La un an după ce Kaspersky Lab a avertizat că infractorii cibernetici vor începe să adopte, pentru a jefui bănci, instrumentele şi tacticile folosite iniţial de grupările APT (Advanced Persistent Threats) cu sprijin statal, compania a confirmat revenirea Carbanak sub denumirea Carbanak 2.0 şi a demascat alte două grupări care operează în acelaşi stil: Metel şi GCMAN. Acestea atacă organizaţii financiare folosind metode APT şi malware personalizat, împreună cu software legitim şi metode inovatoare de a sustrage bani.

Gruparea de infractori cibernetici Metel are numeroase tehnici în repertoriu, dar este interesantă în special pentru o modalitate de operare deosebit de inteligentă: obţin control asupra aparatelor din interiorul unei bănci, care au acces la tranzacţiile cu numerar (de ex. call center-ul băncii, computerele care asigură suport tehnic) şi, astfel, gruparea poate realiza automat rollback - întreruperea tranzacţiilor la bancomat şi revenirea la stadiul anterior.

Prin rollback, balanţa pe cardurile de debit rămâne la fel, indiferent de numărul de tranzacţii făcute la bancomat. În exemplele identificate până în prezent, gruparea infracţională fură bani mergând cu maşina prin oraşe din Rusia, noaptea, şi golind bancomatele de la mai multe bănci, folosind de fiecare dată aceleaşi carduri de debit emise de banca al cărei sistem a fost afectat. Reuşesc astfel să obţină bani pe parcursul unei singure nopţi.

“În prezent, faza activă a unui atac cibernetic se scurtează. Atunci când atacatorii se perfecţionează într-un anumit mod de operare, le ia doar câteva zile sau o săptămână să obţină ce vor şi să fugă”, spune Sergey Golovanov, Principal Security Researcher la Global Research & Analysis Team, Kaspersky Lab.

În timpul investigaţiei, experţii Kaspersky Lab au descoperit că membrii Metel reuşesc să infecteze iniţial un sistem prin email-uri de phishing create special, ce au în attach documente malware, şi prin intermediul pachetului de exploit-uri Niteris, care vizează vulnerabilităţile din browser-ul victimei. Odată pătrunşi în reţea, infractorii cibernetici folosesc instrumente legitime şi teste de vulnerabilitate (pentesting) pentru a avansa, obţinând acces asupra sistemului de control al domeniului local şi, în cele din urmă, localizând şi obţinând control asupra computerelor folosite de angajaţii băncii responsabili cu procesarea cardurilor.

Grupul Metel este încă activ, iar investigaţia asupra acţiunilor lor este în derulare. Până acum, nu au fost identificate semne ale unor atacuri realizate în afara Rusiei. Totuşi, există motive de suspiciune că acţiunile lor sunt mult mai răspândite, iar băncile din toată lumea sunt sfătuite să verifice dacă nu cumva au fost infectate.

Dar ca abilităţi de a se ascunde, gruparea GCMAN merge şi mai departe: uneori poate ataca cu succes o organizaţie fără să folosească malware, doar cu instrumente legitime şi de testare a vulnerabilităţilor. În cazurile identificate de experţii Kaspersky Lab, aceştia au văzut gruparea deplasându-se în interiorul reţelei, până când atacatorii au găsit un aparat ce putea fi folosit pentru a transfera bani către servicile de monedă electronică, fără să alerteze alte sisteme bancare.

Într-unul dintre atacuri, infractorii cibernetici au rămas conectaţi la reţea timp de un an şi jumătate, înainte de a declanşa furtul. Banii au fost transferaţi în sume de aproximativ 200 de dolari, limita superioară de plăţi care pot fi efectuate anonim în Rusia. La fiecare minut, organizatorul Cron declanşa un script malware şi o altă sumă era transferată în conturi de monedă electronică aparţinând unui intermediar. Ordinele de plată erau trimise direct, fără să apară nicăieri în sistemele interne ale băncii.

Carbanak 2.0 marchează revenirea grupării APT Carbanak, cu aceleaşi instrumente şi tehnici, dar un profil diferit al victimelor şi modalităţi inovatoare de a obţine bani.

În 2015, ţintele vizate de Carbanak 2.0 nu au fost doar băncile, ci şi departamentele de buget şi contabilitate din orice organizaţie de interes. Într-unul dintre exemplele studiate de Kaspersky Lab, banda Carbanak 2.0 a pătruns într-o instituţie financiară şi a reuşit să modifice credenţialele deţinute de o mare companie. Informaţiile au fost modificate astfel încât să se refere la un intermediar al lor drept un acţionar al companiei, afişându-i ID-ul.