GCMAN: Στη Σύνοδο Κορυφής για την Ασφάλεια Security Analyst Summit (SAS 2016) που πραγματοποιήθηκε στην Τενερίφη της Ισπανίας, ερευνητές της Kaspersky αποκάλυψαν μια νέα εγκληματική ομάδα στον κυβερνοχώρο.
Η ομάδα ονομάζεται GCMAN και στοχεύει Ρώσικες Τράπεζες.
Το ψευδώνυμο προήλθε από το GCC (GNU Compiler Collection), τον compiler που χρησιμοποίησε η ομάδα για να δημιουργήσει το custom-made malware τους.
Ghost: Εξάρθρωση της πλατφόρμας κρυπτογραφημένων επικοινωνιών
Η διανομή του κακόβουλου λογισμικού γινόταν μέσω spear-phishing e-mail που αποστέλλονται σε άτομα-κλειδιά μέσα από το οργανόγραμμα της τράπεζας.
Εάν αυτά τα άτομα ανοίξουν το κακόβουλο αρχείο RAR που υπάρχει επισυναπτόμενο στο e-mail, ο υπολογιστή τους μολύνεται με το κακόβουλο λογισμικό της ομάδας.
Αυτό το κακόβουλο λογισμικό έχει σχεδιαστεί ειδικά για κινείται μέσα στην IT υποδομή της τράπεζας. Αναζητεί ενεργά για υπολογιστές που είναι επιφορτισμένοι με τις οικονομικές συναλλαγές χρησιμοποιώντας εργαλεία δοκιμών διείσδυσης, όπως το Meterpreter, το Putty, και το VNC για να αποκτήσουν πρόσβαση στα συστήματα.
Μόλις ανακαλύψει μηχανήματα που κάνουν συναλλαγές, το κακόβουλο λογισμικό χρησιμοποιεί ένα απλό cron script που αρχίζει να στέλνει 200 δολάρια το λεπτό σε διάφορους λογαριασμούς ψηφιακών νομισμάτων, τους οποίους ελέγχουν βέβαια οι προγραμματιστές του malware.
To cron script των GCMAN ανακαλύφθηκε κατά λάθος
Η Kaspersky αναφέρει το script ανακαλύφθηκε κατά τύχη από ένα τραπεζικό υπάλληλο που συνάντησε το malware GCMAN και κατάφερε να το σταματήσει πριν εκτελέσει μια συναλλαγή.
Αμέσως μετά οι ερευνητές της Kaspersky ανακάλυψαν ότι όλο το δίκτυο των υπολογιστών της τράπεζας που εκτελούσαν συναλλαγές περιείχε το κακόβουλο λογισμικό. Η μόλυνση είχε πραγματοποιηθεί 18 μήνες πριν σε έναν υπολογιστή.
Οι hackers χρησιμοποίησαν το μηχάνημα για να επιτεθούν σε 70 άλλους υπολογιστές του δικτύου της τράπεζας, και να παραβιάσουν τους 56, μέχρι να αποκτήσουν πρόσβαση σε αυτό που έψαχναν. Δεκαοκτώ μήνες αργότερα, επέστρεψαν για να τοποθετήσουν το cron script στο διακομιστή και να αρχίσουν τις αναλήψεις. Όπως φαίνεται όμως η τύχη δεν ήταν με το μέρος τους.
