Group IB: Хакеры из RTM атаковали банки, рассылая вирус через фейковые письма от госучреждений

Вирус предназначен для кражи денег из сервисов дистанционного банковского обслуживания (ДБО) и платежных систем.

По данным Group-IB, в среднем одно успешное хищение такого типа приносит злоумышленникам около 1,1 млн рублей.

В общей сложности с сентября до начала декабря хакеры отправили 11 073 письма с 2 900 различных электронных адресов, подделанных под госучреждения. Рассылки шли «волнами», пик пришелся на 24 и 27 сентября — 729 и 620 писем соответственно.

Среди «отправителей» указываются региональные управления Роспотребнадзора, Россельхознадзора, Ростехнадзора, Росприроднадзора, Министерства труда и соцразвития, УФСИН, прокуратуры, судов и другие.

В настоящее время вредоносные рассылки продолжаются, добавили эксперты.

Фальшивые письма, не имеющие отношения к деятельности госорганизаций, маскировались под служебные документы, например: «Оплата август-сентябрь», «Копии документов», «Служебная записка», «Отправка на четверг» и другое.

Темы сообщений и адрес отправителя постоянно меняются, подчеркнули в Group-IB.

Каждое письмо содержит вредоносное вложение, представляющее собой архив с исполняемым файлом. Распакованные файлы имеют фейковые иконки «PDF», после запуска извлеченного из архива файла происходит заражение компьютера

Опасность подобных атак также в том, что они могут быть «долгоиграющими» — случалось, что вредоносная программа эксплуатировалась злоумышленниками до полугода, оставаясь незамеченной для банка, добавили в компании.

Троян RTM принадлежит одноименной русскоязычной хакерской группе, которая использует вирус с 2016 года для организации таргетированных атак на различные организации и банки.