Na początku lutego z sieci znikła witryna Komisji Nadzoru Finansowego. Wkrótce okazało się, że serwis padł ofiarą włamywaczy i został wykorzystany do rozprowadzania złośliwego oprogramowania. Specjaliści z firmy Symantec wskazują na tropy łączące ten incydent z innymi atakami, których autorstwo przypisuje się grupie pochodzącej z Korei Północnej.
3 lutego serwis Zaufana Trzecia Strona ujawnił, że kilka polskich banków zmaga się ze złośliwym oprogramowaniem atakującym ich systemy informatyczne. Wkrótce potwierdziły się informacje wskazujące na istotną rolę serwisu internetowego Komisji Nadzoru Finansowego – portal nadzorcy padł ofiarą włamania. Strona urzędu stała się dystrybutorem szkodliwego kodu, który miał trafić do instytucji finansowych.
Specjaliści zajmujący się cyberbezpieczeństwem uważnie przyglądają się atakowi na polskie banki. Wiele wskazuje na to, że Polska nie była jedynym celem, a kampania wycelowana w instytucje finansowe ma szerszy charakter. W dodatku niektóre tropy łączą sprawę z innymi głośnymi przypadkami incydentów z przeszłości – zwłaszcza z włamaniami na serwery firmy Sony oraz atakiem na bank centralny w Bangladeszu.
Meksyk też na celowniku
Jak informuje Symantec, na celowniku w ostatnim ataku znalazły się nie tylko polskie banki. Ten sam zestaw narzędzi, exploit kit Sundown, został użyty w Meksyku i Urugwaju. Jak wynika z analizy serwisu „Niebezpiecznik”, oprogramowanie zawiera w sobie listę 150 adresów IP potencjalnych celów infekcji. Większość z nich to banki z Polski, USA, Meksyku, Brazylii i kilku innych państw.
Firma BAE wskazuje, że adresy, z których witryna KNF pobierała złośliwe oprogramowanie zostały użyte także w serwisach meksykańskiego Comisión Nacional Bancaria y de Valores (regulator rynku bankowego i kapitałowego). To może sugerować, że wykorzystano tam podobny schemat ataku – tzw. wodopoju. Polega on na zakażeniu zaufanej witryny (np. regulatora), z której korzystają podmioty będące właściwym celem przestępczej kampanii.
Za atakami stoi Lazarus?
Zarówno Symantec, jak i BAE Systems w swoich analizach wspominają o wątkach łączących atak na polskie banki z przestępczą grupą Lazarus. Zespołowi hakerów przypisuje się m.in. serię ataków DDoS na południowokoreańskie instytucje publiczne w latach 2009-2012, włamanie na serwery Sony Pictures w 2014 r. i pasmo zaawansowanych kradzieży z banków z użyciem systemu SWIFT w 2016 r.
Wielokrotnie sugerowano, że grupa może być na usługach północnokoreańskiego reżimu. W 2016 r. firma Kaspersky Lab przeanalizowała charakterystyczne cechy aktywności zespołu cyberprzestępców. Z analizy wynikało, że hakerzy pracują po ok. 15 godzin dziennie, z przerwą na obiad. Okresy aktywności wskazywały na strefą czasową, w której leży Korea Północna. Również próbki kodu zawierały ciągi „typowe dla mówiących po koreańsku”. Jednoznacznych dowodów wskazujących na pochodzenie autorów ataków nie udało się jednak skompletować.
O powiązaniach grupy Lazarus z niedawnymi wypadkami w polskim sektorze bankowym świadczyć mają fragmenty złośliwego kodu przeanalizowane przez Symantec. Wykorzystywano je we wcześniejszych kampaniach przestępców. Poszlaka może jednak wskazywać fałszywy trop – nie jest wykluczone, że inni cyberprzestępcy wykorzystali dzieło poprzedników. Więcej dowodów dostarczą zapewne kolejne ataki wykorzystujące sprawdzony w Polsce schemat. Być może jesteśmy świadkami początku następnej globalnej serii incydentów w instytucjach bankowych.
