A Kaspersky Lab kutatói egy célzott támadás egyértelmű nyomait fedezték fel, amely egy nagy európai bank ügyfeleit célozta. A támadók szerverein talált naplók szerint egyértelmű, hogy mindössze egy hét leforgása alatt a csoport több mint félmillió eurót lopott a bank számlatulajdonosaitól. A kampány első jeleit január 20-án fedezték fel, amikor is a vállalat szakértői egy C&C szervert azonosítottak a neten. A szerver kezelőpanelja mutatta meg egy trójai program egyértelmű nyomait, amely az érintett bank ügyfeleinek bankszámláját célozta.
Félmillió eurót nyúltak le
| A Kaspersky nem árulta el, hogy melyik bank ügyfeleit lopták meg, vagy azt, hogy miért hozzák nyilvánosságra az esetet 6 hónap elteltével. Annyit lehet tudni, hogy olaszországi és török internetbanki ügyfelek jártak pórul. |
A szakértők tranzakciós naplókat is azonosítottak a szerveren, amelyek tartalmazzák, hogy mely számlákról mekkora összegeket loptak el. Összességében több mint 190 áldozatot lehetett azonosítani, akik főleg olasz és török állampolgárok. Az ellopott összegek 1700 és 39 000 euró között mozognak.
A kampány legalább már egy hete zajlott, amikor a C&C szervert felfedezték. Ezalatt a bűnözők több mint 500 000 eurót (forintban ez bő 150 millió) loptak el. Két nappal az után, hogy a szervert felfedezték, a bűnözők eltávolítottak minden bizonyítékot, amelyekkel nyomon lehetett volna őket követni. Azonban a szakértők szerint ez valószínűleg a rosszindulatú kampány informatikai infrastruktúrájában eszközölt változtatásokra utal, nem pedig - a forráskódban talált név alapján - a "Luuuk" névre keresztelt akció végét jelzi.
A trükk: hogyan jutottak hozzá az ellopott pénzhez?
A Luuuk esetében a szakértők szerint a fontos pénzügyi adatokat automatikusan fogták el, és a kétes ügyleteket azonnal végrehajtották, mihelyt az áldozatok bejelentkeztek online bankszámlájukra.
A Luuuk a gyanútlan áldozatok felhasználónevét, jelszavát és egyszerhasználatos passcode-ját szerezte meg. Mivel ez utóbbiak néhány perc után érvényességüket vesztik, viszonylag gyorsan be is léptek az ügyfél számlájára az adatokkal. Ezután leellenőrizték a számlaegyenleget, majd több tranzakciót is indítottak, valószínűleg egyidejűleg a valós internetbanki tevékenységgel.
Az ellopott pénzek nagyon érdekes és szokatlan módon jutottak el a bűnözők számláira. Szakértők rábukkantak a bűnszövetkezet angolul money mule-nak nevezett közvetítőire, akiknek számláira átutalták a lopott összegeket, és akik ATM-ken keresztül kivették a pénzt. Bizonyítékokat találtak több közvetítői csoportról, amelyekhez különböző összegek voltak hozzárendelve. Az egyik csoport a 40 és 50 000 euró közötti összegek kezeléséért volt a felelős, míg a másik a 15 és 20 000 euró közötti összegekért, végül a harmadik a 2000 euró alatti összegekért.
„A kezelt pénzösszegek nagyságában mutatkozó különbségek arra utalnak, hogy egyesekben jobban megbíztak az akció vezetői, mint másokban. Tudjuk, hogy a bűnözők gyakran átverik egymást, és előfordulhat, hogy lelépnek a pénzzel. A Luuuk vezetői is ezeket a veszteségeket próbálták minimalizálni a különböző csoportok létrehozásával.” – kommentálta a kutatás eredményeit Vicente Diaz.
Nincs még vége
A Luuuk C&C szerverét röviddel a vizsgálat megkezdése után leállították. Azonban a komplex kivitelezés miatt a szakértők úgy gondolják, hogy a támadók folytatják tevékenységüket újabb és újabb áldozatok után kutatva.
Orbán Viktor és Alekszandar Vucsics szerb köztársasági elnök telefonon egyeztettek szombaton – azt nem tudni, hogy a NIS felvásárlása is szóba került-e. 
