Хакеры запустили Uber для взлома банков и торгуют доступами к финансовым системам Африки на черном рынке

30 июня 2025, 11:50

© freepick.com

Группа хакеров организовала коммерческую схему, похожую на Uber: вместо вызова такси злоумышленники продают доступ к финансовой инфраструктуре Африки через подпольные форумы. Об этом сообщили специалисты Unit 42 (Palo Alto Networks), отслеживающие активность под кодовым обозначением CL-CRI-1014, пишет Securitylab.

Как работает Uber киберпреступников?

Целью злоумышленников является получение первичного доступа к корпоративным сетям финансовых организаций. После этого они перепродают этот доступ другим группировкам, которые могут использовать его для шифровальщиков, краж данных или долгосрочных атак. 

Это делает CL-CRI-1014 классическим брокером начального доступа , что особенно опасно для банков и страховых компаний, где сосредоточено большое количество чувствительной информации.

Как хакеры маскируются под легальный софт?

Для проникновения в системы злоумышленники используют PoshC2 — инструмент управления зараженными системами; Chisel — туннелирование трафика и обход брандмауэров; Classroom Spy — удаленный контроль над рабочими станциями.

Но главное — хакеры подделывают цифровые подписи файлов, копируя их с официальных программ. Это позволяет им обходить антивирусную защиту и оставаться незамеченными.

Как скрывается вредоносный код?

Чтобы затруднить обнаружение, злоумышленники используют иконки популярных приложений: Microsoft Teams, Palo Alto Cortex, VMware Tools, создают системный сервис и размещают ярлык вредоносного инструмента в автозагрузке Windows.

Случаи атак в финансовом секторе

Атаки с применением PoshC2 уже были замечены в сентябре 2022 года во время кампании DangerousSavanna, когда через фишинговые рассылки распространялись Metasploit, PoshC2, DWservice, AsyncRAT. Жертвами стали банки и страховые компании в Кот-д’Ивуаре, Марокко, Камеруне, Сенегале и Того.

Читайте также материал издания RUБЕЖ: IVA Technologies и VisionLabs объединяют усилия в борьбе с дипфейками.