Группа хакеров UNC2891 устроила киберограбление по-голливудски: пролезла в сеть банковских ATM через физически подключенный Raspberry Pi! 🤯 Устройство с 4G-модемом спрятали прямо в инфраструктуре — оно создавало скрытый туннель для управления. Самый сок: злоумышленники использовали уникальный Linux-руткит для маскировки — такой ещё не видели в дикой природе. 💻🔒 Интересно, что классический антивирус с ним не справился. Пока неизвестно, ушли ли хакеры с добычей, но метод впечатляет: вместо сложных атак — дешёвый одноплатник и хитрость. Кто сказал, что для крутого взлома нужны суперкомпьютеры? 😉
Технический эксклюзив: расшифровка атаки UNC2891 на банковскую инфраструктуру
Ключевой инцидент: Группа хакеров UNC2891 осуществила целенаправленную атаку на финансовое учреждение, физически внедрив Raspberry Pi с 4G-модемом в сеть банкоматов. Инновационный метод скрытия вредоносной активности через Linux bind mount позволил злоумышленникам продолжительное время избегать обнаружения. Атака была пресечена на этапе подготовки к компрометации ATM-коммутатора благодаря анализу аномальной сетевой активности компанией Group-IB.
Архитектура атаки и технологический стек
Физический вектор компрометации:
- Внедрение Raspberry Pi 4 Model B (Quad-core 64-bit, 4GB RAM) с предустановленным Kali Linux
- Использование LTE-модема Quectel EC25 для обхода сетевых периметров
- Подключение в сегмент сети банкоматов через незащищённый Ethernet-порт
Многоуровневая скрытность:
Пояснение: Техника монтирования каталогов (bind mount) позволяет скрывать файлы вредоносного ПО, подменяя содержимое системных путей без модификации оригинальных inode. Атакующие использовали:
- Легитимизацию процесса через имя lightdm и корректные параметры (
--session child 11 19) - Нестандартное расположение бинарника (
/usr/lib/xorg/вместо/usr/sbin/) - Отсутствие конфигурационных файлов Xorg
Коммуникационная инфраструктура:
- Периодичность beaconing: 10-минутные интервалы
- Intermediate-хостинг: использование сервера мониторинга (Zabbix/Nagios) как ретранслятора
- Обход сегментации: эксплуатация привилегированного доступа сервера мониторинга к другим системам
Анализ обнаружения и форензика
Ключевые IOC (Indicators of Compromise):
- Аномальные исходящие соединения с TTL=64 (характерно для embedded-устройств)
- Несоответствие путей бинарников пакетным менеджерам (
dpkg -L lightdm) - Отсутствие дочерних процессов у lightdm
Методика анализа памяти:
- Захват дампа через LiME (Linux Memory Extractor)
- Поиск аномалий в структуре task_struct
- Обнаружение расхождений:
- Несоответствие пути VMA (Virtual Memory Area) и файловой системы
- Аномальные сокеты RAW_IP
Тактические рекомендации для финансового сектора
Физические контрмеры:
- Внедрение контроля целостности портов (Cisco TrustSec, Forescout)
- RFID-мониторинг несанкционированных устройств
- Биометрическая аутентификация для доступа в серверные
Техническая защита:
- Контроль целостности файлов через AIDE/Tripwire
- Изоляция сетей ATM через Microsegmentation (VMware NSX, Cisco ACI)
- Анализ временных меток процессов (eBPF-пробы)
Сравнительный анализ техник скрытности
| Техника | Userland | Kernel | Обнаружение |
|---|---|---|---|
| Bind Mount | Да | Нет | Аудит монтирования (auditd) |
| LD_PRELOAD | Да | Нет | Анализ переменных окружения |
| DKOM | Нет | Да | Сигнатуры CR0-WP |
| eBPF-руткиты | Нет | Да | Проверка JIT-кода |
Прогноз развития угроз: тенденция к комбинации физических и программных векторов с использованием:
- Raspberry Pi Zero W для скрытного внедрения
- eSIM вместо физических SIM-карт
- Закрытие TLS-трафика через QUIC с mimic-трафиком
Выводы и стратегические рекомендации
Инцидент демонстрирует переход targeted-атак в гибридную плоскость, где:
- Физический доступ остается критически уязвимым звеном
- Техники пользовательского пространства (userland) эволюционируют для обхода EDR
- Ключевым элементом защиты становится корреляция сетевых и host-based IOC
Протокол реагирования:
- Внедрить Network Traffic Analysis (ExtraHop, Darktrace)
- Автоматизировать аудит Linux-процессов через Falco
- Ограничить выполнение бинарников в
/tmp(noexec option) - Внедрить hardware-root-of-trust (TPM 2.0) для критичных серверов
Эксперты Group-IB отмечают: «Данная TTP (Tactics, Techniques and Procedures) будет тиражироваться в атаках на критическую инфраструктуру, требуя пересмотра моделей физической безопасности в концепции нулевого доверия».
