Carbanak: Der größte Online-Bankraub aller Zeiten

Wie die Security-Experten von Kaspersky Lab berichteten, haben sie gemeinsam mit Europol und Institutionen verschiedener Länder einen bislang beispiellosen "Cyber-Bankraub" aufgedeckt. Innerhalb von knapp zwei Jahren soll ungefähr hundert Finanzinstituten rund um den Globus bis zu eine Milliarde Dollar gestohlen worden sein. Laut den Experten steckt dahinter eine internationale Gang von Cyberkriminellen aus Russland, der Ukraine, Teilen Europas sowie China. Die so genannte "Carbanak"-Gang nutzte für die Cyberüberfälle verschiedene zielgerichtete Attacken. Damit beginnt eine neue Phase in der Entwicklung der Cyberkriminalität: Das Geld wird direkt von vermeintlich gut gesicherten Banken, anstatt von "unvorbereiteten" Heimanwendern gestohlen. [...]

„Diese Attacken unterstreichen wieder einmal, dass Kriminelle jede Schwachstelle in jedem System ausnutzen werden. Klar wird zudem: Es gibt keine Branche, die immun gegen Attacken ist. Sicherheitsabläufe müssen ständig überprüft werden. Das Identifizieren von neuen Trends im Bereich Cyberkriminalität ist ein Schlüsselbereich, in dem INTERPOL mit Kaspersky Lab zusammenarbeitet, um sowohl den öffentlichen als auch den privaten Sektor beim Schutz vor aufkommenden Gefahren besser helfen zu können“, sagt Sanjay Virmani, Director des INTERPOL Digital Crime Centre.

Kaspersky Lab rät allen Finanzorganisationen dazu, ihre Netzwerke sorgfältig nach einer Präsenz von Carbanak zu prüfen. Als Indizien für das Eindringen nennt Kaspersky:

• Dateien mit der Extension .bin in den Dateipfaden „All users%AppData%Mozilla“ oder “ c:ProgramDataMozilla“
• Die Datei svchost.exe im Ordner „WindowsSystem32com catalogue“ bzw. bei 64-bit-Installationen „WindowsSyswow64com catalogue“
• Bei den aktiven Windows Services taucht ein Service mit der Endung „-sys“ auf, der bis auf die Endung mit einem anderen, legitimen Service namentlich übereinstimmt (Beispiel: Sie finden in der Liste der Services einen laufenden Service namens „aspnetsys“, während der legitime Service „aspnet“ ebenfalls aktiv ist)

Bei einem Fund sollten umgehend die Strafverfolgungsbehörden eingeschaltet werden, rät Kaspersky Labs.

SECURITY-VERANTWORTLICHE MÜSSEN UMDENKEN
Laut RadarServices wäre es an der Zeit, dass IT-Sicherheitsverantwortliche umdenken. Gefahrenabwehrmaßnahmen könnten immer lückenhaft sein. Der Fokus der Sicherheitsmaßnahmen müsse dewegen hin zur zeitnahen Aufdeckung eines erfolgreichen Angriffs gelegt werden. Eine kontinuierliche Gesamtüberwachung der IT-Infrastruktur der Bank wäre demnach das A und O, vor allem in Bezug auf Einfallstore für Schadsoftware und Kommunikationskanäle über Unternehmensgrenzen hinweg. Das Prüfen eingehender E-Mails nach dem modernsten Stand der Technik, beispielsweise mittels neuester Sandbox-Technologien, die nicht nur APTs und Zero-Day-Exploits, sondern auch komplexe Malware entdecken, ist da erst der Anfang. Richtig konfigurierte Intrusion Detection Systeme, ein umfangreiches Security Monitoring aller Systeme, des Datenverkehrs und der Zugriffe auf sensible Systeme und Dateien gehört ebenfalls dazu.

Schlussendlich sollten Logs der einzelnen Systeme laufend analysiert und korreliert werden. Angreifer versuchen – wie im aktuellen Fall – ihre Bewegungen im Netzwerk so normal wie möglich aussehen zu lassen. Dennoch könnten zum Beispiel Logins von einem Benutzer auf mehreren Systemen von unterschiedlichen IPs zur gleichen Zeit verdächtig sein. Alle Logs von Servern, Netzwerkgeräten, Applikationen und anderen zentralen Einrichtungen müssen daher zentral analysiert und mit den Erkenntnissen aus den IDS korreliert werden.
 

„Wir sehen keine Möglichkeit, Angriffe auf Banken zu verhindern. Aber eine drastische Schadensminimierung durch eine umfassende und effektive IT-Sicherheitsüberwachung und -Risikoerkennung gemeinsam mit einem strukturierten Behebungsprozess macht die Aufgabe lösbar. Je mehr Banken ihren Fokus auf das zeitnahe Erkennen von tatsächlichen IT-Risiken statt auf die Abwehr ‚fiktiver‘ Gefahren richten, desto effizienter und zielgerichteter setzen sie ihre Ressourcen ein und desto mehr Schaden begrenzen sie im Angriffsfall“, so RadarServices-CSO Polster abschließend. (pi/rnf)