Pot fi sparte în cîteva secunde, fără a lăsa urme

Bancomatele pot fi jefuite în cîteva secunde, fără a lasă urme, prin intermediul atacurilor „fileless”, iar în spatele atacurilor încă nu se știe cine se află, a atras atenția Joi, 6 Aprilie, într-un comunicat, Kaspersky Lab (Kaspersky Lab este o companie de software care produce programe de securitate. A fost înființată în 26 Iunie 1997 de co-fondatorul Eugene Kaspersky. Are sediul central în Moscova și centrele regionale care supraveghează activitățile reprezentanților locali și partenerilor din Europa de Vest și de Est, Orientul Mijlociu, Africa, America de Nord și de Sud, regiunea Asia-Pacifică și Japonia).

"Într-o zi, angajații unei bănci au găsit un ATM gol: nu mai exista nici un ban, nici nu se vedeau urmele vreunei interacțiuni fizice cu dispozitivul sau ale vreunui program malware. După ce experții Kaspersky Lab au analizat acest caz misterios, ei au reușit să înțeleagă instrumentele infractorilor cibernetici folosite în jaf și să reproducă ei înșiși atacul, descoperind o breșă de securitate în cadrul băncii. În Februarie 2017, Kaspersky Lab a publicat rezultatele investigației asupra misterioaselor atacuri fără nici un fișier (fileless) împotriva băncilor: infractorii au folosit in-memory malware ca să infecteze rețelele băncilor", se arată în document.

Investigația a început după ce specialiștii băncii au recuperat și distribuit către Kaspersky Lab două fișiere conținînd înregistrări malware de pe hard drive-ul ATM-urilor (kl.txt și logfile.txt).

„Acestea au fost singurele fișiere rămase în urma atacului. Nu a fost posibilă recuperarea malware-ului, deoarece, după efectuarea jafului, infractorii l-au șters. Dar chiar și această cantitate infimă s-a dovedit suficientă pentru o investigație de succes. Printre fișierele-jurnal, experții în securitate cibernetică au reușit să identifice fragmente de informații în plain text care i-au ajutat să creeze o regulă Yara și să găsească o mostră. Regulile YARA – simplificat, șiruri de caractere de căutare – îi ajută pe analiști să găsească, să grupeze, să clasifice mostre de malware similare și să creeze conexiuni între ele. Acestea se bazează pe tipare de activitate suspecte în cadrul unor sisteme sau rețele ce prezintă similitudini. După o zi de așteptare, experții au găsit o mostră de malware: 'tv.dll' sau 'ATMitch', cum a fost denumită mai tîrziu. Aceasta a fost detectată de două ori: o dată în Kazahstan și o dată în Rusia”, menționează sursa citată. Programul malware este instalat de la distanță și pus în executare pe un bancomat al băncii vizate, care este administrat remote.

„După ce este instalat și conectat la ATM, malware-ul <<ATMitch>> comunică cu bancomatul ca și cum ar fi un program legitim. Acest lucru face posibil ca atacatorii să pună în aplicare o listă de comenzi, cum ar fi să colecteze informații despre numărul bancnotelor din ATM-uri. Mai mult, le permite infractorilor să retragă bani la orice oră, doar prin atingerea unui buton. În general, infractorii încep prin a afla informații despre suma de bani pe care un aparat o are. După aceasta, un infractor poate să trimită o comandă pentru a scoate orice număr de bancnote, de la orice bancomat. După ce retrag banii în acest mod, infractorii nu mai trebuie decît să îi ia și să plece. Un jaf de acest gen la un ATM durează doar cîteva secunde. O dată ce un ATM este jefuit, malware-ul îi șterge urmele”, informează specialiștii în securitate ai companiei.

Potrivit acestora, încă nu se știe cine este în spatele atacurilor. "tv.dll" conține elemente de limbă rusă, iar grupurile cunoscute care par să corespundă acestui profil sunt GCMAN și Carbanak.

„S-ar putea ca atacatorii să fie activi încă, dar nu vă îngrijorați! Combaterea acestor tipuri de atacuri necesită anumite cunoștințe din partea specialiștilor în securitate care protejează organizația vizată. O breșă reușită și extragerea informațiilor dintr-o rețea pot să fie efectuate doar cu instrumente comune și legitime. După atac, infractorii pot să șteargă toate informațiile care ar conduce la detectarea lor și să nu lase nici o urmă. Pentru a răspunde acestor probleme, analiza memoriei devine o parte critică din analiza malware-ului și a funcțiilor sale. Și, așa cum dovedește cazul nostru, un răspuns eficient la incident poate să contribuie chiar și la rezolvarea unei infracțiuni cibernetice aparent perfecte', a declarat Sergey Golovanov, principal security researcher la Kaspersky Lab.

Sursă: AGERPRES