俄罗斯银行遭受两个黑客组织的网络钓鱼攻击

最近，一家网络安全公司表示，它发现了两起针对俄罗斯金融机构的大型网络钓鱼活动，其中的电子邮件声称来自该国央行和金融网络安全机构。

其中一次攻击发生在15 日星期四上午，由总部位于莫斯科的Group-IB 向臭名昭著的Silence 黑客组织提供，其中涉及声称来自俄罗斯中央银行(CBR) 的电子邮件。该电子邮件附带一个.zip 文件附件，据称该附件与“CBR 电子通信格式标准化”有关，但实际上是一个Silence 下载程序。

Group-IB 在9 月份的一份报告中表示，至少有一名Silent Team 成员与网络安全行业有联系，目前或之前在该领域的一家公司工作。该公司表示，Silence 自2016 年以来就已悄然离开。

至于周四的黑客攻击，Group-IB 表示，电子邮件的格式与CBR 实际发送的电子邮件的格式非常接近，这表明“黑客很可能获得了合法电子邮件的样本”。然而，虽然电子邮件地址可能是欺骗性的，但电子邮件本身并未经过域名密钥识别邮件(DKIM) 的验证。

10 月23 日发起的另一场网络钓鱼活动涉及来自与俄罗斯金融部门计算机紧急响应小组(FinCERT) 相关的虚假地址的电子邮件，并且还包含虚假的CBR 附件，在本例中触发了Meterpreter stager 的下载。

Group-IB 表示，此次攻击很可能是由名为MoneyTaker 的黑客组织发起的。它之所以做出这样的说法，是因为这次攻击使用了先前在MoneyTaker 攻击中使用的服务器基础设施。

Group-IB 此前将7 月份的攻击归咎于MoneyTaker，导致PIR 银行损失至少92 万美元。 Group-IB 去年年底将MoneyTaker 确定为威胁时表示，该组织的目标是银行、律师事务所和金融软件供应商。

该网络安全公司在周五的一份声明中表示，MoneyTaker 是该黑客组织中最危险的成员之一，使用一系列武器，包括鱼叉式网络钓鱼电子邮件、路过式攻击和银行网络基础设施测试。

Group-IB 动态恶意软件分析主管Rustam Mirkasymov 表示：“就他们而言，他们资源不足，只能使用经过尝试和测试的攻击方法- 网络钓鱼电子邮件。” “然而，与他们的同事不同的是，他们更加关注网络钓鱼电子邮件的内容和设计。”