Как был остановлен Carbanak

[Cloned Boy]

Группировка Carbanak (также известная как FIN7) была одной из самых изощрённых киберпреступных организаций, атаковавших банки и финансовые учреждения с 2013 по 2018 год. Их атаки принесли ущерб на $1.2+ млрд. Вот как их остановили:

Кто такие Carbanak?​

• Цель: Кража денег через взлом банковских систем, ATM-джекпоты, манипуляции с базами данных.
• Методы:
  • Фишинговые письма с вредоносными вложениями (Carbanak Backdoor).
  • Внедрение в сети банков через RDP и уязвимости ПО.
  • Управление ATM через malware (принудительная выдача денег).
  • Изменение балансов счетов («бухгалтерские атаки»).

Как их вычислили и обезвредили?​

1. Расследование Kaspersky Lab (2015)

• Обнаружение: Аналитики Kaspersky заметили аномальную активность в банках 30+ стран.
• Фишки malware:
  • Скрывался в памяти процесса svchost.exe.
  • Делал скриншоты экранов банковских систем для изучения логики операций.
  • Использовал легитимные IT-инструменты (например, PsExec) для перемещения по сети.

2. Координация с Interpol и Europol

• Операция «Avalanche» (2016):
  • Арест серверов ботнета, используемого Carbanak.
  • Блокировка доменов и C&C-серверов.

3. Аресты ключевых членов (2018–2021)

• Испания, США, Украина:
  • Задержаны главари группировки (включая Дмитрия Смирнова и Андрея Колпакова).
  • ФБР и испанская полиция использовали данные от Microsoft, Kaspersky и банков.
• Доказательства:
  • Логи чатов в Telegram (ошибки оперативников).
  • Связь с хакерским форумом Darkode.

4. Технические ошибки хакеров

• Использование личных почт для регистрации C&C-доменов.
• Утечки в коде (например, русскоязычные комментарии в скриптах).

Итоги операции​

• Ущерб: $1.2+ млрд (100+ банков в 40 странах).
• Аресты: 50+ человек, 3 ключевых лидера — приговорены к 7–10 годам.
• Последствия:
  • Банки ужесточили контроль за RDP-доступом.
  • Внедрение поведенческого анализа (AI для детекта аномалий).

Чему научил кейс Carbanak?​

1. Социальная инженерия — слабое звено. Фишинг остаётся главным вектором атак.
2. Логирование всего. Анализ логов помог отследить перемещение хакеров.
3. Международное сотрудничество. Без Interpol и частных компаний поимка была бы невозможна.

Если хотите разбор других громких кейсов (например, Cobalt Group), дайте знать!