Gehackte Finanzinstitute: Kriminelle greifen die Infrastruktur von Banken an

Eine russische Gruppe von Cyberkriminellen raubt in großem Stil Banken aus - mit Malware, Bankkarte und viel Laufeinsatz. Neu ist, dass nicht mehr nur die Konten einzelner Kunden kompromittiert werden, sondern die Infrastruktur selbst.

Artikel veröffentlicht am 9. Februar 2016, 17:24 Uhr, Hauke Gierow

Kriminelle greifen vermehrt die Infrastruktur von Banken an. (Bild: Kaspersky)

Geld aus dem Automaten ziehen - und der Kontostand verändert sich nicht. Was sich wohl viele schon einmal insgeheim gewünscht haben, gelingt einer russischen Gruppe von Cyberkriminellen offenbar, wie die Sicherheitsfirma Kaspersky schreibt.

Neu ist, dass die Banden nicht mehr nur versuchen, über Trojaner und Spear-Phishing die Konten einzelner Kunden anzugreifen, sondern gezielt die Infrastruktur von Banken manipulieren. Die Metel-Gruppe nutzt dafür Schwachstellen im Browser, um Tools wie das Niteris-Exploit-Kit auf die Rechner von Bankangestellten aufzuspielen. Außerdem wird mit Spear-Phishing Malware auf die Rechner von Bankangestellten aufgespielt.

Von dort versuchen die kriminellen Gruppen dann, Zugriff auf weitere Systeme in der Bank zu erlangen, um die späteren Angriffe zu ermöglichen. Denn letztlich gelingt es ihnen, Geld von den Automaten abzuheben, ohne dass nachher der Kontostand sinkt. Dabei nutzen die Banden manipulierte Karten einer kompromittierten Bank, die sie dann an Automaten einer anderen Bank einsetzen. Die Malware sorgt dafür, dass das tägliche Abhebungslimit der Karten umgangen wird. Auf diese Art und Weise sollen die Banden in mehreren russischen Städten nachts mehrere Geldautomaten verschiedener Banken geleert haben.

Angriffe bislang nur in Russland

"Heutzutage werden die aktiven Phasen einer Cyberattacke immer kürzer. Sobald die Angreifer im Einsatz einer bestimmten Methode genügend geübt sind, benötigen sie nur wenige Tage, um sich das zu nehmen, was sie wollen und dann zu verschwinden", kommentiert Sergey Golovanov, Principal Security Researcher beim Global Research & Analysis Team von Kaspersky Lab. Die Angriffe der Metel-Gruppe wurden bislang nur in Russland festgestellt.

Eine weitere Bande mit dem Namen Gcman nutzt verschiedene elektronische Zahlungsdienste, um sich illegal Überweisungen zukommen zu lassen. Dazu verwenden die Kriminellen nach Angaben von Kaspersky in manchen Fällen noch nicht einmal Malware, sondern kommen mit ganz normalen Pentesting-Tools wie Putty, VNC und Meterpreter aus. In einem Fall soll die Gruppe ein Banknetzwerk über mehr als eineinhalb Jahre infiltriert haben, bevor sie die ersten Überweisungen tätigte. Die Überweisungen hatten jeweils einen Betrag von 200 Euro - die Grenze für anonyme Überweisungen in Russland. Die Zahlungsaufträge gingen nicht über einzelne Konten, sondern wurden direkt an den "Upstream Payment Gateway" geschickt und dort ausgeführt.

Am längsten im Geschäft ist die sogenannte Carbanak-Gruppe. Sie greift mittlerweile nicht mehr nur Banken an, sondern nimmt auch die Buchhaltungsabteilungen von Unternehmen ins Visier. Bei einem Finanzinstitut soll die Gruppe auf diese Weise Informationen über die Eigentümerverhältnisse eines großen Unternehmens geändert haben. Der Name eines Money Mules wurde dabei als Miteigentümer eingetragen.

Außerdem soll die Gruppe eine Technik entwickelt haben, um Geldautomaten dazu zu bewegen, zu einer vorbestimmten Zeit Geld auszuwerfen, ohne dass eine Transaktion getätigt wurde.

Kaspersky empfiehlt, wenig überraschend, den Einsatz von Virenscannern, um die Infrastruktur abzusichern. Doch eigentlich gibt es gerade im Finanzbereich zahlreiche Standards, die recht gute Sicherheitsmechanismen vorsehen (zum Beispiel das EMV-Verfahren), aber von den Geldhäusern mangelhaft implementiert werden, um Kosten zu sparen. Durch die weltweit vernetzten Zahlungssysteme können aber auch Sicherheitslücken oder mangelnde Identitätschecks ausländischer Banken zum Problem für deutsche Kunden werden.