Metel, GCMan i Carbanak 2.0 ogołacają banki z pieniędzy. Backdoor z funkcją nagrywania rozmów na Skype. Przegląd cyberbezpieczeństwa, 9.02.2016

Współczesna bankowość cyfrowa to nie tylko wygoda, ale przede wszystkim pole nieustannego starcia między instytucjami finansowymi a cyberprzestępcami. Historyczne incydenty z lutego 2016 roku, związane z grupami Metel, GCMan oraz Carbanak 2.0, stanowią do dziś jedną z najważniejszych lekcji dla sektora IT, pokazującą, jak wyrafinowane metody mogą doprowadzić do paraliżu systemów płatniczych i ogromnych strat finansowych.

Ewolucja zagrożeń bankowych

Działalność grup takich jak Carbanak 2.0 udowodniła, że hakerzy nie muszą już kraść danych kart płatniczych pojedynczych klientów, by osiągnąć swoje cele. Zamiast tego, przestępcy skupili się na bezpośrednim infiltrowaniu sieci wewnętrznych banków. Wykorzystując zaawansowane techniki socjotechniczne oraz luki w oprogramowaniu, zyskali dostęp do systemów księgowych, co pozwoliło im na manipulowanie stanami kont w czasie rzeczywistym.

Metel i GCMan: mistrzowie manipulacji

Grupa Metel zasłynęła z niezwykle precyzyjnego ataku na systemy obsługujące bankomaty. Wykorzystując skradzione poświadczenia, przestępcy byli w stanie w krótkim czasie wypłacić gotówkę w wielu lokalizacjach jednocześnie, omijając limity dzienne. Z kolei GCMan stosował strategię długoterminowej infiltracji, czekając na odpowiedni moment, by zainicjować przelewy typu SWIFT na konta kontrolowane przez grupę. Ciekawostką jest fakt, że oba zespoły wykazały się niemal korporacyjną dyscypliną w planowaniu swoich operacji.

Szpiegostwo wewnątrz sieci

Jednym z najbardziej niepokojących elementów tamtego okresu był rozwój backdoorów z funkcją nagrywania rozmów, szczególnie tych prowadzonych przez komunikator Skype. Cyberprzestępcy nie tylko kradli pieniądze, ale również prowadzili aktywne rozpoznanie, podsłuchując menedżerów wyższego szczebla oraz administratorów systemów IT. Pozwalało to na:

• Pozyskiwanie haseł do krytycznych systemów bankowych.
• Monitorowanie reakcji działów bezpieczeństwa na incydenty.
• Budowanie bazy wiedzy o wewnętrznych procedurach instytucji.

Lekcje dla współczesnego bezpieczeństwa

Analiza tych ataków prowadzi do wniosku, że bezpieczeństwo to proces ciągły, a nie jednorazowe wdrożenie zabezpieczeń. Firmy muszą dzisiaj wdrażać wielopoziomowe systemy ochrony, które obejmują:

1. Regularne audyty bezpieczeństwa sieci wewnętrznej.
2. Edukację pracowników w zakresie rozpoznawania prób phishingu.
3. Izolację systemów finansowych od sieci ogólnego dostępu.
4. Stosowanie zaawansowanych rozwiązań klasy Endpoint Detection and Response (EDR).

Warto pamiętać, że nawet najlepiej zabezpieczony system jest tak silny, jak jego najsłabsze ogniwo. Świadomość zagrożeń oraz szybka reakcja na anomalie w ruchu sieciowym pozostają naszym najlepszym sprzymierzeńcem w świecie, gdzie cyfrowe włamania stają się coraz bardziej wyrafinowane.