Během nedávné vlny phishingových a finančních útoků na průmyslové společnosti útočníci cílili nejen na finance, ale ukradli i projektové a operační plány nebo nákresy elektrických a počítačových sítí.
Vyplývá to ze studie Cyber Emergency Response týmu společnosti Kaspersky Lab zaměřené na průmyslové řídicí systémy.
Otázkou zůstávají budoucí záměry těchto útočníků. Odcizené informace totiž nespadají do klasické taktiky kyberzločinců, jejichž primárním cílem je finanční obohacení.
Útoky typu Business Email Compromise (BEC), často spojované s nigerijskými kyberzločinci, se snaží získat přístup do firemních uživatelských účtů. Jejich prostřednictvím totiž lze monitorovat finanční transakce a případně je zachytit či přesměrovat. V říjnu 2016 nastal nárůst množství malwaru cílícího na společnosti z průmyslového odvětví. Zaznamenáno bylo více než 500 útoků v 50 zemích světa, které se zaměřovaly především na velké průmyslové korporace a významné transportní a logistické společnosti. Tyto útoky stále probíhají.
První fází útoku je precizně formulovaný phishingový e-mail, který se zdá být napsaný buď dodavatelem, zákazníkem, komerční společností nebo doručovatelskou službou. K samotnému útoku používají útočníci malware patřící přinejmenším k 8 různým rodinám trojských koní, které jsou dostupné na černém trhu za poměrně nízké ceny. Tyto rodiny jsou navrženy tak, aby do infikovaných systémů nainstalovaly nástroje vzdálené správy, přičemž je jejich primárním účelem ukrást citlivá data.
Jakmile se zločinci dostanou do firemních počítačů, snaží se získat informace o lukrativních transakcích z firemní korespondence. Většinou pořizují screenshoty obrazovky nebo přesměrovávají zprávy do svých e-mailových schránek. Informace následně zneužijí při zachycení samotných plateb, přičemž do klasického útoku je zapojený lidský faktor. Útočník tak ručně zamění údaje účtu příjemce za své vlastní konto. Oběť si přitom této záměny nemusí všimnout až do chvíle, kdy je příliš pozdě a peníze jsou již odeslané.
Při analýze command-and-control serverů využitých v rámci letošních útoků odborníci zjistili, že útočníci pořizovali screenshoty i operačních a projektových plánů, technických nákresů nebo síťových schémat. Zajímavé navíc je, že tyto snímky nepořídili na počítačích projektových nebo obchodních manažerů, kteří se obvykle stávají jejich obětí, ale na zařízeních operátorů, projektantů, designérů a architektů.
„Doposud jsme nezaznamenali, že by se některá z těchto ukradených informací objevila na černém trhu. Není tedy zatím jasné, co kyberzločince k ukradení těchto informací vedlo. Mohla to být náhoda, nebo také krádež na objednávku. Oběti nigerijského phishingového útoku tak utrpěly nejen finanční ztrátu, ale tento útok pro ně může představovat i daleko vážnější hrozbu do budoucna,“ řekla Maria Garnaeva, Senior Security Researcher ve společnosti Kaspersky Lab.
Když se odborníkům podařilo získat adresy C&C z napadených složek, ukázalo se, že byly v některých případech tytéž servery použity pro různé rodiny malwaru. To může znamenat, že za útoky stojí jen jedna skupina kyberzločinců, která využívá různé druhy malwaru, nebo spolupracuje několik skupin, které navzájem sdílejí stejné zdroje.
Analytici také zjistili, že většina domén spojených s útoky je registrována občany Nigérie.