Νέο είδος κυβερνοεπιθέσεων στις τράπεζες

Από το 2017 μέχρι και σήμερα, οι ειδικοί της Kaspersky Lab συμμετείχαν στην αντιμετώπιση περιστατικών που ακολούθησαν μια σειρά ψηφιακών ληστειών με στόχο χρηματοπιστωτικούς οργανισμούς στην Ανατολική Ευρώπη.

Σε όλες τις περιπτώσεις το εταιρικό δίκτυο παραβιάστηκε μέσω μιας άγνωστης συσκευής που ελεγχόταν από τους επιτιθέμενους και η οποία είχε εισαχθεί σε ένα κτήριο της εταιρείας και είχε συνδεθεί με το δίκτυο. Μέχρι σήμερα, τουλάχιστον οκτώ τράπεζες στην περιοχή έχουν δεχτεί επίθεση με αυτόν τον τρόπο, με εκτιμώμενες απώλειες να ξεπερνούν τα δεκάδες εκατομμύρια δολάρια.

Οι επιτιθέμενοι χρησιμοποίησαν τρεις τύπους συσκευών: έναν φορητό υπολογιστή, ένα Raspberry Pi (μικρός υπολογιστής σε μέγεθος πιστωτικής κάρτας) ή ένα Bash Bunny (ένα ειδικά σχεδιασμένο εργαλείο για αυτοματοποίηση και πραγματοποίηση USB επιθέσεων), εξοπλισμένες με ένα GPRS, ή LTE-modem που επέτρεπαν στους εισβολείς να διεισδύσουν από απόσταση στο εταιρικό δίκτυο του χρηματοπιστωτικού οργανισμού.

Μόλις δημιουργούνταν η σύνδεση, οι ψηφιακοί εγκληματίες προσπαθούσαν να αποκτήσουν πρόσβαση στους διαδικτυακούς servers για να κλέψουν τα δεδομένα που χρειάζονταν για να εκτελέσουν το πρωτόκολλο απομακρυσμένης εργασίας (RDP) σε επιλεγμένο υπολογιστή και στη συνέχεια να αποσπάσουν χρήματα ή δεδομένα. Αυτή η fileless μέθοδος επίθεσης περιελάμβανε τη χρήση εργαλείων απομακρυσμένης εκτέλεσης Impacket, winexesvc.exe ή psexec.exe. Στο τελευταίο στάδιο, οι επιτιθέμενοι χρησιμοποίησαν λογισμικό απομακρυσμένου ελέγχου για να διατηρήσουν πρόσβαση στον “μολυσμένο” υπολογιστή.

«Κατά τη διάρκεια του τελευταίου ενάμιση χρόνου, παρατηρούμε ένα εντελώς νέο είδος επιθέσεων στις τράπεζες, πολύ εξελιγμένες και πολύπλοκες όσον αφορά στην ανίχνευση. Το σημείο εισόδου στο εταιρικό δίκτυο παρέμεινε άγνωστο για μεγάλο χρονικό διάστημα, καθώς θα μπορούσε να βρίσκεται σε οποιοδήποτε γραφείο σε οποιαδήποτε περιοχή. Αυτές οι άγνωστες συσκευές, που εισάγονται λαθραία και κρύβονται στο δίκτυο από τους εισβολείς, δεν μπορούσαν να βρεθούν εξ αποστάσεως. Επιπλέον, ο φορέας απειλής χρησιμοποίησε νόμιμες υπηρεσίες κοινής ωφέλειας, οι οποίες περιπλέκουν ακόμη περισσότερο την απόκριση περιστατικού», δήλωσε ο Sergey Golovanov, ειδικός ασφαλείας στην Kaspersky Lab.