Федеральное бюро расследований (ФБР) разработало собственный криптовалютный токен NEXF для выявления компаний, подозреваемых в манипулировании криптовалютным рынком. Вчера Министерство юстиции США объявило о завершении «операции под прикрытием» и предъявлении обвинений 18 лицам и компаниям, которые использовали различные тактики для искусственного завышения стоимости криптовалют, включая автоматизированных ботов.

Источник изображения: Traxer/Unsplash

По информации PCMag, операция была проведена для «отлова» так называемых wash trading (отмывочная торговля) — незаконных сделок, проводимых с целью создания видимости высокой рыночной активности. Такие действия искусственно поднимают цену актива, создавая видимость его привлекательности в глазах инвесторов. В реальности же это часто является частью схемы «pump and dump», при которой манипуляторы сначала взвинчивают стоимость актива, а затем продают его по завышенной цене, оставляя неосведомлённых инвесторов с убытками.

Для выявления мошенников ФБР создало фиктивную криптовалютную компанию NexFundAI, которая разработала собственный токен под названием NEXF и создало веб-сайт для привлечения внимания потенциально подозреваемых лиц. В результате чётко скоординированных действий были предъявлены обвинения компаниям Gotbit, ZM Quant, CLS Global FZC и MyTrade MM, а также некоторым их сотрудникам.

В итоге служба ФБР изъяла более 25 миллионов долларов в криптовалюте и остановила работу нескольких торговых ботов, ответственных за манипуляции с примерно 60 различными видами монет. Также был арестован генеральный директор компании Gotbit за участие в отмывочной торговле и манипуляциях на рынке с 2018 по 2024 год. А на сайте NexFundAI теперь размещено сообщение, что он был создан ФБР «в рамках расследования мошенничества и манипуляций на криптовалютном рынке».

Федеральное бюро расследований США (FBI) опубликовало отчёт, согласно которому 2023 год стал рекордным по количеству случаев криптовалютного мошенничества, а также по объёму потерь. В общей сложности, почти 70 000 сообщений, поступивших в Центр жалоб на интернет-преступления (IC3), свидетельствуют о потерях более $5,6 млрд. Это на 45 % больше, чем в предыдущем году.

Источник изображения: Copilot

Как сообщает BleepingComputer, основной причиной роста потерь стало инвестиционное мошенничество, на которое пришлось 71 % от общего объёма потерь криптовалюты. Мошенники использовали различные схемы, включая схему Big Butchering, при которой жертвы заманиваются на фальшивые инвестиционные платформы через приложения для знакомств и через профессиональные соцсети. Также оказались широко распространены мошенничества с майнингом ликвидности, когда за размещение активов в пуле инвесторам обещали сверхвысокую доходность.

Помимо инвестиционных схем активно использовались и другие методы обмана. Среди них — мошенничество с использованием колл-центров, выдача себя за представителей государственных органов или техническую поддержку. Также злоумышленники создавали поддельные игровые приложения, якобы основанные на технологии блокчейн, обещая игрокам вознаграждения в криптовалюте, при этом просто получая доступ к их кошелькам.

Большая часть потерь ($4,8 млрд) пришлась на граждан США. Далее в списке пострадавших стран следуют Каймановы острова ($196 млн), Мексика ($127 млн), Канада ($72 млн), Великобритания ($59 млн), Индия ($44 млн) и Австралия ($25 млн). Внутри США штат Калифорния пострадал больше всего, зафиксировав потери в размере $1,155 млрд. Далее следуют Техас ($412 млн), Флорида ($390 млн) и Нью-Йорк ($317 млн).

График зарегистрированных потерь криптовалюты. Источник изображения: FBI

В отчёте IC3 объясняется, что киберпреступники выбирают криптовалюту в качестве мишени из-за её децентрализованной природы и существования механизмов, которые помогают скрыть следы денежных переводов, а также технической невозможности отмены пострадавшими пользователями своих транзакций. FBI призывает быть бдительными и «скептически относиться к инвестиционным обещаниям, которые кажутся слишком хороши, чтобы быть правдой». Также агентство рекомендует проверять легитимность инвестиционных платформ, прежде чем вкладывать средства, и стараться использовать для игр и инвестиций независимые криптовалютные кошельки.

Известный хакерский форум BreachForums, на котором злоумышленники размещали для продажи похищенные данные пользователей и организаций, взят под контроль ФБР в сотрудничестве с правоохранительными органами других стран, сообщил ресурс BleepingComputer.

