安全研究人員最近發(fā)現(xiàn)，黑客團(tuán)伙Carbanak使用的一臺(tái)C&CC(命令與控制)服務(wù)器居然指向了俄羅斯聯(lián)邦安全局。

膽大保天：C&C服務(wù)器指向俄羅斯聯(lián)邦安全局

趨勢(shì)科技安全專家Maxim Goncharov透露，黑客團(tuán)伙Carbanak使用的一款惡意軟件的C&C(命令與控制)服務(wù)器指向的是俄羅斯聯(lián)邦安全局。Carbanak是曾經(jīng)從全球銀行席卷了10億美元的黑客組織，專家發(fā)現(xiàn)，這伙黑客攻擊了30個(gè)國(guó)家的100多個(gè)機(jī)構(gòu)，攻擊從2013年開(kāi)始，可能仍在繼續(xù)。

Goncharov發(fā)現(xiàn)，Carbanak木馬的命令與控制(C&C)服務(wù)器指向了俄羅斯聯(lián)邦安全局。研究人員給出了幾種可能的解釋，其中一個(gè)是木馬的作者想要愚弄聯(lián)邦安全局。

 “昨天在檢查Carbanak報(bào)告中的攻擊指示器(indicators of compromise, IOC)數(shù)據(jù)時(shí)，我發(fā)現(xiàn)systemsvc.net這個(gè)域名(報(bào)告中提到的C&C域名)現(xiàn)在解析到的IP是213.24.76.23。我檢查相關(guān)信息時(shí)發(fā)現(xiàn)IP在ASN AS8342 RTCOMM-AS OJSC RTComm.RU名下，地理位置是莫斯科 – 莫斯科 – 俄羅斯聯(lián)邦安全局。”Goncharov在博文中寫(xiě)道，“我不知道到底怎么回事，我并不認(rèn)為聯(lián)邦安全局會(huì)把一個(gè)跟Carbanak有關(guān)的域名指向安全局的IP上。可能是域名的擁有者在惡作劇。”

Carbanak組織攻擊步驟

首先，攻擊者使用惡意代碼尋找那些管理現(xiàn)金轉(zhuǎn)帳系統(tǒng)或者ATM機(jī)的員工，然后收集銀行的內(nèi)部信息。

第二步，黑客在那些員工機(jī)器上安裝遠(yuǎn)程訪問(wèn)工具(RAT)。一旦他們感染了那些管理現(xiàn)金轉(zhuǎn)帳系統(tǒng)或者ATM機(jī)的員工，攻擊者會(huì)對(duì)受害者們截屏，研究他們?cè)阢y行的日常活動(dòng)。最后，黑客會(huì)遠(yuǎn)程控制那些ATM，然后取錢或者將錢轉(zhuǎn)賬到假的賬號(hào)。

卡巴斯基的專家最先發(fā)現(xiàn)了Carbanak組織，并將這些攻擊形容為“世界上最復(fù)雜的攻擊”。

FreeBuf會(huì)持續(xù)關(guān)注后續(xù)進(jìn)展。