежные средства для оплаты различных коммунальных услуг, в связи с чем такие платежи были доверенными, а значит, на данного контрагента SMS можно не получать и не требуется вводить код подтверждения.

В один прекрасный день, придя на рабочее место, главный бухгалтер не смог запустить свой компьютер по неким техническим причинам, и, соответственно, войти в систему дистанционного банковского обслуживания также не удалось. Специалисты технической поддержки порекомендовали переустановить программы на используемом компьютере и провести проверку на вирусы.

Пока системный администратор организации занимался компьютером, бухгалтер поехал в банк, где выяснилось, что с обеих организаций холдинга похищено более 20 млн рублей.

История вторая

Руководитель крупной организации много лет для личной и деловой переписки использовал электронный адрес «такой-то». Пароль менял регулярно, приблизительно раз в квартал, и все пароли придумывал сложные, состоящие из различных сочетаний букв и цифр. Для защиты от вредоносных программ на устройствах — мобильном телефоне и ноутбуке, используемых для входа в аккаунт, — были установлены платные антивирусные продукты.

Однажды на электронный адрес данному бизнесмену от незнакомого отправителя пришло письмо, содержащее детальную информацию о частной жизни бизнесмена и осуществляемой им коммерческой деятельности во всех тонкостях.

В письме злоумышленник также сообщал, что получил у одного из деловых партнеров бизнесмена от его имени денежные средства в размере 100 тыс. долларов США.

Сообщение содержало предупреждение о возможных негативных для бизнесмена последствиях в случае, если он не согласится заплатить неизвестным лицам денежные средств в размере 200 тыс. долларов США.

Служба безопасности по указанию бизнесмена начала проверку информационных систем организации и деловых партнеров.

Как выяснилось в результате проверки, несколько месяцев назад с электронного ящика бизнесмена в адрес одного из деловых партнеров, использующего электронный адрес «какой-то», поступали сообщения, касающиеся заключения коммерческой сделки. Переписка от имени бизнесмена велась в течение продолжительного времени. В итоге таких переговоров неустановленные лица (от имени бизнесмена) просили передать ему через доверенное лицо денежные средства в размере 100 тыс. долларов США в счет одного из траншей по некой сделке.

По достигнутой договоренности было условлено передать указанную сумму в офисе партнера. Человек, представившийся доверенным лицом, в назначенное число прибыл в офис партнера и получил денежные средства. Он прошел через все посты охраны и камеры видеонаблюдения, получил денежные средства и таким же образом, улыбаясь всем встреченным камерам, покинул бизнес-центр.

Спустя некоторое время на электронный адрес бизнесмена поступило указанное выше сообщение. Следом за этим сообщением поступили инструкции по процедуре проведения платежей и номера счетов для перевода денежных средств.

Для пущей убедительности злоумышленники отправили еще три сообщения, содержащих более двухсот вложенных файлов, являющихся изображениями (скриншоты). На изображениях содержалась информация об осуществляемой бизнесменом личной и деловой переписке с использованием принадлежащего ему электронного почтового адреса, о сообщениях и документах.

История третья

Предприниматель для личной и деловой переписки использовал электронный адрес «такой-то». При использовании электронного адреса авторизацию осуществлял только через программу-браузер, обращаясь на сайт почтового сервера. Почтовыми клиентами (программами) для авторизации на электронном адресе не пользовался, пароля от почты никому не передавал.

Одним июньским утром на абонентский номер предпринимателя поступило SMS-сообщение с требованием денежных средств за сохранение тайны его переписки. Предприниматель проигнорировал это сообщение, посчитав его спамом, и автоматически удалил.

Спустя месяц с электронного адреса «такого-то» на почту предпринимателя поступило электронное письмо под заголовком «Аукцион! Продается массив почтового ящика, принадлежащего…».

В данном письме содержалась ссылка на ресурс (интернет-биржу), где администраторы и организаторы ресурса предлагали выкупить содержимое электронного почтового ящика предпринимателя, включая входящие и исходящие сообщения, за 180 биткоинов.

Письма, содержащие предложения приобрести содержимое почтового ящика предпринимателя, а также отрывки переписки его ближайших помощников…