Со среды на веб-сайте BreachForums отображается баннер с сообщением о том, что ФБР взяло под свой контроль его и внутренние данные, что указывает на то, что агентство конфисковало как серверы, так и домены сайта.

«Этот веб-сайт был закрыт ФБР и Министерством юстиции при содействии международных партнёров, — говорится в сообщении. — Мы проверяем серверные данные этого сайта. Если у вас есть информация о киберпреступной деятельности на BreachForums, свяжитесь с нами». В верхней части баннера размещены изображения профилей двух администраторов сайта, Baphomet и ShinyHunters, находящихся за тюремной решёткой.

ФБР также наложило арест на Telegram-канал сайта и другие каналы, принадлежащие Baphomet. Также сообщается об его аресте, что подтверждается тем, что некоторые сообщения правоохранительных органов поступали с его аккаунта.

В специальном поддомене на портале IC3 ФБР указано, что расследование ведётся по хакерским форумам BreachForums и Raidforums. «С июня 2023 года по май 2024 года BreachForums, управляемый ShinyHunters, работал как открытая рыночная площадка, где киберпреступники могли покупать, продавать и обменивать контрабанду, в том числе украденные устройства доступа, средства идентификации, инструменты взлома, взломанные базы данных и другие незаконные услуги», — сообщило ФБР.

Агентство отметило, что ранее, с марта 2022 года по март 2023 года отдельная команда BreachForums управляла аналогичным хакерским форумом, который был закрыт, а его создатель арестован и приговорён в январе этого года к тюремному заключению сроком на 20 лет.

Предшественник обеих версий BreachForums — хакерский форум Raidforums — работал с начала 2015 года по февраль 2022 года.

Американские власти заявили об уничтожении ботнета, который использовался для фишинговых атак, шпионажа, сбора учётных данных и кражи информации — по их версии, к развёртыванию сети взломанных устройств причастны структуры российской разведки. Об этом сообщает The Register.

Источник изображения: David Trinks / unsplash.com

Ботнет был ликвидирован в январе — его составили «более тысячи» маршрутизаторов, используемых в домашних сетях и сетях малых предприятий. Устройства были заражены вирусом Moobot — одним из вариантов ранее выявленного вредоноса Mirai. Вирус использовался для удалённого управления взломанными устройствами и проведения атак на сети.

Установку Moobot на маршрутизаторы под управлением Ubiquiti Edge OS произвели неизвестные киберпреступники, воспользовавшись установленными по умолчанию учётными данными. После этого управление взломанными устройствами, по версии ФБР, перехватила хакерская группировка APT 28, также известная под названиями Forest Blizzard и Fancy Bear, которая якобы связана с российской разведкой. Эта группировка посредством массовой установки на устройства собственных скриптов перепрофилировала ботнет и превратила его «в глобальную платформу кибершпионажа». Целями ботнета были организации, связанные с правительствами США и других стран, военные организации и частные компании.

Эксперты ФБР перехватили управление Moobot и отдали вредоносной сети команду на копирование и удаление вредоносных файлов, включая файлы самого вредоноса, а также данных, которые содержались на взломанных маршрутизаторах. Американцы изменили правила сетевого экрана маршрутизаторов, предотвратив их повторный захват. В конце операции все устройства были принудительно сброшены к заводским настройкам — это значит, что при сохранении установленных по умолчанию учётных данных они останутся уязвимыми для повторных атак.

Министерство юстиции США официально объявило о прекращении работы сайта группы хакеров-вымогателей BlackCat (ALPHV) благодаря действиям ФБР. Агентство также выпустило инструмент, который позволил более 500 пострадавшим от этой группировки восстановить доступ к файлам, заблокированным вредоносным ПО, сэкономив на невыплаченном выкупе примерно $68 млн. Однако хакеры вернули себе доступ к ресурсу, а данные ещё тысяч жертв остаются зашифрованными.

Источник изображений: BleepingComputer.com

На сайте утечки данных BlackCat появился баннер, сообщающий, что он был конфискован в ходе международной операции правоохранительных органов из ряда стран. ФБР заявило, что на самом деле было конфисковано несколько сайтов, принадлежащих злоумышленникам.

