Kriminelle bruker tyupkin malware for å tømme kontanter

Cyber-kriminelle har smittet minibanker i Russland, Europa, USA, India og Kina med skadelig programvare for å tømme kontanter lagret i maskinene, sa forskere fra Kaspersky Lab denne uken.

Angripere låser opp ATM-saken, muligens med en standard hovednøkkel, og bruker en startbar CD for å infisere maskinen med Tyupkin-skadelig programvare, sa forskere fra Kaspersky Lab i et innlegg på SecureList tirsdag. Malware er designet for å godta kommandoer midt på natten søndager og mandager, og stille resten av uken, noe som gjør det vanskelig å oppdage.

Malware's path

Når skadelig programvare er lagt på minibanken, kan angripere se hvor mye penger som fortsatt er i kassettene i maskinen. Angriperen må være fysisk foran minibanken for å legge inn en spesialgenerert sekssifret PIN-kode generert av skadelig programvare for å ta ut penger. De kan ta opptil 40 regninger om gangen uten å måtte sveipe et minibank-kort eller legge inn noen kontoinformasjon, sier Kaspersky Lab. Omtrent 50 maskiner er blitt smittet på denne måten, ifølge rapporten, som var del av en felles undersøkelse med Interpol.

"En unik sekssifret kombinasjonsnøkkel basert på tilfeldige tall blir frisk generert for hver økt. Dette sikrer at ingen personer utenfor gjengen ved et uhell kunne tjene på svindelen. Da får den ondsinnede operatøren instruksjoner på telefon fra et annet medlem av gjengen som vet algoritmen og er i stand til å generere en øktnøkkel basert på antallet som vises. Dette sikrer at muldyrene som samler inn penger ikke prøver å gå alene, "ifølge blogginnlegget.

Interessant nok, hvis feil nøkkel er skrevet inn, deaktiverer skadelig programvare hele nettverket. Kaspersky-forskere var ikke sikre på hvorfor nettverket var deaktivert. Det kan være en måte å forsinke eksterne etterforskere fra å analysere skadelig programvare.

Kaspersky Lab identifiserte ikke produsenten av ATM-modellen som ble angrepet, og sa bare at maskinene kjørte 32-biters versjoner av Windows-operativsystemet. Sikkerhetseksperter har advart om at minibanker var utsatt for angrep fordi mange av dem kjører Windows XP og Microsoft ikke lenger støtter det gamle operativsystemet. Den skadelige programvaren deaktiverte også McAfee Solidcore, som gir revisjon av endringsledelse, konfigurasjonskontroll, PCI-samsvar og systemlåsing, installert på maskinene.

Minibanker i faresonen

I løpet av de siste årene har vi observert en stor uptick i ATM-angrep ved bruk av skimming-enheter og skadelig programvare, "skrev Kaspersky Lab. Skimmere er maskinvareenheter kriminelle knytter seg til kortleserne på maskinene for å lese kortinformasjonen fra magnetstripen. Når de har fått kortinformasjonen, kan de opprette klonede kort og tomme bankkontoer. Folk er mer bevisste på risikoen for minibankkere og er mer forsiktige, så cyberkriminelle måtte endre taktikken.

Nå ser vi den naturlige utviklingen av denne trusselen med at cyber-kriminelle beveger seg oppover kjeden og retter seg direkte mot finansinstitusjoner, "sa Kaspersky Lab. Finansinstitusjoner må forbedre den fysiske sikkerheten til maskinene, samt oppgradere minibankene til nyere og mer sikre operativsystemer, sa selskapet.