Hacking heist flummoxer franske banker

Bankran er bare ikke slik det pleide å være. Å kutte hull i vegger, deaktivere sikkerhetskameraer, sprekke safer… det er sååå 1990-tall. Den moderne raneren trenger cyberferdigheter. En ekstern tilgang Trojan (RAT) er mer effektiv enn en føflekk i bankkontoret. Og hvorfor knekke safen når du kan overføre pengene trådløst? En gruppe banker og multinasjonale selskaper i Frankrike ble rammet av akkurat denne typen høyteknologiske heist, og Symantec har dokumentert hele dramaet.

Det hele startet med en enkel e-postmelding som ledet en VPs administrative assistent til å håndtere en bestemt faktura. Gitt at fakturaen ble arrangert utenfor selskapet, på et fildelingssted, kunne administratoren ha nølt. Imidlertid fikk minutter senere den samme assistenten en telefon påstått fra en annen VP som oppfordret henne til å fremskynde fakturaen. Hun ble tullet av den uredelige telefonsamtalen, og åpnet den for derved å slippe en RAT i selskapets nettverk. Den aggressive kombinasjonen av spydfiskende e-post og falske telefonsamtaler fanget Symantec-forskernes interesse; de gravde dypere og fant flere og verre angrep på andre franske selskaper.

Forsvar beseiret

I et blogginnlegg som ble utgitt i dag, avslørte Symantec hvordan angripere klarte å beseire alle selskapets beskyttelse mot uautoriserte pengeoverføringer. Den leser virkelig som manuset til en heist-film.

Til å begynne med brukte de det dobbeltstrengte sosialtekniske angrepet beskrevet ovenfor for å laste en RAT på PC-en til en administratorhjelp. RAT høstet selskapsinformasjon, inkludert selskapets katastrofeplan og dets teleoperatørdetaljer. Ved hjelp av den stjålne informasjonen påkalte skurkene katastrofeplanen og påsto en fysisk katastrofe. Dette lar dem omdirigere alle organisasjonens telefoner til et nytt sett med telefoner under deres kontroll.

Neste faks de en forespørsel til selskapets bank om flere store fondoverføringer til offshore-kontoer. Naturligvis ringte bankrepresentanten for å bekrefte; kjeltringene avskjærte samtalen og godkjente transaksjonen. Så snart pengene dukket opp på disse offshore-kontoene, sifonet de ut. Ondskap klarte det!

Symantec oppdaget ganske mange andre tilfeller, mange av dem langt mindre detaljerte. For eksempel ringte en angriper ganske enkelt offeret og uttalte at regelmessig vedlikehold krevde å deaktivere tofaktorautentisering for midlertidig overføring av midler. En annen informerte offeret om at datamaskinoppgraderinger krevde en "test" overføring av midler; "testen" koblet faktisk reelle midler til en offshore-konto. Klart godtroende mennesker er svakhetspunktet i mange sikkerhetssystemer.

Whodunnit?

Når vi visste at denne typen chicanery fant sted, klarte Symantec-teamet å få ledelsen på en prosess i gang, en kapers de kalte "Francophoned." De klarte å spore kommando-og-kontroll-trafikken gjennom Ukraina til IP-adresser med opprinnelse i Israel.

Ved å analysere IP-adressene som ble brukt, merket de to oddititeter. Først kom adressene fra en blokk spesifikt tildelt MiFi-kort - GSM-mobilradioer som kan brukes til å gi Internett-tilgang via mobilnettet. For det andre var de i stadig endring, noe som betyr at skurkene kjørte rundt og passerte forskjellige celletårn. Telekomet kunne ikke trekke et mål i bevegelse, og MiFi-forbindelsene var tilsynelatende anonyme og forhåndsbetalte, så det var ingen måte å fange skurkene på.

Jeg kan ikke vente på filmversjonen!