Однако, как утверждает ресурс Bleeping Computer, к полудню вторника BlackCat заявила, что восстановила контроль над своим сайтом, отметив, что ФБР получило доступ к центру обработки данных, который она использовала для размещения серверов. Ввиду наличия ключей шифрования у обеих сторон злополучный сайт затем несколько раз в течение дня переходил из рук в руки.

Хакеры сообщили, что у ФБР были ключи дешифрования только для около 400 компаний, а данные 3000 жертв остались заблокированными. Также хакерская группировка заявила, что больше не будет ограничивать филиалы, использующие её программное обеспечение-вымогатель, от атак на критически важную инфраструктуру, включая больницы и атомные электростанции.

Как сообщает Минюст США, «за последние 18 месяцев ALPHV/Blackcat стал вторым по распространённости вариантом программы-вымогателя как услуги в мире, основываясь на сотнях миллионов долларов выкупов, уплаченных пострадавшими по всему миру». Согласно распределению ролей, группировка отвечает за создание и обновление программы-вымогателя, в то время как её филиалы находят цели и проводят атаки, после чего делят прибыль.

Летом хакеры BlackCat взяли на себя ответственность за взлом платформы Reddit, потребовав выкуп в размере $4,5 млн. Ближе к концу лета по их вине приостановили работу несколько казино и отелей MGM Resorts в Лас-Вегасе (штат Невада, США).

По поручению Белого дома ФБР провело расследование с целью установить ведомство, которое вопреки запрету использовало шпионское ПО израильской компании NSO. Этим ведомством неожиданно для расследователей оказалось... ФБР.

Использование предназначенного для шпионажа ПО, созданного израильской компанией NSO, стало незаконным в США с ноября 2021 года, когда разработчика включили в список организаций, угрожающих национальной безопасности страны. Об NSO узнал весь мир, когда правозащитники рассказали о программе Pegasus, предназначенной для удалённого взлома iPhone. При помощи отправленного на телефон сообщения iMessage, которое не нужно открывать или делать с ним что-то ещё, злоумышленник получал почти полный доступ к устройству и всем личным данным на нём. Ещё одним продуктом NSO является программа Landmark, которая эксплуатирует уязвимости не пользовательских устройств, а базовых станций мобильных операторов — когда к скомпрометированной базовой станции подключается телефон жертвы, Landmark определяет его местоположение с точностью 100–200 метров.

В апреле газета New York Times доложила о журналистском расследовании, в ходе которого было установлено, что американская компания Riva Networks незаконно приобрела и использовала продукцию NSO для выполнения заказа от некоего американского ведомства. Журналисты издания ознакомились с засекреченным контрактом, в котором заказчиком значилось «правительство Соединённых Штатов». Администрация президента страны заявила, что ей об этом контракте ничего не известно, и поручила ФБР расследовать инцидент. Теперь же газета сообщила, что заказчика удалось установить — им было само ФБР.

Источник изображения: Darwin Laganzon / pixabay.com

В бюро заявили, что использовали шпионское ПО непреднамеренно, а Riva ввела его в заблуждение. Как только ведомство в конце апреля установило, что компания использовала запрещённое средство кибершпионажа от его имени, директор ФБР расторг контракт. В бюро пояснили, что передали Riva несколько зарегистрированных в Мексике телефонных номеров, которые, по оперативной информации, использовались наркоторговцами и беглыми преступниками, чьё местоположение было необходимо установить. ФБР считало, что компания будет использовать для этого какой-то инструмент собственной разработки, но Riva предпочла NSO Landmark.

Как выяснилось, ФБР — возможно, не единственное американское ведомство, вовлечённое в это дело: у Riva также есть контракты с Министерством обороны, Управлением по борьбе с наркотиками (DEA) и Исследовательской лабораторией ВВС. Причём DEA пользуется инструментом, аналогичным Pegasus, только его разработчиком значится Paragon Graphite — конкурент NSO. Это ПО применяется на законных основаниях, хотя и предлагает ровно те же возможности.

ФБР опубликовало адресованное пользователям смартфонов и других мобильных устройств предостережение с призывом воздержаться от использования бесплатных зарядных станций, установленных в общественных местах. По сведениям ведомства, многие из этих устройств могут быть подконтрольны мошенникам и киберпреступникам — подключение смартфона, планшета или ноутбука может привести к их заражению вредоносным ПО.

