ОРЕАНДА-НОВОСТИ. Злоумышленники разослали в российские банки письма с вредоносным содержанием от имени FinCERT, подразделения Центробанка РФ, занимающегося информационной безопасностью. Об этом сообщает портал "Лаборатории Касперского" SecureList.

Рассылка была произведена 15 марта около полудня по московскому времени с адреса info@fincert.net (настоящий адрес подразделения - fincert@cbr.ru), причём к получателям в каждом письме обращались по фамилии, имени и отчеству. Причём адресов получателей рассылки, по данным SecureList, в открытом доступе нет.

В письмах говорилось о "важной информации касательно компроментаци банковских систем" (орфография сохранена). В названии вложенного файла был указан цифровой код, используемый FinCERT при уведомлениях об атаках.

Сам файл содержал встроенный макрос, требующий ручной активации. В случае запуска на компьютер загружался архив с файлами, составляющими, как пишет SecureList, "набор удалённого администрирования". Архив был подписан цифровой подписью компании "СПЁК-2000", которая зарегистрирована в Москве и занимается грузоперевозками.

Сколько банков пострадали в результате атаки, неизвестно. SecureList сообщает, что по состоянию на 16 марта вредоносный файл был загружен для проверки на сайт VirusTotal более 70 раз, что может свидетельствовать о массовости рассылки.

В пресс-службе ЦБ сообщили СМИ, что информации о нанесённом банкам в результате атаки ущербе "не поступало". Гендиректор Digital Security Илья Медведовский заявил изданию, что "злоумышленникам нужно время, чтобы закрепиться в системе и вывести средства".

Данный инцидент не является уникальным или технически сложным, но всё же представляет значительный интерес. Атакующие впервые использовали "бренд" FinCert, для этого атака была тщательно подготовлена - было создано соответствующее доменное имя, изучены используемые FinCERT идентификаторы. Атакующие обладают базой адресов электронной почты сотрудников сотен российских банков, вместе с их именами и фамилиями.

Российские банки регулярно становятся объектами атак хакеров. В феврале 2015 года хакеры на непродолжительное время изменили курс доллара на Московской бирже, использовав уязвимость в системе безопасности одного из банков. В феврале 2016 года хакеры вывели со счетов Металлинвестбанка 667 миллионов рублей. Часть средств банку потом удалось вернуть.