Разбор кейса Cobalt Group: Как хакеры атаковали банки и что их погубило

[Cloned Boy]

Cobalt Group — одна из самых опасных киберпреступных группировок 2010-х, специализировавшаяся на атаках на банки через целевые вредоносные программы и взлом межбанковских систем. Их деятельность привела к ущербу в сотни миллионов долларов до того, как ключевые участники были арестованы.

Кто такие Cobalt Group?​

Происхождение и цели​

• Действовали с 2013 по 2018 год, в основном в Восточной Европе и СНГ.
• Основная цель — кража денег через SWIFT, ATM-джекпоты и бухгалтерские манипуляции.
• Связаны с другими группировками (Carbanak, MoneyTaker).

Методы атак​

1. Фишинг и целенаправленные письма
   • Рассылали вредоносные документы (Word, Excel) с макросами.
   • Использовали поддельные письма от регуляторов (ЦБ, налоговых служб).
2. Вредоносное ПО: Cobalt Strike & Mispadu
   • Cobalt Strike — легальный инструмент для пентеста, но хакеры использовали его для удалённого доступа.
   • Mispadu — троян для кражи банковских данных.
3. Атаки на SWIFT и межбанковские системы
   • Внедрялись в банковские сети и изменяли реквизиты переводов.
   • Использовали поддельные платежные поручения (например, переводы на подставные счета).
4. ATM-джекпоты
   • Через взлом процессинговых центров давали команды банкоматам на выдачу денег.

Как их остановили?​

1. Координация между странами (2018–2020)​

• Europol, ФБР и МВД России совместно отслеживали активность группировки.
• Анализ вредоносного кода показал связь с русскоязычными хакерами.

2. Ошибки хакеров​

• Использование одних и тех же C&C-серверов (вычислили по IP).
• Связь через незашифрованные каналы (например, почта на публичных сервисах).
• Утечки в коде (русскоязычные комментарии, следы в метаданных).

3. Аресты (2020–2021)​

• Испания, Россия, Украина: задержаны более 30 человек.
• Главные фигуранты получили от 5 до 12 лет тюрьмы.

Итоги и последствия​

• Ущерб: $300+ млн (по данным Europol).
• Изменения в банковской безопасности:
  • Усиление контроля за SWIFT-переводами.
  • Обязательная двухфакторная аутентификация для доступа к платежным системам.
  • Более строгий мониторинг ATM-сетей.

Чему научил этот кейс?​

1. Даже продвинутые хакеры оставляют следы (логи, метаданные, ошибки в OpSec).
2. Международное сотрудничество работает (без Europol аресты были бы невозможны).
3. Банки уязвимы к социальной инженерии — обучение сотрудников критически важно.

Хотите разбор другого кейса? Например, Lazarus Group (атаки на криптобиржи)?