← На главную

При использовании стандартного текстового обмена данными между программой «1С:Предприятие» и системами «Клиент-Банк» возникает риск перехвата и модификации файлов выгрузки платежных поручений вредоносным программным обеспечением. Разберем, как работает вирус Mezzo и аналогичные трояны, какие механизмы защиты реализованы в типовых конфигурациях 1С и какие решения позволяют полностью исключить подмену банковских реквизитов.

Принцип работы вредоносного ПО типа Mezzo

Проанализируем алгоритм атаки, которую используют вирусы для похищения денежных средств компаний:

1. Мониторинг файловой системы и процессов: Троян отслеживает появление файлов стандартного формата обмена 1CClientBankExchange во временных каталогах операционной системы и рабочих папках пользователя.
2. Подмена реквизитов: Вирус находит в структуре файла теги расчетного счета и БИК получателя и заменяет их на реквизиты подставных лиц (дропов). При этом наименование организации-получателя и сумма платежа часто остаются неизменными, чтобы не вызывать подозрений у бухгалтера.
3. Обход защиты 1С: При попытке платформы 1С применить блокировку перезаписи файла троян может принудительно завершить процесс тонкого клиента 1cv8c.exe. После сбоя программы бухгалтер видит, что 1С закрылась, однако файл выгрузки успел сохраниться на диске. Не подозревая об изменении данных, пользователь загружает подмененный файл в банковский клиент.

Встроенные механизмы защиты в типовых конфигурациях 1С

Рассмотрим, какие средства защиты от модификации файлов выгрузки предусмотрены в современных конфигурациях (например, в «1С:Бухгалтерия 8», редакция 3.0):

1. Монопольная блокировка файла: При формировании файла выгрузки обработка обмена с банком удерживает файл открытым на запись до тех пор, пока пользователь не закроет окно выгрузки в 1С. Это препятствует сторонним процессам изменять содержимое файла в данный промежуток времени.
2. Динамические имена файлов: Использование случайных или уникальных имен файлов при выгрузке вместо стандартного фиксированного наименования усложняет поиск нужного документа вредоносным ПО.
3. Контроль жизненного цикла: Окно выгрузки 1С автоматически удаляет сформированный текстовый файл с диска сразу после завершения работы с формой обмена, не оставляя копий в общедоступных каталогах.
4. Сравнение контрольных сумм: Проверка хеш-суммы файла, сформированного в 1С, с хеш-суммой файла, фактически принятого банковским клиентом, до момента финальной подписи платежей.

Важное ограничение: Если закрыть окно выгрузки в 1С раньше, чем файл будет импортирован в клиент-банк, файл удалится, и процедуру придется повторять. Если же вирус работает с правами текущего пользователя ОС и обходит блокировки на уровне системных вызовов, защита текстового файла может быть преодолена.

Переход на прямой обмен без промежуточных файлов (DirectBank)

Самым надежным решением проблемы подмены данных является полный отказ от использования промежуточных текстовых файлов. Рассмотрим альтернативные архитектурные подходы:

1. Технология 1С:DirectBank (ДиректБанк): Прямое взаимодействие между сервером 1С и сервером банка по защищенному каналу (HTTPS/TLS). Формирование, подписание электронной цифровой подписью (ЭЦП) и отправка платежных документов происходят непосредственно из интерфейса 1С без сохранения данных на жесткий диск во временных папках Temp или AppData.
2. Интегрированные защищенные системы (например, Cyber-FT): Использование специализированных модулей ДБО, которые выполняют шифрование, подписание ЭЦП и отправку пакета документов прямо на уровне сервера 1С. Вредоносный код в операционной системе пользователя не имеет возможности перехватить трафик или изменить зашифрованный пакет.

Комплексные настройки безопасности в инфраструктуре

Для предотвращения критических финансовых рисков проанализируем необходимые административные и регламентные меры:

1. Настройка политик безопасности ОС (AppLocker / Software Restriction Policies): Запретим запуск исполняемых файлов из пользовательских временных каталогов Temp и AppData, куда чаще всего внедряются модули вирусов-кликеров и троянов.
2. Правила безопасности в ДБО (Клиент-Банке):
   • Включим использование белых списков контрагентов (запрет на отправку платежей на счета, отсутствующие в предварительно утвержденном справочнике).
   • Настроим двухфакторную аутентификацию (2FA) через SMS или Push-уведомления при первом перечислении средств на новый расчетный счет или при изменении БИК банка-получателя.
3. Регламент работы бухгалтера: При проведении выплат необходимо всегда сверять банковские реквизиты (БИК и номер счета) непосредственно в окне подтверждения платежа перед вводом одноразового пароля или подписью ключом ЭЦП.