Kaspersky Lab dă alarma cu privire la un nou val de atacuri ce vizează instituţiile bancare

Atacurile de tip Carbanak sunt operaţiuni demne de filmele cu gangsteri în care grupări de infractori călătoresc prin oraşe, noaptea, sustrăgând bani direct din bancomatele instituţiilor bancare fără ca tranzacţiile să fie înregistrate.

La un an după ce Kaspersky Lab a avertizat că infractorii cibernetici vor începe să adopte, pentru a jefui bănci, instrumentele şi tacticile folosite iniţial de grupările APT (Advanced Persistent Threats) cu sprijin statal, compania a confirmat revenirea Carbanak sub denumirea Carbanak 2.0 şi a demascat alte două grupări care operează în acelaşi stil: Metel şi GCMAN. Acestea atacă organizaţii financiare folosind metode APT şi malware personalizat, împreună cu software legitim şi metode inovatoare de a sustrage bani.

Gruparea de infractori cibernetici Metel are numeroase tehnici în repertoriu, dar este interesantă în special pentru o modalitate de operare deosebit de inteligentă: obţin control asupra aparatelor din interiorul unei bănci, care au acces la tranzacţiile cu numerar (de ex. call center-ul băncii, computerele care asigură suport tehnic) şi, astfel, gruparea poate realiza automat rollback – întreruperea tranzacţiilor la bancomat şi revenirea la stadiul anterior.

Prin rollback, balanţa pe cardurile de debit rămâne la fel, indiferent de numărul de tranzacţii făcute la bancomat. În exemplele identificate până în prezent, gruparea infracţională fură bani mergând cu maşina prin oraşe din Rusia, noaptea, şi golind bancomatele de la mai multe bănci, folosind de fiecare dată aceleaşi carduri de debit emise de banca al cărei sistem a fost afectat. Reuşesc astfel să obţină bani pe parcursul unei singure nopţi.

“În prezent, faza activă a unui atac cibernetic se scurtează. Atunci când atacatorii se perfecţionează într-un anumit mod de operare, le ia doar câteva zile sau o săptămână să obţină ce vor şi să fugă”, spune Sergey Golovanov, Principal Security Researcher la Global Research & Analysis Team, Kaspersky Lab.

În timpul investigaţiei, experţii Kaspersky Lab au descoperit că membrii Metel reuşesc să infecteze iniţial un sistem prin email-uri de phishing create special, ce au în attach documente malware, şi prin intermediul pachetului de exploit-uri Niteris, care vizează vulnerabilităţile din browser-ul victimei. Odată pătrunşi în reţea, infractorii cibernetici folosesc instrumente legitime şi teste de vulnerabilitate (pentesting) pentru a avansa, obţinând acces asupra sistemului de control al domeniului local şi, în cele din urmă, localizând şi obţinând control asupra computerelor folosite de angajaţii băncii responsabili cu procesarea cardurilor.

Grupul Metel este încă activ, iar investigaţia asupra acţiunilor lor este în derulare. Până acum, nu au fost identificate semne ale unor atacuri realizate în afara Rusiei. Totuşi, există motive de suspiciune că acţiunile lor sunt mult mai răspândite, iar băncile din toată lumea sunt sfătuite să verifice dacă nu cumva au fost infectate.

Toate cele trei grupări identificate îşi schimbă metodele de acţiune, recurgând la programe malware şi software legitim în operaţiunile lor frauduloase. Filosofia lor e simplă: de ce să scrii o mulţime de instrumente malware personalizate, atunci când metodele legitime pot fi la fel de eficiente şi, în plus, declanşează mult mai puţine semnale de alarmă.

Dar ca abilităţi de a se ascunde, gruparea GCMAN merge şi mai departe: uneori poate ataca cu succes o organizaţie fără să folosească malware, doar cu instrumente legitime şi de testare a vulnerabilităţilor. În cazurile identificate de experţii Kaspersky Lab, aceştia au văzut gruparea deplasându-se în interiorul reţelei, până când atacatorii au găsit un aparat ce putea fi folosit pentru a transfera bani către servicile de monedă electronică, fără să alerteze alte sisteme bancare.

Într-unul dintre atacuri, infractorii cibernetici au rămas conectaţi la reţea timp de un an şi jumătate, înainte de a declanşa furtul. Banii au fost transferaţi în sume de aproximativ 200 de dolari, limita superioară de plăţi care pot fi efectuate anonim în Rusia. La fiecare minut, organizatorul Cron declanşa un script malware şi o altă sumă era transferată în conturi de monedă electronică aparţinând unui intermediar. Ordinele de plată erau trimise direct, fără să apară nicăieri în sistemele interne ale băncii.

În fine, Carbanak 2.0 marchează revenirea grupării APT Carbanak, cu aceleaşi instrumente şi tehnici, dar un profil diferit al victimelor şi modalităţi inovatoare de a obţine bani.

În 2015, ţintele vizate de Carbanak 2.0 nu au fost doar băncile, ci şi departamentele de buget şi contabilitate din orice organizaţie de interes. Într-unul dintre exemplele studiate de Kaspersky Lab, banda Carbanak 2.0 a pătruns într-o instituţie financiară şi a reuşit să modifice credenţialele deţinute de o mare companie. Informaţiile au fost modificate astfel încât să se refere la un intermediar al lor drept un acţionar al companiei, afişându-i ID-ul.

“Atacurile asupra instituţiilor financiare descoperite în 2015 indică o tendinţă îngrijorătoare a infractorilor cibernetici de a adopta stilul atacurilor de tip APT. Banda Carbanak a fost doar prima dintre multe: infractorii învaţă repede acum cum să folosească noi tehnici în activitatea lor, şi vedem cum multe dintre ele nu mai atacă utilizatorii, ci direct băncile. Logica lor e simplă: acolo sunt banii”, avertizează Serghey Golovanov. “Noi vrem să arătăm cum şi unde, mai exact, ar putea lovi aceşti actori ai ameninţărilor pentru a lua banii. Mă aştept ca după ce aţi auzit de atacurile GCMAN, să verificaţi cum vă sunt protejate serverele de internet banking. În acelaşi timp, în cazul Carbanak recomandăm protejarea bazelor de date care conţin informaţii despre titularii de cont, nu doar extrasele lor de cont.”

Produsele Kaspersky Lab detectează cu succes şi blochează programele malware folosite de grupările Carbanak 2.0, Metel şi GCMAN. Compania oferă, de asemenea, indicatori cruciali despre compromiterea sistemului (IOC – Indicators of Compromise) şi alte date pentru a ajuta organizaţiile să caute urme ale acestor grupări de atac în reţelele companiei.