Hacking heist flummoxer franske banker

Bankrøveri er bare ikke, hvad det plejede at være. At skære huller i vægge, afvæbne sikkerhedskameraer, revne pengeskabe… det er sååå 1990'erne. Den moderne røver har brug for cyberfærdigheder. En Trojan med fjernadgang (RAT) er mere effektiv end en muldvarp i bankkontoret. Og hvorfor knække pengeskabet, når du kan overføre pengene trådløst? En gruppe banker og multinationale virksomheder i Frankrig blev ramt af netop denne slags high-tech heist, og Symantec har dokumenteret hele dramaet.

Det hele startede med en simpel e-mail-besked, der ledte en VP's administrative assistent til at håndtere en bestemt faktura. I betragtning af at fakturaen blev hostet uden for virksomheden på et fildelingssted, kunne administratoren have tøvet. Men få minutter senere fik den samme assistent et telefonopkald angiveligt fra en anden VP, der opfordrede hende til at fremskynde fakturaen. Hun blev narret af det falske telefonopkald og åbnede det og frigav derved en RAT i virksomhedsnetværket. Den aggressive kombination af spyd-phishing-e-mail og falske telefonopkald fangede Symantec-forskeres interesse; de gravede dybere og fandt flere og værre angreb på andre franske virksomheder.

Forsvar besejret

I et blogindlæg, der blev frigivet i dag, afslørede Symantec, hvordan angribere formåede at besejre alle et selskabs beskyttelse mod uautoriserede pengeoverførsler. Det læses virkelig som manuskriptet til en heist-film.

Til at begynde med brugte de det dobbeltformede socialtekniske angreb, der er beskrevet ovenfor for at indlæse en RAT på pc'en til en administrator's hjælpemiddel. RAT høstede virksomhedsoplysninger, herunder virksomhedens katastrofeplan og dens teleudbyderoplysninger. Ved hjælp af de stjålne oplysninger påkaldte skurkerne katastrofeplanen og hævdede en fysisk katastrofe. Dette lader dem omdirigere alle organisationens telefoner til et nyt sæt telefoner under deres kontrol.

Derefter faxede de en anmodning til selskabets bank om flere store pengeoverførsler til offshore-konti. Bankrepræsentanten opfordrede naturligvis til at bekræfte; skurkerne aflyttede opkaldet og godkendte transaktionen. Så snart pengene dukkede op på disse offshore-konti, sifonede de dem ud. Fortræd lykkedes!

Symantec opdagede ganske mange andre tilfælde, hvoraf mange var langt mindre detaljerede. For eksempel ringede en angriber blot til offeret og erklærede, at regelmæssig vedligeholdelse krævede deaktivering af to-faktor-godkendelse til pengeoverførsler midlertidigt. En anden informerede offeret om, at computeropgraderinger krævede en "test" -overførsel; "testen" kablede faktisk reelle midler til en offshore-konto. Tydeligt godtroende mennesker er det svage punkt i mange sikkerhedssystemer.

Whodunnit?

Når vi kendte til, at denne slags chikanerier fandt sted, lykkedes det Symantec-teamet at få en føring på en igangværende operation, en caper, de kaldte "Francophoned." Det lykkedes dem at spore kommando-og-kontrol-trafikken gennem Ukraine til IP-adresser med oprindelse i Israel.

Ved at analysere de anvendte IP-adresser bemærkede de to uligheder. Først kom adresserne fra en blok, der specifikt blev tildelt MiFi-kort - GSM-mobilradioer, der kan bruges til at give internetadgang via det cellulære netværk. For det andet ændrede de sig konstant, hvilket betyder, at de onde kørte rundt og passerede forskellige celletårne. Telekomet kunne ikke triangulere et bevægende mål, og MiFi-forbindelserne var tilsyneladende anonyme og forudbetalte, så der var ingen måde at fange skurkerne på.

Jeg kan ikke vente på filmversionen!