Вирусная лаборатория Eset опубликовала отчет о деятельности кибергруппы RTM, атакующей российские организации. Для кражи средств у компаний хакеры подменяют реквизиты исходящих платежей в транспортных файлах «1С».
Группировка RTM использует специально разработанные программы, написанные на Delphi. В Eset зафиксировали первые следы этих вредоносных инструментов в конце 2015 года. Функционал RTM включает перехват нажатия клавиш, чтение смарт-карт, загрузку в зараженную систему новых модулей, мониторинг процессов, связанных с банковской деятельностью. В фокусе атакующих — бухгалтерские системы, взаимодействующие с решениями дистанционного банковского обслуживания. Вредоносный код RTM распространяется преимущественно через взломанные сайты и спам. Эти инструменты удобны для целенаправленных атак, поскольку в первом случае атакующие могут выбирать площадки, посещаемые потенциальными жертвами, а во втором — отправлять письма с вредоносными вложениями напрямую «нужным» сотрудникам компаний.
Вредоносный код RTM отслеживает появление в зараженной системе транспортного файла 1c_to_kl. txt. Его формирует «1С: Предприятие 8» для передачи платежного поручения из бухгалтерской системы в систему онлайн-банкинга. Текстовый файл содержит детали исходящих платежей. Подменив реквизиты получателя, хакеры могут перевести средства компании на свои счета.
Общее число обнаружений вредоносных программ семейства RTM невелико. С другой стороны, в кампании используются сложные кастомные инструменты, что свидетельствует о высокой таргетированности атак.
По оценке экспертов Eset, снизить риск кражи средств позволяет шифрование платежных поручений, двухфакторная аутентификация, антивирусная защита корпоративной сети, обучение персонала основам информационной безопасности.