В Eset раскрыли детали кибератак «через бухгалтерию»
Вирусная лаборатория Eset опубликовала отчет о деятельности кибергруппы RTM, атакующей российские организации. Для кражи средств у компаний хакеры подменяют реквизиты исходящих платежей в транспортных файлах "1С".
Группировка RTM использует специально разработанные программы, написанные на Delphi. В Eset зафиксировали первые следы этих вредоносных инструментов в конце 2015 года. Функционал RTM включает перехват нажатия клавиш, чтение смарт-карт, загрузку в зараженную систему новых модулей, мониторинг процессов, связанных с банковской деятельностью. В фокусе атакующих - бухгалтерские системы, взаимодействующие с решениями дистанционного банковского обслуживания. Вредоносный код RTM распространяется преимущественно через взломанные сайты и спам. Эти инструменты удобны для целенаправленных атак, поскольку в первом случае атакующие могут выбирать площадки, посещаемые потенциальными жертвами, а во втором - отправлять письма с вредоносными вложениями напрямую "нужным" сотрудникам компаний.
Вредоносный код RTM отслеживает появление в зараженной системе транспортного файла 1c_to_kl. txt. Его формирует "1С: Предприятие 8" для передачи платежного поручения из бухгалтерской системы в систему онлайн-банкинга. Текстовый файл содержит детали исходящих платежей. Подменив реквизиты получателя, хакеры могут перевести средства компании на свои счета.
Общее число обнаружений вредоносных программ семейства RTM невелико. С другой стороны, в кампании используются сложные кастомные инструменты, что свидетельствует о высокой таргетированности атак.
По оценке экспертов Eset, снизить риск кражи средств позволяет шифрование платежных поручений, двухфакторная аутентификация, антивирусная защита корпоративной сети, обучение персонала основам информационной безопасности.
