Corkow (від — таїти, ховати, друга назва Metel) — анонімна кіберзлочинна група (хакерське угруповання), активна з 2011 року. Прославилася створенням однойменного банківського трояна Win32/Corkow, який використовується зловмисниками для крадіжки даних онлайн-банкінгу. На відміну від Carberp, який здобув світову популярність, Corkow (Metel) не заслужив такої ж уваги з боку дослідників або громадськості і був досить непомітний увесь цей час. Ситуація змінилася в 2014 році, коли сукупний баланс скомпрометованих трояном Corkow (Metel) рахунків клієнтів перевищив $250 млн. За станом на початок 2015 року, за даними Group-IB обсяг збитку значно виріс.
Діяльність
2011 рік Перша згадка трояна Corkow (Metel).
2012 рік Системи телеметрії фіксувала різкі спади і підйоми в активності цієї шкідливої програми з початку її першого виявлення. Так у другій половині 2012 р. спостерігався спад її активності, після чого активність знову зросла. Можливо група, що поширювала Corkow (Metel), була притягнута до кримінальної відповідальності і не могла здійснювати свою діяльність в цей період.
2013 рік Вперше панель управління, якою користувався Corkow (Metel), було виявлено і проаналізовано.
2014 рік Починаючи з квітня 2014 року, бот-мережа на основі Corkow (Metel) стрімко зростає. Робота цієї бот-мережі спрямована на крадіжку грошей з системи онлайн-банкінгу і платіжних систем. Станом на листопад 2014 року злочинці заразили понад 250 тисяч комп'ютерів, що використовують Windows. 70 % заражених комп'ютерів знаходяться в Росії, 15 % — в Україні. В цілому, ця бот-мережа об'єднує комп'ютери з 86 країн. Протягом 2 місяців 2014 р. кіберзлочинці отримали доступ до внутрішніх мереж 34 російських банків. Станом на листопад 2014 р. сукупний баланс скомпрометованих рахунків клієнтів перевищував $250 млн.
2015 рік У лютому 2016 року Group-IB повідомила, що в лютому 2015 року стався перший в світовій практиці великий інцидент, коли кіберзлочинці, використовуючи троян Corkow (Metel), отримали контроль над терміналом торгової системи для торгів на різних біржових ринках, що призвело до виставлення заявок на суму понад 400 млн доларів. Як говориться у звіті Group-IB, використовуючи шкідливе програмне забезпечення, хакер застосував інструмент «долар/рубль розрахунками сьогодні» для продажу і покупки валюти від імені банку, що викликало серйозні скачки курсу долара . За 14 хвилин хакер домігся аномальної волатильності, що дозволило купувати долар за 55 рублів, а продавати по 62 рублі. До інциденту трейдери торгувалися в ринковому діапазоні 60-62 рублі за долар. За даними Лабораторії Касперського, зловмисники також змогли зробити багатомільйонне вилучення з банкоматів банку-жертви всього за одну ніч, використовуючи функцію скасування банківських транзакцій. Завдяки їй, після кожного зняття баланс карткового рахунку не зменшувався .
Функціональність трояна Функціональність модулів Corkow (Metel): Пропускає антивірусні рішення, залишається непоміченим при виконанні; Викрадає ключі і паролі системи онлайн-банкінгу на основі iBank2, IFOBS і SBRF; Викрадає всі онлайн-форми (в тому числі форми авторизації) за допомогою FG і модулів Pony; Моніторить увесь текст, набраний за допомогою клавіатури; Шпигує за користувачами; робить скріншоти і записує відео; Встановлює прихований віддалений доступ до зараженого комп'ютера; Може замінювати відображуване на вебсторінках.
Це дозволяє кіберзлочинцям організувати цільові атаки і шпигувати за діяльністю підприємств з їх власних внутрішніх мереж. Їх головна мета полягає в тому, щоб вкрасти гроші клієнтів фінансових установ, в першу чергу кошти юридичних осіб.
Джерела Ресурси Інтернету Group-IB розповіла про унікальний випадок атаки на валютного брокера за допомогою трояна Corkow (Metel) Russian Hackers Moved Currency Rate With Malware, Group -IB Says Ведомости: Стрибки курсу рубля в лютому дійсно були справою рук хакерів. Винен «шкідливий» Corkow. Енергобанк міг втратити свої гроші через кібератаки Крадіжки на експорт Group-IB підтвердила участь хакерів у «валютній» справі Енергобанку
Примітки