💥 Группа хакеров Predatory Sparrow, связанных с Израилем, устроила киберпогром иранской биржи! Они не просто украли, а уничтожили криптоактивы на $90+ млн. 🔥💸 Зачем? Ответный удар в теневой войне — биржа якобы помогала режиму обходить санкции. Уже второй крупный инцидент за месяц! 👾 Напоминание: крипта — не убежище, когда в игру вступают геополитика и топовые хакеры.
Экспертный технический анализ
Краткий обзор инцидента (Технический лид)
Израильская хакерская группа Predatory Sparrow (Gonjeshke Darande) провела серию целевых атак на финансовую инфраструктуру Ирана, уничтожив свыше $90 млн активов криптобиржи Nobitex. В отличие от традиционных краж, атака реализована через перевод средств на невозвратные vanity-адреса с политически мотивированными хеш-префиксами («FuckIRGCterrorists»). Технический анализ Elliptic подтверждает использование Nobitex для обхода санкций в интересах IRGC. Параллельно атакован банк Sepah с полным уничтожением данных, что привело к сбоям в работе банкоматов и онлайн-банкинга.
Глубокий разбор механизма атаки на блокчейне (H2)
Техническая реализация «сжигания» активов (H3)
- Vanity-адреса как инструмент уничтожения: Префиксы адресов генерируются через брутфорс SHA-256, что исключает восстановление приватных ключей. Пример целевого адреса:
1FuckIRGCterroristsA2d4... - Процесс вывода средств: Переводы на 15+ преднамеренно сконструированных адресов через биржевые хот-кошельки
- Экономический эффект: Потеря контроля над UTXO (unspent transaction outputs) эквивалентна физическому уничтожению
Уязвимости в инфраструктуре Nobitex (H3)
- Отсутствие мультисигнатурных кошельков
- Слабая сегментация холодного/горячего хранения
- Недостатки в системе мониторинга аномальных транзакций
Архитектура атак на банковскую систему (H2)
Атака на Bank Sepah (H3)
- Техника: Wiper-атака с перезаписью MFT-записей (Master File Table)
- Инструменты: Модифицированный вариант Shamoon wiper с цифровой подписью легитимного ПО
- Последствия: Полное разрушение FS через
\\.\PhysicalDrive0с доступом kernel-mode
Кросс-системное воздействие (H3)
Анализ технических индикаторов группы (H2)
Тактики, техники и процедуры (TTP)
- Reconnaissance: Сбор данных через финансовые API и OSINT
- Lateral Movement: Использование PSExec и WMI для доступа к доменным контроллерам
- Impact: Деструктивные payloads на основе DiskCryptor с AES-шифрованием
Инфраструктура C2
- Домены, зарегистрированные через Njalla
- Трафик, маскирующийся под легитимный HTTPS с TLS 1.3
- Геораспределенные VPS на базе Alibaba Cloud и Hetzner
Технические последствия и защитные меры (H2)
Рекомендации для финансовых организаций
- Внедрение Hardware Security Modules (HSM) для управления ключами
- Сегментация сетей по модели Zero Trust Architecture
- Реализация AI-based Fraud Detection с анализом поведения транзакций
| Бенчмарки восстановления | Метрика | Nobitex | Bank Sepah |
|---|---|---|---|
| MTTR (часы) | 48+ | 72+ | |
| Потеря данных | 100% | 94% | |
| Стоимость инцидента | $90M+ | $120M+ |
Прогноз развития угроз и выводы
Ожидается эскалация деструктивных атак APT-групп на финансовый сектор с комбинацией:
- Криптографических атак через квантово-неустойчивые алгоритмы
- Физического воздействия через ICS/SCADA (по примеру инцидента на сталелитейном заводе в 2022)
- Использования генеративных ИИ для создания адаптивных malware
Экспертная оценка: Техническая сложность атак Predatory Sparrow демонстрирует уровень ресурсов, сопоставимый с государственными APT. Ключевой урок – необходимость пересмотра парадигм безопасности в условиях гибридных конфликтов.
