На вас напали хакеры

Главной целью мошенников, специализирующихся на краже денег посредством систем дистанционного банковского обслуживания (ДБО), является бухгалтер. Именно он владеет всеми необходимыми данными и правами доступа. Портал Банки.ру попросил эксперта рассказать о том, как происходит заражение компьютера бухгалтера, что делать при обнаружении такого инцидента и как ликвидируются последствия.

Пути заражения

Для получения доступа к такой обособленной группе специалистов, как бухгалтеры, чаще всего используются скрытые переадресации через рекламные сети с веб-сайтов либо взлом тематических сайтов для прямого заражения посетителей. Это могут быть социальные сети («ВКонтакте», «Одноклассники», Facebook и др.), развлекательные и новостные порталы, популярные тематические сайты (бухгалтерские форумы, сайты с разъяснениями по вопросам бухгалтерского учета).

Обычно это происходит так: жертва заходит на зараженный сайт, который незаметно для нее загружает на компьютер вредоносный код, либо выполняет переадресацию на сайт, загружающий вирус. Также популярностью среди злоумышленников пользуются целевые фишинговые рассылки по электронной почте. В этом случае бухгалтеру приходит письмо с интересным для него содержанием и вложением. Это могут быть письма о запросе акта сверки с вложенным архивом или документом либо тематическое объявление о продаже техники со ссылкой для перехода на веб-сайт. Работник открывает вложенный файл или переходит по ссылке в письме, после чего на его компьютер загружается вредоносное программное обеспечение.

Утечка данных

При заражении, как правило, в первую очередь на машину бухгалтера попадает вирусная программа. Ее основная задача — сбор информации. Она определяет параметры системы и может загружать дополнительные модули или другое, более специализированное, вредоносное ПО. С его помощью злоумышленники собирают всю необходимую информацию о конфигурации системы, установленном программном обеспечении, наличии уязвимостей, а также об инструментах ДБО.

После получения всех этих данных мошенники определяют, какими программами из своего арсенала они смогут получить аутентификационные данные для инструментов ДБО, перехватить ключи электронной подписи, организовать удаленное управление компьютером без ведома пользователя для формирования платежного поручения.

Когда вредоносное ПО окончательно установлено, начинается этап сбора информации о финансовых операциях и оценки «зараженной» жертвы. Злоумышленники изучают платежеспособность и основные принципы работы клиента: в каких количествах формируются и отправляются платежные поручения, каковы средняя сумма платежного поручения, назначения платежей и т. д.

Следующая цель мошенников — получить доступ к аутентификационным данным (логин, пароль). Для этого существует множество способов: ведение журнала всех нажатий клавиш (так называемый кейлоггинг), сбор журналов посещений веб-сайтов, извлечение сохраненных паролей из браузеров, почтовых клиентов и ftp-менеджеров, запись снимков экрана при запуске определенного ПО.

Итак, на этом этапе злоумышленники обладают всеми важными данными о юридическом лице. Например, о банке. После этого они формируют мошенническое платежное поручение — автоматически или вручную, взяв компьютер жертвы под контроль. При этом обычно задействуют инструменты для максимально длительного сокрытия от бухгалтера факта совершения мошеннического платежа или предоставления подложных данных до момента получения денег. Таким образом, зачастую бухгалтер обнаруживает списание денежных средств далеко не сразу, а спустя некоторое время (через три часа и более). Обнаружить следы атаки злоумышленников самостоятельно работник обычно не может — вирусные программы умеют заметать за собой следы, а многие и вовсе самоудаляются по команде хозяина.

Фальшивая платежка

Если вы обнаружили платежное поручение, которое было сформировано не вами, в первую очередь нужно немедленно отключить компьютер от Интернета, связаться со своим банком и заявить о мошенническом платеже. Если бухгалтер оперативно среагировал и своевременно известил банк, обработку платежа еще можно успеть остановить, а деньги — вернуть.

Дальнейшие действия бухгалтера зависят от внутренних регламентов организации и организационной структуры компании. В любом случае необходимо сообщить об инциденте непосредственному руководителю, системному администратору и службе безопасности.

Главная задача руководителя после инцидента — обеспечить максимально быстрое возобновление нормальной работы финансового отдела. Необходимо настроить программное обеспечение на другом компьютере для доступа к инструментам ДБО и перевыпустить ключи электронной подписи. Без участия руководителя не обойтись при составлении заявлений в банк и в правоохранительные органы о совершении мошеннического платежа.

Специалисты службы безопасности должны провести работу по сбору первичной информации об инциденте, предшествующих событиях, хронологии происшествия. Также они должны обеспечить неизменность всех цифровых свидетельств преступления. В частности, нельзя форматировать жесткий диск, проверять его антивирусами, устанавливать или удалять любые программы. Лучше всего вообще не пользоваться данным компьютером. Тем более что при расследовании преступления правоохранительные органы этот компьютер, скорее всего, изымут.

Задача системного администратора — выделение и сохранение статистики доступа пользователя к внутренней сети или к Интернету. Все эти данные следует передать службе безопасности для дальнейшего анализа — не исключено, что они помогут предотвратить подобные инциденты в будущем. После этого останется только установить и настроить бухгалтеру новый компьютер, чтобы он смог продолжить свою работу.

Руслан Стоянов, руководитель отдела расследования компьютерных инцидентов «Лаборатории Касперского»