Источник изображения: twitter.com/FBIDenver

«Избегайте использования бесплатных зарядных устройств в аэропортах, гостиницах или торговых центрах. Злоумышленники нашли возможность использовать общедоступные USB-порты для загрузки вредоносного и шпионского ПО на устройства. Вместо этого носите с собой собственное зарядное устройство с USB-кабелем и подключайте его к розетке», — говорится в заявлении ведомства.

Рекомендации ведомство опубликовало на своём сайте. В материалах не говорится о каких-либо конкретных инцидентах, связанных с причинением ущерба потребителям при использовании публичных зарядных устройств. В офисе ФБР в Денвере заявили, что публикация носит рекомендательный характер, и никакой конкретный инцидент для этого поводом не послужил.

Тем не менее, Федеральная комиссия по связи (FCC) США ранее заявила, что схема со взломом гаджетов через общедоступные зарядные устройства и последующей загрузкой вредоносного ПО (juice jacking) известна с 2021 года. Это ПО перехватывает регистрационные данные пользователей, связанные с различными сервисами — FCC также рекомендовала пользователям избегать подключения телефонов и других гаджетов к общественным зарядным устройствам.

Известный хакерский форум Breached был закрыт после того, как оставшийся на свободе администратор под ником Baphomet сообщил, что правоохранительные органы, вероятно, получили доступ к ресурсу.

Источник изображения: B_A / pixabay.com

Ресурс служил площадкой, на которой публиковались и продавались данные, похищенные хакерами в результате взломов сайтов частных компаний и правительственных организаций. Он также был популярен среди тех, кто интересуется «тёмной стороной» киберезопасности. Участники сообщества несут ответственность за широкий спектр взломов, кибератак и утечек данных, включая инциденты с компаниями DC Health Link, Twitter, RobinHood, Acer и Activision. Форум Breached был своего рода преемником RaidForums, который был закрыт ФБР в апреле прошлого года, а за несколько месяцев до этого его владельца, известного под ником Omnipotent, арестовали в Великобритании.

В минувшую пятницу стало известно, что выступавший под ником Pompompurin основатель и владелец Breached был арестован ФБР. Оставшийся на свободе второй администратор ресурса под ником Baphomet отключил сайт и перенёс его на новый хостинг, чтобы уберечь его от действий правоохранительных органов. Перенос производился медленно, поскольку было необходимо принять меры по защите анонимности пользователей — это позволило бы ресурсу продолжить работу.

Однако впоследствии выяснилось, что неизвестные входили в систему на один из старых CDN-серверов, где не было важных данных. Breached никогда не делил серверов с другими ресурсами, а значит, это был кто-то с доступом к компьютеру Pompompurin. Второй администратор пришел к выводу, что больше не сможет гарантировать пользователям форума анонимность и безопасность, и сайт было решено окончательно закрыть. Telegram-канал ресурса пока продолжает работу — здесь участники сообщества смогут принять решение, куда им двигаться дальше.

В 2022 году потери экономики США от онлайн-мошенничества превысили $10 млрд, что является самым высоким годовым ущербом за последние пять лет, сообщил ресурс CNN со ссылкой на ежегодный отчёт ФБР о преступлениях в интернете Internet Crime Report.

Источник изображения: Pixabay

Согласно отчёту, рост ущерба от онлайн-мошенничества более чем на $3 млрд по сравнению с 2021 годом был вызван почти утроением зафиксированных случаев мошенничества с инвестициями в криптовалюту.

Отчёт отражает, во сколько хакерские и другие мошеннические схемы обходятся американской экономике. В прошлом году больше всего жалоб на мошенничество подали люди старше 30 лет, причём больше всех пострадали пожилые люди. По данным ФБР, на долю пострадавших в возрасте старше 60 лет пришлось $724 млн или более двух третей заявленных потерь от «мошенничества в колл-центрах», когда мошенники звонят потенциальным жертвам, выдавая себя за службу технической поддержки или правительственные учреждения.

По подсчётам ФБР, на мошенничество с использованием программ-вымогателей приходится около $34 млн скорректированных убытков. Относительно скромная цифра по сравнению с потерями от других форм мошенничества может быть объяснена тем, что многие пострадавшие компании до сих пор не извещают ФБР об инцидентах с использованием программ-вымогателей.

По данным ФБР, в прошлом году популярный тип программы-вымогателя Hive использовался в 87 атаках. В январе этого года ведомству удалось прекратить деятельность группы хакеров Hive, требовавшей более $130 млн в виде выкупа у более чем 300 жертв, включая школы и больницы.

