Участники хакерской группа "Cobalt" организовали ряд фишинговых кампаний, направленных на российский НС Банк и румынский банк Carpatica Commercial Bank /Patria Bank.

Хакерская группировка Cobalt (она же FIN7 и Carbanak), известная своими атаками на банки и кражами миллиардов долларов, запустила новую кампанию менее чем через месяц после ареста трех высокопоставленных участников группировки. Напомним, что лидер группировки был арестован в Испании в марте нынешнего года.

По данным команды Arbor Networks, в середине августа оставшиеся участники Cobalt организовали ряд фишинговых кампаний, направленных на российский НС Банк и румынский банк Carpatica Commercial Bank /Patria Bank. Фишинговые письма были замаскированы под корреспонденцию других организаций, связанных с финансовой индустрией, и содержали бэкдоры для запуска дополнительных вредоносных модулей и разведывательной деятельности. Кроме того, один из обнаруженных исследователями образцов включал две вредоносные ссылки - на документ MS Word с обфусцированными скриптами VBA и файл в формате JPEG.

В начале августа злоумышленники создали пять новых доменов (inter-kassa[.]com, eucentalbank[.]com, europecentalbank[.]com,unibank[.]credit), замаскированных под сайты платежной системы Interkassa, банков BBVA Compass Bancshares, Европейского центрального банка и Unibank.

Фишинг - начальная стадия атаки, на которой группировка пытается получить доступ к IT-инфраструктуре банков. Далее хакеры изучают принцип работы внутренних систем целевой финорганизации и, получив соответсвующий доступ, могут осуществлять перевод средств, управлять банкоматами, выводить деньги через платежные шлюзы и систему SWIFT.