Bankernes internationale identifikationssystem angribes

Kaspersky Lab har – sammen med en række sikkerhedsvirksomheder – brugt det seneste år på at gennemanalysere et hackerangreb, som sidste år resulterede i, at centralbanken i Bangladesh mistede 81. mio. dollars

Angrebet i Bangladesh bliver set som et af de største, mest succesfulde cyber heist nogensinde. Det var bemærkelsesværdigt, fordi det lykkedes hackere at bryde ind i bankernes internationale hovedpulsåre – SWIFT – som er et system, der internationalt bruges til at identificere banker og sende overførselsinstrukser.

Analyserne af angrebet har vist, at det formentlig var hackergruppen Lazarus, der stod bag. Gruppen er berygtet for cyberspionage og -sabotage. De står bag angreb på produktionsvirksomheder, medier og finansielle institutioner i mindst 18 lande siden 2009, og de kan slå til igen når som helst.

- Der er ingen grund til at tro, at de ikke slår til igen – eller at de ikke allerede er i gang. Lazarus har i flere tilfælde inficeret ofrenes netværk, længe før det reelle angreb er blevet udført. Vi ved også, at Lazarus bruger mange ressourcer på at investere i nye varianter af deres malware. I flere måneder forsøgte de at udvikle et ondsindet værktøj, der ville være usynligt, når de angreb. Men hver gang har vores specialister identificeret unikke træk i måden, de skabte deres kode på, som har ført til, at vi kan følge deres nye forsøg og stoppe dem. Nu er de blevet mistænkeligt stille, hvilket sikkert betyder, at de er ved at gentænke deres metoder. Men vi er desværre overbeviste om, at de kommer tilbage, udtaler Leif Jensen, nordisk direktør for Kaspersky Lab.

Kaspersky Lab vil derfor opfordre banker og finansielle institutioner til at være ekstra opmærksomme på sikkerheden.

- Angreb, som dem udført at Lazarus-gruppen, viser, at selv små fejlkonfigurationer kan resultere i alvorlige sikkerhedsbrud, som potentielt kan koste en angrebet virksomhed hundredevis af millioner i tab. Vi håber, at direktører fra banker og investeringsvirksomheder verden over vil være på vagt overfor Lazarus, og vi opfordrer til, at de scanner deres netværk omhyggeligt for spor af Lazarus-malware. Finder de noget, er det essentielt, at de desinficerer deres systemer og melder angrebet til myndigheder og incident response teams, siger Leif Jensen.

Fakta om hackergruppen Lazarus

• Lazarus står bag ødelæggende hacker-angreb i mere end 18 lande siden 2009. Særligt finansielle institutioner, produktionsvirksomheder og medier er ramt.
• Det er angiveligt også Lazarus, der stod bag angrebet på centralbanken i Bangladesh i 2016, hvor udbyttet var 81 millioner dollars.
• Efter angrebet i Bangladesh forsøgte Lazarus at ramme en finansiel institution i Sydøstasien, men angrebet blev afværget af produkter fra Kaspersky Lab.
• Efterfølgende har Lazarus flyttet deres kriminelle virksomhed til Europa, men her er deres angreb også blevet blokeret af Kaspersky Labs sikkerhedssoftware.
• Det seneste angreb fra Lazarus fandt sted i marts 2017.
• Der er flere tegn på at gruppen, eller dele af gruppen, kommer fra Nordkorea. I forbindelse med det seneste angreb blev der anvendt en meget sjælden IP-adresse i Nordkorea.

Fire trin: sådan arbejder Lazarus

1. De hacker sig ind i via sårbar kodning (f.eks. på en webserver) eller ved at inficere en hjemmeside, som offeret (f.eks. en bankmedarbejder) besøger, og installere malware på computeren.
2. Gruppen migrerer til andre medarbejderes computere og skaber dermed en række 'bagdøre', så de kan komme og gå, som de vil, i bankens systemer.
3. Gruppen bruger ugevis på at lære netværket at kende og identificere værdifulde ressourcer, som f.eks. en backup-server, hvor autentificeringsinformation er lagret, eller en domæne-controller, der har nøglerne til enhver 'dør' i virksomheden.
4. Til sidst aktiverer de malware, som kan komme forbi de interne sikkerhedssystemer og autorisere finansielle transaktioner på bankens vegne.

- lb

20/4 2017