Также в отчёте упоминается схема взлома, известная как компрометация деловой электронной почты (business email compromise, BEC), заключающаяся в том, что жертву обманом заставляют перевести деньги киберпреступникам, выдающим себя за клиента или родственника. Как указано в документе, в 2022 году скорректированные убытки от мошенничества с BEC составили около $2,7 млрд по сравнению с примерно $2,4 млрд в 2021 году.

В четверг Федеральное бюро расследований сообщило, что ему удалось тайно взломать серверы и прекратить деятельность банды кибервымогателей под названием Hive, помешав преступникам собрать более 130 миллионов долларов в виде выкупов от более чем 300 жертв.

Источник изображения: everypixel.com

На пресс-конференции генеральный прокурор США Меррик Гарланд (Merrick Garland), директор ФБР Кристофер Рэй (Christopher Wray) и заместитель генерального прокурора США Лиза Монако (Lisa Monaco) заявили, что правительственные хакеры проникли в сеть Hive и установили наблюдение за бандой, тайно похитив цифровые ключи, которые группа использовала для разблокировки организаций-жертв. «Используя законные средства, мы взломали хакеров, — заявила Монако журналистам. — Мы изменили ситуацию с Hive».

Веб-ресурс группы киберпрестуников Hive более не доступен, а прежнее содержимое их сайта заменено объявлением: «Федеральное бюро расследований конфисковало этот сайт в рамках скоординированных действий правоохранительных органов, предпринятых против Hive Ransomware». Серверы Hive также были одновременно атакованы Федеральной уголовной полицией Германии и Национальным отделом по борьбе с преступлениями в сфере высоких технологий Нидерландов.

«Интенсивное сотрудничество между странами и континентами, построенное на взаимном доверии, является ключом к эффективной борьбе с серьёзными киберпреступлениями», — заявил комиссар полиции Германии Удо Фогель (Udo Vogel) в заявлении полиции и прокуроров земли Баден-Вюртемберг, которые помогали в расследовании.

Уничтожение Hive отличается от некоторых других громких дел, связанных с программами-вымогателями, о которых Министерство юстиции США объявило в последние годы, таких как кибератака в 2021 году против Colonial Pipeline Co. Тогда Министерству юстиции удалось изъять около 2,3 миллиона долларов, полученных в виде выкупа в криптовалюте уже после того, как компания заплатила хакерам.

В этот раз изъятий не было, так как следователи вмешались до того, как преступники потребовали выкуп. Тайное расследование и проникновение на сервера преступной группы, начавшееся в июле 2022 года, до последнего момента оставалось незамеченным бандой. Но контактная информация Hive пока недоступна. Также отсутствуют данные о географическом базировании преступной группы.

Hive — одна из множества киберпреступных групп, которые вымогают деньги у международных компаний, шифруя их данные и требуя взамен крупных платежей в криптовалюте. И одна из самых активных. В предупреждении, распространённом в ноябре, ФБР сообщило, что жертвами киберпреступников Hive стали более 1500 компаний по всему миру, заплатившие около 100 миллионов долларов в виде выкупа.

Хотя в среду не было объявлено об арестах, расследование продолжается, а один из чиновников департамента посоветовал журналистам «следить за новостями». Операция ФБР помогла широкому кругу жертв, в том числе школьному округу Техаса. «Бюро предоставило школьному округу ключи дешифрования, что спасло его от выплаты выкупа в размере 5 миллионов долларов», — сказал он. А больнице Луизианы удалось сберечь 3 миллиона долларов.

Эксперт по кибербезопасности Бретт Кэллоу (Brett Callow) из канадской компании Emsisoft утверждает, что Hive несёт ответственность за как минимум 11 инцидентов с участием государственных организаций, школ и медицинских учреждений США в прошлом году. «Hive — одна из самых активных групп, если не самая активная», — говорится в его электронном письме.

Hive предоставляла третьим лицам программы-вымогатели в качестве услуги (Ransomware-As-A-Service — RaaS), получая часть средств, полученных вымогателями в виде выкупа. А поскольку об арестах не сообщалось, хакеры Hive, скорее всего, скоро «либо откроют магазин под другим брендом, либо будут завербованы в другие группы RaaS», — предположил Джим Симпсон (Jim Simpson), директор по исследованию угроз британской фирмы Searchlight Cyber. При этом он отметил, что «игра стоила свеч в любом случае, так как операция нанесла значительный ущерб деятельности Hive».