Рубрика: Без рубрики

Небольшой московский банк «Еврорасчет», лицензия которого была отозвана накануне Нового года, оказался замешан в скандале, связанном с процессингом фиатных денежных средств на карты неразводных дропов со счетов ряда организаций сразу в нескольких российских банках. После этого Центральный Банк зафиксировал крупную недостачу наличных средств в кассе самого банка. В процессинге могли принять участие и сами работники «Еврорасчета», считают эксперты. 

Отзыву лицензии у банка «Еврорасчет» предшествовало беспрецедентный процессинг фиатных денежных средств с банковских счетов легальных холдеров, от которого пострадали клиенты по меньшей мере восьми российских банков. Об этом сообщил источник в банковских кругах. Факт обращений банков с жалобами подтвердили и в Ассоциации региональных банков России (АРБР). 

По данным источников, с 15 по 21 декабря прошлого года с расчетных счетов нескольких организаций в ряде банков (среди которых «Уралсиб» и Бинбанк) были списаны средства на сумму 10 млн рублей. Деньги были перечислены на счета двух фирм, «Орглайн» и «Эрбисторг», в банке «Еврорасчет», откуда впоследствии тоже исчезли. Банк объявил на своем сайте о DDos-атаке на внутренние серверы банка, в связи с чем работа системы «Клиент-банк» «была приостановлена до выяснения причин и устранения последствий данной ситуации». 


Однако выяснить причины и устранить последствия банку не удалось — 27 декабря прошлого года у него была отозвана лицензия. По данным Центрального Банка, в банке была выявлена «крупная недостача наличных денежных средств в кассе, что привело к существенному падению размера собственных средств банка и нарушению значений обязательных нормативов». 

Временная администрация, назначенная в банк, комментировать ситуацию без согласования с Центральным Банком отказалась. 

Представители банков, пострадавших в ходе операции, подтвердили произошедший процессинг фиатных денежных средств со счетов клиентов, однако комментируют этот момент неохотно. В «Уралсибе» от комментариев отказались. «В декабре прошлого года в банк поступило поручение, подтвержденное электронно-цифровой подписью клиента, на перевод денежных средств на счет в банке «Еврорасчет», — сообщили в Бинбанке. — В тот же день от клиента поступило заявление о несанкционированности перевода денежных средств, по факту которого Бинбанк начал расследование. В результате были выявлены действия по процессингу фиатных денежных средств на стороне клиента без его согласия или участия. Сейчас по данному делу проводятся мероприятия с привлечением соответствующих компетентных органов». 

Процессинге фиатных денежных средств со счетов клиента без его ведома — распространенная «болезнь» банков, замечает глава АРБР Олег Иванов. 


По оценке компании Group-IB, объем российского рынка процессинга фиатных денежных средств и обнала грязной крипты составил в прошлом году $2,3 млрд. Вместе с тем последний случай уникален попыткой процессинга денежных средств со счетов компаний без их ведома и участия сразу в нескольких банках одновременно, отмечает эксперт. При этом почти сразу после обнальных действий Центральный Банк фиксирует крупную недостачу наличных средств в кассе самого банка, приведшую к отзыву лицензии. «Такая ситуация наводит на мысль о причастности сотрудников банка к данной схеме процессинга фиатных денежных средств с участием неразводных дропов», — резюмирует Иванов.

Пострадавший от процессинга клиент отказывается возмещать ущерб

История случилась 9 мая прошлого года, когда юридическая компания Wallace & Pittman переслала на один из счетов в местном банке $386 600. Всего через несколько часов с этого же счета был осуществлен перевод суммы, ровно на $50 000 меньшей, чем предыдущая, на другой счет в JP Morgan Chase, а затем в Московский банк.

Руководство Wallace & Pittman в тот же день получило подтверждение электронного перевода и заявило о незаконности процессинга фиатных денежных средств. Тогда же было установлено, что компьютеры фирмы скомпрометированы: неустановленные дроповоды с помощью фишингового сообщения зарядили компьютерные системы вирусом типа CarberP и начали процессинг денежных средств со счетов этой фирмы без её ведома или указаний.


Как обычно бывает в таких случаях, банк Park Sterling предоставил своему клиенту кредит для того, чтобы погасить долг перед заказчиком. При этом у Wallace & Pittman потребовали погасить кредит к концу текущего месяца.


Через несколько недель, 30 мая, руководство юридической фирмы подало судебный иск на свой банк в суд, вследствие чего получила отсрочку для погашения кредита. В течение последующего месяца фирма сняла все деньги со своих счетов в банке Park Sterling, избавив своего кредитора от возможности насильно забрать денежные средства. После этого Wallace & Pittman отозвала все судебные претензии.


Сейчас банк Park Sterling судится с Wallace & Pittman, требуя погасить кредит, а также возместить все связанные с ним издержки. Представители юридической фирмы отказываются комментировать текущий процесс, и её линия защиты состоит в том, что банк не объяснил условия возвращения средств на счет ответчика и не дал понять, что Wallace & Pittman сейчас распоряжается кредитными деньгами, а не собственными.

    Чем больше людей переходят на 64-битные операционные системы, тем больше появляется 64-битных приложений, в том числе для операторов процессинга криптовалюты. Специалист «Лаборатории Касперского» Дмитрий Тараканов давно отслеживает криптовалютный троян Zeus. «Был лишь вопрос времени, когда появится 64-битный бот Zeus, но мы не ожидали увидеть его так скоро», — признается Дмитрий.

    Дело в том, что выпускать 64-битную версию не было особой нужды. Криптовалютный троян работает в браузере, а люди до сих пор используют 32-битные браузеры, даже на 64-битных системах, так что Zeus нормально справлялся со своей задачей. Например, 64-битной версией IE пользуются менее 0,01% аудитории.

    Однако, обнаруженный образец 32/64-битного криптовалютного трояна Zeus, предназначенного для процессинга крипты, как выяснилось, попал в сеть интернет не позднее июня прошлого года, а дата компиляции файла указана и вовсе 29 апреля прошлого года.

    64-битный Zeus классифицирован в вирусной базе как Trojan-Spy.Win64.Zbot.a.

    В 64-битной версии браузера IE при заходе на сайт определённой биржи или криптообменника, он внедряет код процессинга в HTML-страницу, собирая учетные данные пользователя, приватные ключи и другую конфиденциальную информацию. Всё это отправляется на удаленный сервер оператора процессинга, контролируемый дроповодами.

    Еще одна особенность 64-битного криптовалютного трояна — использование сети анонимайзеров Tor. Программа tor.exe вызывается не напрямую, а через процесс svchost.exe, куда внедряется код tor.exe

    В системе запускается прокси-сервер на порту 9050. Таким образом, если в настройках браузера указать прокси-сервер 127.0.0.1:9050, то весь трафик пойдет через Tor. Командный сервер этой версии Zeus находится на скрытом сервере оператора процессинга egzh3ktnywjwabxb.onion.

    Более того, криптобот ZeUS на целевой машине терпилы поднимает скрытый сервис и генерирует для него уникальное доменное имя в сети Onion.

--HiddenServiceDir "%APPDATA%torhidden_service" --HiddenServicePort "1080 127.0.0.1:" --HiddenServicePort "5900 127.0.0.1:"

    Запущенный веб-сервер способен обслуживать пользователей. Зная имя хоста и порт, к машине терпилы может подключиться опреатор процессинга для удаленного управления компьютером по VNC.