Аналитики Group-IB предупредили о сети сайтов для бухгалтеров, которые заражают посетителей банковскими троянами Buhtrap и RTM. Чаще всего вирусы атакуют компьютеры юридических лиц. Первые опасные ресурсы появились в апреле 2018 года.
Сеть зараженных сайтов обнаружил Центр реагирования на инциденты информационной безопасности Group-IB. Эксперты подсчитали, что жертвами хакеров стали 200 тыс. человек. Среди них – юристы, бухгалтеры и финансовые директора компаний. Они работают с системами дистанционного банковского обслуживания, платежными системами или криптокошельками.
Как это работало
Трояны заражают пользователей через ресурс buh-docum[.]ru, заполненный профильным контентом: контрактами, бланками и счетами. В компьютер вирус проникает с загрузкой документов, после этого вредоносное ПО запускается автоматически. Программу разработали хакеры из группы Buhtrap.
Вирусы собирают информацию о пользователях, включая данные из платежных систем. Жертв программы находят по ключевым запросам в интернете. Например:
Как только ПО обнаруживает такой запрос, сервер передает команду на загрузку вирусов в компьютер пользователя.
Подобные ключи содержат как минимум пять ресурсов – buh-docum[.]ru, patrolpolice[.]org.ua, buh-blanks[.]ru, buh-doc[.]online и buh-doc[.]info.
Что делать пользователям
Аналитики Group-IB призывают пользователей проявлять бдительность. Все зараженные ресурсы регулярно появлялись в топе поисковой выдачи. Как правило, после запросов «скачать бланк», «скачать налоговую декларацию» и т.д. Исследователи подсчитали, что каждая атака приносит киберпреступникам около 1,2 млн рублей.
Предупредить угрозу можно с помощью специальных систем: они распознают атаки в корпоративных сетях и анализируют скачиваемые файлы в безопасной среде. Компьютеры с финансовыми документами лучше изолировать и разрешать доступ в сеть только по «белым спискам». Хорошим правилом станут тренинги по информационной безопасности для бухгалтеров, секретарей и системных администраторов.
Экспертам Group-IB удалось заблокировать большинство зараженных ресурсов для бухгалтеров. Но это не гарантирует безопасности: возможно, злоумышленники создадут новые зараженные ресурсы с похожим контентом.