Tagebuch einer Cyber-Attacke auf eine Bank – Infografik

Der Anstieg von Cyberkriminalität bedroht Banken und Sparkassen stärker als andere Branchen. Die wirkungsvolle Abwehr von Cyberattacken wird immer wichtiger. Die Chronologie eines Cyberangriffs auf eine Bank zeigt, wie dies gelingen kann.

Der Trend zur Digitalisierung hat unseren Alltag und die Unternehmenswelt nachhaltig verändert. Banken und Sparkassen werden später als andere Branchen erfasst, aber nicht weniger heftig. Im Bank Blog finden Sie aktuelle Studien zu diesem wichtigen Thema.

Partner des Bank Blogs

Cyberkriminalität ist ein ernsthaftes Problem, für den Staat genauso wie für die Wirtschaft und insbesondere für Banken. Im Mai 2018 gelang es Kriminellen, in das IT-System einer osteuropäischen Bank einzudringen und dort 63 Tage ihr Unwesen zu treiben. Experten der Bitdefender-Labs – einem Hersteller von Antivirenprogrammen – haben diesen Cyber-Angriff detailliert rekonstruiert und in einem Whitepaper dokumentiert.

Die Rekonstruktion aller Aktivitäten der Attacke liefert wertvolle Erkenntnisse für die Sicherung kritischer Infrastrukturen und zeigt die Bedeutung von Endpoint-Security-Maßnahmen auf.

Cyberangriff per E-Mail-Phishing

Die Infiltration erfolgte mittels einer Spear-Phishing-Kampagne, also einem speziellen Betrugsversuch per E-Mail. Diese wirken wie E-Mails von hochkarätigen Organisationen wie IBM, der Europäischen Zentralbank oder auch von Cybersicherheitsunternehmen und richten sich meist gegen konkrete Organisationen. Sie zielen darauf ab, nicht autorisierten Zugriff auf vertrauliche Daten zu erhalten.

Die verwendete URL „swift-fraud[.]com/documents/94563784.doc“ sowie der Einsatz der Cobalt Strike Malware deuten auf die Carbanak-Gruppe hin. Die Bande blickt auf eine lange Erfolgsgeschichte bei Angriffen auf Finanzinstitutionen zurück. Ihre Strategie zielt darauf ab, illegale Transaktionen durchzuführen oder Geldautomateninfrastrukturen zu übernehmen, die dann mit Hilfe von Finanzagenten, sogenannten „Money Mules“, geplündert werden.

Während die Infiltrierung des Netzwerks bereits nach nur 90 Minuten abgeschlossen war, bewegten sich die Angreifer mit Hilfe der Cobalt Strike Malware weitere 63 Tage durch die gesamte Infrastruktur, um das System auszuspähen und weitere Informationen für den finalen Raubüberfall zu sammeln. Wäre die Attacke erfolgreich gewesen, hätten die Kriminellen unbemerkt auf sämtliche Geldautomaten zugreifen können.

Tagebuch des Cyberangriffs auf eine Bank

Im Folgenden sind die einzelnen Etappen des Cyberangriffs auf die Bank beschrieben:

Tag 0: Infiltration

An einem regulären Arbeitstag um 16:48 Uhr erhalten zwei Mitarbeiter einer Bank eine E-Mail, dessen schadhaften Anhang beide unabhängig voneinander binnen einer Minute öffnen. Das angehängte Dokument nutzt eine Sicherheitslücke von Microsoft Word. Darüber wird über eine „Hintertür“ unbemerkt eine Verbindung zu einem C&C-Server hergestellt: Eine Programmdatei initiiert einen Befehl, der wiederum die Malware herunterlädt.

Im Anschluss daran werden Zugangsdaten zum Domain-Server entwendet, getestet und schließlich der Domain-Controller übernommen. Mit Ende dieser ersten Angriffswelle um 18:20 Uhr sind die Angreifer bereits in der Lage, weitere Nutzerdaten herunterzuladen und auszuführen, sich unbemerkt durch das System zu bewegen, Dateien zu löschen und Registrierungsschlüssel zu beseitigen, um ihre Spuren zu verwischen.

Tage 1-28: Ausspähung

In den fünf darauffolgenden Wochen konzentrieren die Angreifer ihre Aktivitäten darauf, systematisch zahlreiche Arbeitsplätze zu kompromittieren, um an weitere Informationen zu gelangen, die von Nutzen sein könnten.

Am Tag 10 erfasst der Angriff den dreizehnten Endpunkt, welcher im späteren Verlauf für die Informationssammlung und -speicherung genutzt wird.

Am Tag 28 wird eine Reihe von als potenziell wertvoll erachteten Dokumenten zu internen Anwendungen und Verfahren für das Herunterladen (Exfiltration) vorbereitet.

Tage 30-63: Informationssammlung und Vorbereitung des Diebstahls

Im weiteren Verlauf wird die Informationssammlung systematisiert. In einem Zeitraum von 17 Tagen legen die Angreifer verschiedene Ordner mit Handbüchern, Anleitungen und Schulungsunterlagen für verschiedene Anwendungen an. Dabei ist davon auszugehen, dass diese Informationen nicht nur dazu dienen, den finalen Diebstahl ausführen zu können, sondern auch dazu verwendet werden, Angriffstaktikten für künftige Ziele mit vergleichbaren Systemen zu verfeinern.

Ab Tag 33 beginnen die Angreifer damit, interne Hosts und Server zu kompromittieren, die für den eigentlichen Raubüberfall benötigt werden. Mithilfe der Malware wird eine Schnittstelle über einen VPN-Tunnel zu einem externen Arbeitsplatz der Hacker hergestellt, von dem aus ausgewählte Workstations der legitimen Bankeninfrastruktur angemeldet werden. Diese C&C-Verbindungen dauerten zwischen 20 Minuten und einer Stunde und wurden stets außerhalb der Geschäftszeiten und an Wochenenden durchgeführt.

An Tag 63 schließlich verwischen die Angreifer ihre Spuren, indem sie sämtliche Beweise für ihre Informationssammlung vernichten.

Potentieller Schaden durch den Cyberangriff

Wäre die Cyberattacke unentdeckt geblieben, hätten die Hacker die Kontrolle über das komplette Geldautomatennetzwerk der Bank erlangt. Damit wären sie in der Lage gewesen, das Auszahlungslimit an Geldautomaten mit einer vorab autorisierten Karte zurückzusetzen. Auf diese Weise hätten die vor Ort abgestellten Personen beliebig oft den festgesetzten Höchstbetrag abheben können, ohne dass von dem betreffenden Automaten die Transaktion als verdächtig an die Bank gemeldet würde.

Unternehmen können das Risiko solcher Attacken minimieren, wenn Endpoint-Security-Lösungen eingesetzt werden, die über URL-Filter, verhaltensbasierte Analysen und Sandboxing verfügen.

Infografik: Cyberangriff auf eine Bank im Überblick

Die folgende Infografik zeigt und beschreibt den Cyberangriff auf die Bank in den einzelnen Schritten.

Die einzelnen Phasen des Cyberangriffs auf eine Bank.

Premium Abonnenten des Bank Blogs haben direkten kostenfreien Zugriff auf die Bezugsinformationen zu Studien und Whitepapern.