Украсть $81 млн у ЦБ Бангладеш удалось благодаря свитчам за $10 и отсутствию программной защиты сети

В начале февраля 2016 года злоумышленникам удалось украсть $81 млн с банковского счета ЦБ страны. Этот счет находился (и находится) в распоряжении Федерального резервного банка США. Как сообщалось ^[1], взлом проходил в несколько этапов. На первом этапе взломщики нашли уязвимость в защите внутренней сети ЦБ Бангладеш и украли всю информацию, необходимую для авторизации при проведении транзакций. Эта информация была получена с использованием троянов, установленных на ПК сотрудников организации.

В итоге хакеры отправили несколько десятков запросов в ФРБ, с поручениями перевода денежных средств со счета ЦБ Бангладеш на счета злоумышленников. Изначально планировалось увести средства примерно на $1 млрд, но из-за опечатки получилось перевести «только» $81 млн. Но как взломщики проникли в сеть ЦБ Бангладеш? Оказывается ^[2], в этой ситуации банку можно винить только себя — подвели сетевые коммутаторы ценой в $10, закупленные организацией ранее. Экономия должна быть экономной, но, похоже, не в этом случае.

Сетевое оборудование было еще и не новым, а б/у. Обычно для защиты сети устанавливаются свитчи и прочее сетевое оборудование стоимостью во многие сотни долларов США, такие устройства обычно обеспечивают и аппаратную защиту сети, в дополнение к программным системам защиты. Необходимое для защиты ПК программное обеспечение (файерволлы) установлено не было. Получилось, как в поговорке, где «скупой платит» дважды. Сэкономив на оборудовании и ПО, банк оставил свою сеть практически незащищенной. Поэтому хакерам без особого труда удалось выполнить задуманную атаку, установив зловредное ПО на компьютеры работников ЦБ Бангладеш. Эти ПК были подключены к глобальной платежной системе SWIFT, так что хакеры убили двух зайцев — и нужные данные для проведения транзакций получили, плюс перехватили управление проведением транзакций в системе SWIFT.

Специалисты по информационной безопасности из компании BAE Systems сообщают, что ПО, использованное злоумышленниками, позволяло манипулировать системой управления счетов клиентов SWIFT. При этом у взломщиков получилось затереть следы несанкционированных транзакций, скрывая эти операции до момента вывода денег на счета.

Представители SWIFT уже заявили ^[3] о плановом обновлении системы, которое произойдет 25 апреля. Обновление позволит повысить безопасности клиентов, а также выявлять несоответствия в локальных базах данных.

Автор: marks

Источник ^[4]