Einfach. Sicher. Gegen Geldautomatensprengungen.

Tagebuch einer Cyber-Attacke auf eine Bank – Infografik

Versuchter Cyberangriff per E-Mail-Phishing

Abonnieren Sie den kostenlosen Bank Blog Newsletter

Der Anstieg von Cyberkriminalität bedroht Banken und Sparkassen stärker als andere Branchen. Die wirkungsvolle Abwehr von Cyberattacken wird immer wichtiger. Die Chronologie eines Cyberangriffs auf eine Bank zeigt, wie dies gelingen kann.

Aktuelle Trends, Studien und Research zur Digitalsierung im Bereich Finanzdienstleistung

Der Trend zur Digitalisierung hat unseren Alltag und die Unternehmenswelt nachhaltig verändert. Banken und Sparkassen werden später als andere Branchen erfasst, aber nicht weniger heftig. Im Bank Blog finden Sie aktuelle Studien zu diesem wichtigen Thema.

Partner des Bank Blogs

Atruvia ist Partner des Bank Blogs

Cyberkriminalität ist ein ernsthaftes Problem, für den Staat genauso wie für die Wirtschaft und insbesondere für Banken. Im Mai 2018 gelang es Kriminellen, in das IT-System einer osteuropäischen Bank einzudringen und dort 63 Tage ihr Unwesen zu treiben. Experten der Bitdefender-Labs – einem Hersteller von Antivirenprogrammen – haben diesen Cyber-Angriff detailliert rekonstruiert und in einem Whitepaper dokumentiert.

Die Rekonstruktion aller Aktivitäten der Attacke liefert wertvolle Erkenntnisse für die Sicherung kritischer Infrastrukturen und zeigt die Bedeutung von Endpoint-Security-Maßnahmen auf.

Cyberangriff per E-Mail-Phishing

Die Infiltration erfolgte mittels einer Spear-Phishing-Kampagne, also einem speziellen Betrugsversuch per E-Mail. Diese wirken wie E-Mails von hochkarätigen Organisationen wie IBM, der Europäischen Zentralbank oder auch von Cybersicherheitsunternehmen und richten sich meist gegen konkrete Organisationen. Sie zielen darauf ab, nicht autorisierten Zugriff auf vertrauliche Daten zu erhalten.

Die verwendete URL „swift-fraud[.]com/documents/94563784.doc“ sowie der Einsatz der Cobalt Strike Malware deuten auf die Carbanak-Gruppe hin. Die Bande blickt auf eine lange Erfolgsgeschichte bei Angriffen auf Finanzinstitutionen zurück. Ihre Strategie zielt darauf ab, illegale Transaktionen durchzuführen oder Geldautomateninfrastrukturen zu übernehmen, die dann mit Hilfe von Finanzagenten, sogenannten „Money Mules“, geplündert werden.

Während die Infiltrierung des Netzwerks bereits nach nur 90 Minuten abgeschlossen war, bewegten sich die Angreifer mit Hilfe der Cobalt Strike Malware weitere 63 Tage durch die gesamte Infrastruktur, um das System auszuspähen und weitere Informationen für den finalen Raubüberfall zu sammeln. Wäre die Attacke erfolgreich gewesen, hätten die Kriminellen unbemerkt auf sämtliche Geldautomaten zugreifen können.

Tagebuch des Cyberangriffs auf eine Bank

Im Folgenden sind die einzelnen Etappen des Cyberangriffs auf die Bank beschrieben:

Tag 0: Infiltration

An einem regulären Arbeitstag um 16:48 Uhr erhalten zwei Mitarbeiter einer Bank eine E-Mail, dessen schadhaften Anhang beide unabhängig voneinander binnen einer Minute öffnen. Das angehängte Dokument nutzt eine Sicherheitslücke von Microsoft Word. Darüber wird über eine „Hintertür“ unbemerkt eine Verbindung zu einem C&C-Server hergestellt: Eine Programmdatei initiiert einen Befehl, der wiederum die Malware herunterlädt.

Im Anschluss daran werden Zugangsdaten zum Domain-Server entwendet, getestet und schließlich der Domain-Controller übernommen. Mit Ende dieser ersten Angriffswelle um 18:20 Uhr sind die Angreifer bereits in der Lage, weitere Nutzerdaten herunterzuladen und auszuführen, sich unbemerkt durch das System zu bewegen, Dateien zu löschen und Registrierungsschlüssel zu beseitigen, um ihre Spuren zu verwischen.

