„Atacurile investigate s-au desfăşurat prin campanii de phishing trimise către bănci din Europa de Est şi Rusia, în general în prima parte a săptămânilor, în intervalul luni-miercuri”, spune Liviu Arsene, specialist în securitate informatică la Bitdefender.

Din martie 2018, campania de phishing încerca să păcălească angajaţii băncilor să dea click pe linkuri infectate sau să descarce fişiere din mailuri trimise aparent de către cineva din organizaţia unde lucrau. După ce atacatorii ajungeau pe calculatorul vizat, ei căutau să obţină privilegii de administrator pentru a se putea infiltra prin reţeaua companiei. Criminalii informatici operau cu precizie chirurgicală, de aceea infectau doar un număr mic de dispozitive, astfel încât să rămână nedectaţi cât mai mult timp posibil. Victimele ideale erau angajaţii cu privilegii înalte şi drepturi de acces extinse în infrastructura informatică a companiei.

Pentru a evita depistarea, gruparea criminală folosea adeseori tehnici de atac fără fişier, precum scripturile PowerShell sau Cobalt Strike, dar şi aplicaţii legitime folosite frecvent pentru conectarea şi administrarea de la distanţă a terminalului victimei. În acest caz, atacatorii operau în afara orelor de lucru şi plănuiau să obţină banii la sfârşit de săptămână.

Recentul avertisment al FBI, generat de atacul asupra băncii indiene Cosmos, conform căruia un val de atacuri cibernetice ar putea ţinti instituţii financiar-bancare, se coroborează cu descoperirile recente ale Bitdefender, care ridică nivelul de alertă pentru băncile din Europa de Est şi Rusia.

  Modul de lucru preferat din faza finală a acestor atacuri implica instruirea de la distanţă a bancomatelor să elibereze numerar la un moment predefinit, iar membri ai grupului infracţional colectau imediat sumele de bani şi să le transfere în conturi proprii. O altă metodă era să modifice bazele de date cu informaţii despre conturi cât timp aceştia retrăgeau bani.