Специалисты Group-IB опубликовали результаты многолетнего исследования деятельности хакерской группировки UNC2891, которая с 2022 года проводит целевые атаки на финансовые учреждения Индонезии. Группа демонстрирует исключительную техническую подготовку и операционную дисциплину, используя кастомные вредоносные программы и нестандартные методы проникновения.
Описание
Согласно отчету, UNC2891 представляет собой финансово мотивированную группу, активную как минимум с ноября 2017 года. Особенностью группировки является глубокое понимание сред Linux, Unix и Oracle Solaris, что редко встречается даже среди продвинутых постоянных угроз. Эксперты отмечают, что после периода относительного затишья атак на банкоматы в конце 2010-х годов, UNC2891 знаменует тревожное возрождение этой угрозы в адаптированной и усовершенствованной форме.
Технический арсенал группировки впечатляет разнообразием. В частности, они используют руткит CAKETAP для манипуляции HSM и подделки транзакций, бэкдоры TINYSHELL и SLAPSTICK, кейлоггер WINGHOOK, а также утилиты для очистки логов LOGBLEACH и MIGLOGCLEANER. Все вредоносные программы тщательно маскируются под легитимные системные файлы и используют сложные техники обфускации.
Одним из наиболее примечательных случаев стало обнаружение устройства Raspberry Pi, физически подключенного к коммутатору банкомата в сети финансового учреждения. Это беспрецедентная тактика позволила злоумышленникам полностью обойти периметровые защиты. Устройство использовало 4G-модем для установления удаленного доступа и было обнаружено только в июле 2024 года, хотя первые подключения датировались февралем того же года.
Эксперты Group-IB исследовали три основных инцидента с участием UNC2891. В феврале 2022 года была обнаружена компрометация более 30 внутренних систем банка, включая производственные серверы и серверы коммутации банкоматов. Самое раннее свидетельство проникновения относилось к ноябрю 2017 года. В ноябре 2023 года была атакована другая финансовая организация, где злоумышленники использовали уникальные "магические пароли" для латерального перемещения. Третий инцидент в июле 2024 года подтвердил возвращение группировки к ранее атакованной организации.
Особый интерес представляет операция по обналичиванию средств через денежных мулов. Группа нанимала их через рекламу в Google и Telegram, используя самоуничтожающиеся сообщения через сервис Privnote для коммуникации. Мулы получали оборудование для клонирования карт и подробные инструкции через TeamViewer. Процесс обналичивания контролировался удаленно через голосовые и видео-звонки.
Эксперты подчеркивают сложность атрибуции из-за операционной безопасности группировки. Несмотря на сходства с другой известной группой UNC1945, ключевые различия в мотивации и инструментарии указывают на отдельную операционную единицу. Критическим доказательством стало обнаружение одинаковых криптографических ключей в образцах STEELCORGI из разных организаций, что свидетельствует либо об ошибке операторов, либо о том, что они не являются оригинальными разработчиками кода.
Group-IB предоставляет подробные рекомендации по защите, включая сегментацию сетей, мониторинг целостности файлов, развертывание MFA и регулярные оценки компрометации. Специалисты предупреждают, что кажущийся спад угроз для банкоматов в последние годы привел к ослаблению защиты этой критической инфраструктуры, что теперь используют современные группировки типа UNC2891.
Индикаторы компрометации
YARA
