Старший специалист по изучению угроз Максим Гончаров связал ФСБ с группой хакеров Carbanak, укравшей примерно 1 млрд долларов из банков. Такие выводы он сделал на основе того, что командно-контрольный сервер службы имеет тот же IP-адрес, что и веб-сервер хакеров.
Организаторы кибероперации Carbanak размещали свой командно-контрольный сервер (C&C-сервер) на домене systemsvc.net. Теперь этот домен указывает на тот же IP-адрес, по которому размещен веб-сервер ФСБ, пояснил сотрудник Trend Micro. Информацию об адресе он получил из бесплатного сервиса Domain Tools. Помимо FSB.ru и systemsvc.net, этот сервис сообщил еще о трех сайтах, использующих тот же IP-адрес, — andary.ru, ilovegermany.pw и inflamed-mind.ru. Все эти ресурсы в настоящее время недоступны. Согласно описанию, владельцем IP-адреса является компания «РТКомм», входящая в группу «Ростелеком».
«Это недоразумение или чья-то шутка», — попытался смягчить выводы от своей находки Максим Гончаров. «Я не знаю, почему так произошло. Я сомневаюсь в том, чтобы ФСБ захотела использовать адрес, связанный с атакой Carbanak. Вероятно, владелец домена просто пошутил», — предположил он после проверки данных адреса (по результатам которой он не нашел каких-либо доказательств причастности ФСБ к атаке).
Кибероперация Carbanak была раскрыта в начале 2015 г. Специалисты признали ее беспрецедентной по своему уровню. Атаки затронули около 100 банков, размещенных по всему миру, включая Россию, США, Европу, Китай, Индию, Бразилию, Австралию и другие государства и регионы.
Преступники вторгались в банковские сети и за один рейд воровали до $10 млн со счетов банка. Эксперты признали высокий профессионализм участников группировки, так как, проникнув в банковскую сеть, они некоторое время изучали принципы работы системы безопасности банка для того, чтобы впоследствии выставить свои действия как легитимные. По причине такого подхода не имело значения, какое программное обеспечение установлено в банке, даже если оно было уникальным.
По данным Trend Micro, злоумышленники проникали в сети банков с помощью трояна Carberp, рассылаемого в электронных письмах. После установки в системе посредством известных уязвимостей троян позволял хакерам дистанционно получать скриншоты экрана, похищать куки и системную информацию. Получив доступ к компьютеру жертвы, злоумышленники изучали его работу и таким образом понимали, как им самим можно получить доступ к банковским счетам. Группировка в общей сложности похитила около $1 млрд с банковских счетов. Название кибероперации Carbanak происходит от соединения двух слов: Anunak (название хакерской группировки) и Carberp (название трояна, который они использовали), передает CNews.ru.