В ответ на просьбу CNews назвать конкретные организации, пострадавшие от атаки, в Group-IB сообщили, что не могут раскрыть названия, но что от действий хакеров пострадал как минимум один российский банк, являющийся клиентом компании, и что в этом случае атаку удалось остановить на начальном этапе. Также атаке подверглось «довольно крупное и известное госучреждение», которое тоже является клиентом Group-IB.
Сеть состояла по крайней мере из пяти вредоносных сайтов, заполненных в качестве приманки одинаковым бухгалтерским контентом — бланками, контрактами, счетами и налоговыми документами. Это были buh-docum[.]ru, patrolpolice[.]org.ua, buh-blanks[.]ru, buh-doc[.]online и buh-doc[.]info. Три из них были запущены в апреле 2018 г., другие два были зарегистрированы в сентябре 2017 г. К услугам каждого сайта прибегло порядка 200 тыс. пользователей, сообщает Group-IB.
Росту популярности вредоносных ресурсов способствовало то, что они появлялись среди первых результатов поиска по запросам «скачать бухгалтерские бланки», «скачать бланк», «налоговая декларация скачать» и т. п. Общее количество посетителей фальшивой сети пока не установлено, но речь идет о «сотнях тысяч» пользователей, считает Group-IB. Сейчас четыре сайта из пяти уже заблокированы, но компания не исключает, что их могло быть больше.
В отчете Hi-Tech Crime Trends 2017 компания пишет, что каждая подобная атака в случае успеха приносит хакером до 1,2 млн руб. в день. Количество успешных атак этого типа компания оценивает около двух в день.
Как была обнаружена сетьСеть фальшивых сайтов была вскрыта после того, как специалисты Центра реагирования на инциденты информационной безопасности Group-IB (CERT-GIB) отследили загрузку вредоносной программы с сайта buh-docum[.]ru в упомянутом банке. В ходе анализа сайта они выяснили, что бухгалтерским контентом он был наполнен исключительно с целью привлечения внимания финансовых директоров, главных бухгалтеров, юристов и других лиц с правом доступа к управлению счетами организаций.