Des cybercriminels faisant partie d'un groupe de piratage notoire ont attaqué la Banque PIR de Russie et volé 1 million de dollars. Le piratage a été effectué après avoir infiltré les systèmes de la banque en compromettant un vieux routeur obsolète. Le routeur a été installé dans l'une des succursales régionales de la banque. L'argent a été volé via l'Automated Workstation Client (AWC) de la Banque centrale de Russie le 3 juillet. Tout comme Swift, AWC est un système de transfert de fonds interbancaire. Le montant volé a été transféré sur 17 comptes dans les principales banques russes et a déjà été retiré.
Après avoir retiré le montant, les cyber-escrocs ont veillé à ce que le réseau de la banque reste compromis afin de mener d'autres attaques. Cependant, la faille a été détectée et l'équipe d'enquêteurs médico-légaux de Moscou a été engagée par la banque pour enquêter sur l'attaque. Il faut noter que l'attaque de piratage s'est produite cinq semaines après que le groupe de piratage a d'abord acquis l'accès au réseau de la banque.
Tu vois : Les principales banques russes sont victimes d'attaques DDoS puissantes
Selon le journal Kommersant, environ 910 000 $ ont été volés par des pirates informatiques, qui feraient partie d'un groupe appelé MoneyTaker. Les chercheurs en sécurité du laboratoire médico-légal de Group-IB, qui ont rendu compte de ce groupe pour la première fois en novembre 2017, déclarent que ses membres ont mené à ce jour 20 attaques réussies contre diverses institutions financières et cabinets d'avocats en Russie, aux États-Unis et au Royaume-Uni.
Grâce aux hacks, le groupe a récolté 14 millions de dollars. 16 de ces attaques ont été lancées contre des cibles basées aux États-Unis, cinq attaques contre des banques en Russie et une contre une société de logiciels bancaires basée au Royaume-Uni. Le groupe IB déclare que ce groupe particulier est l'une des "principales menaces pour les banques du monde entier".
Group-IB a été capable de traquer MoneyTaker malgré le fait que le groupe est très habile à dissimuler ses actes malveillants. Les chercheurs du Groupe IB ont réussi à identifier l'implication de MoneyTaker en évaluant la similitude des techniques, tactiques et procédures utilisées dans les campagnes. Il a été remarqué que lorsque les pirates obtiennent l'accès à un réseau ciblé, les membres passent des mois à essayer d'obtenir des privilèges système élevés afin d'atteindre le niveau d'administrateur de domaine et de rester actifs au sein du réseau piraté bien avant de lancer l'attaque.
Lors de la récente attaque contre la PIR Bank of Russia, MoneyTaker a utilisé des outils et des adresses IP similaires à ceux qu'il avait utilisés auparavant pour attaquer d'autres banques. Le groupe de pirates utilise également des logiciels malveillants personnalisés, y compris MoneyTaker v5.0, qui est un logiciel malveillant sans fichier et qui n'existe que dans la mémoire de l'ordinateur et non sur le disque dur.
Le chef du groupe Valeriy Baulin déclare :
Ce n'est pas la première attaque réussie contre une banque russe avec retrait d'argent depuis le début de 2018. Nous avons connaissance d'au moins trois incidents similaires, mais nous ne pouvons divulguer aucun détail avant la fin de nos enquêtes. Un incident survenu en 2016, lorsque les pirates informatiques de МoneyTaker ont retiré environ 2 millions de dollars en utilisant leur propre programme éponyme, reste l'une des plus grandes attaques de ce type.
Ken Hosac, vice-président de IoT Strategy & Business Development chez Cradlepoint, a également commenté la brèche et l'a déclaré :
"Les réseaux définis par logiciel (SDN) permettent aux dispositifs IoT, tels que les routeurs, d'être déployés sur un réseau complètement séparé (virtuellement) qui est invisible pour le monde extérieur. Les réseaux traditionnels utilisent un modèle "connect first, authentifier second" qui permet aux pirates d'analyser les réseaux à la recherche de périphériques et de leurs ports à l'aide d'outils de piratage courants. Ces mêmes outils de piratage sont ensuite utilisés pour vaincre l'authentification."
"L'un des principaux avantages du SDN est le modèle "authentifier d'abord, connecter ensuite". Ces réseaux sont totalement invisibles et inaccessibles à moins que les dispositifs d'IdO de l'organisation ne soient d'abord correctement authentifiés. Cela signifie qu'il est beaucoup plus difficile pour les routeurs d'être exploités par des pirates informatiques ", explique Hosac.
Il faut noter que la Russie n'est pas la seule cible de MoneyTaker, l'année dernière, il a été signalé que le groupe a également ciblé les banques aux États-Unis. En moyenne, MoneyTaker a volé 3 millions de dollars à trois institutions financières russes alors qu'une somme de 500 000 dollars a été volée à des banques aux États-Unis. Mais, le groupe ne se limite pas à l'argent ou au secteur bancaire, en fait, MoneyTaker a également ciblé les fournisseurs de logiciels financiers et les cabinets d'avocats.
Source : https://www.hackread.com/hackers-attack-russian-bank-to-steal-1m-using-an-outdated-router/