Tage 1-28: Ausspähung

In den fünf darauffolgenden Wochen konzentrieren die Angreifer ihre Aktivitäten darauf, systematisch zahlreiche Arbeitsplätze zu kompromittieren, um an weitere Informationen zu gelangen, die von Nutzen sein könnten.

Am Tag 10 erfasst der Angriff den dreizehnten Endpunkt, welcher im späteren Verlauf für die Informationssammlung und -speicherung genutzt wird.

Am Tag 28 wird eine Reihe von als potenziell wertvoll erachteten Dokumenten zu internen Anwendungen und Verfahren für das Herunterladen (Exfiltration) vorbereitet.

Tage 30-63: Informationssammlung und Vorbereitung des Diebstahls

Im weiteren Verlauf wird die Informationssammlung systematisiert. In einem Zeitraum von 17 Tagen legen die Angreifer verschiedene Ordner mit Handbüchern, Anleitungen und Schulungsunterlagen für verschiedene Anwendungen an. Dabei ist davon auszugehen, dass diese Informationen nicht nur dazu dienen, den finalen Diebstahl ausführen zu können, sondern auch dazu verwendet werden, Angriffstaktikten für künftige Ziele mit vergleichbaren Systemen zu verfeinern.

Ab Tag 33 beginnen die Angreifer damit, interne Hosts und Server zu kompromittieren, die für den eigentlichen Raubüberfall benötigt werden. Mithilfe der Malware wird eine Schnittstelle über einen VPN-Tunnel zu einem externen Arbeitsplatz der Hacker hergestellt, von dem aus ausgewählte Workstations der legitimen Bankeninfrastruktur angemeldet werden. Diese C&C-Verbindungen dauerten zwischen 20 Minuten und einer Stunde und wurden stets außerhalb der Geschäftszeiten und an Wochenenden durchgeführt.

An Tag 63 schließlich verwischen die Angreifer ihre Spuren, indem sie sämtliche Beweise für ihre Informationssammlung vernichten.

Potentieller Schaden durch den Cyberangriff

Wäre die Cyberattacke unentdeckt geblieben, hätten die Hacker die Kontrolle über das komplette Geldautomatennetzwerk der Bank erlangt. Damit wären sie in der Lage gewesen, das Auszahlungslimit an Geldautomaten mit einer vorab autorisierten Karte zurückzusetzen. Auf diese Weise hätten die vor Ort abgestellten Personen beliebig oft den festgesetzten Höchstbetrag abheben können, ohne dass von dem betreffenden Automaten die Transaktion als verdächtig an die Bank gemeldet würde.

Unternehmen können das Risiko solcher Attacken minimieren, wenn Endpoint-Security-Lösungen eingesetzt werden, die über URL-Filter, verhaltensbasierte Analysen und Sandboxing verfügen.

Infografik: Cyberangriff auf eine Bank im Überblick

Die folgende Infografik zeigt und beschreibt den Cyberangriff auf die Bank in den einzelnen Schritten.

Infografik: Cyberangriff auf eine Bank im Überblick

Die einzelnen Phasen des Cyberangriffs auf eine Bank.

Premium Abonnenten des Bank Blogs haben direkten kostenfreien Zugriff auf die Bezugsinformationen zu Studien und Whitepapern.

Sie sind bereits Abonnent? Hier geht es zum Login
 

Noch kein Premium-Leser?
Premium Abonnenten des Bank Blogs haben direkten Zugriff auf alle kostenpflichtigen Inhalte des Bank Blogs (Studienquellen, E-Books etc.) und viele weitere Vorteile.

>>> Hier anmelden <<<

Neu: Tagespass Studien
Sie wollen direkten Zugriff auf einzelne Studien, aber nicht gleich ein Premium-Abonnement abschließen? Dann ist der neue Tagespass Studien genau das richtige für Sie. Mit ihm erhalten Sie für 24 Stunden direkten Zugriff auf sämtliche Studienquellen.

>>> Tagespass Studien kaufen <<<


Ein Service des Bank Blogs
Der Bank Blog prüft für Sie regelmäßig eine Vielzahl von Studien/Whitepapern und stellt die relevanten hier vor. Als besonderer Service wird Ihnen die Suche nach Bezugs- und Downloadmöglichkeiten abgenommen und Sie werden direkt zur Anbieterseite weitergeleitet. Als Premium Abonnent unterstützen Sie diesen Service und die Berichterstattung im Bank Blog.

Über den Autor

Dr. Hansjörg Leichsenring

Dr. Hansjörg Leichsenring ist Herausgeber des Bank Blogs und der Finanzbranche seit über 30 Jahren beruflich verbunden. Nach Banklehre und Studium arbeitete er in verschiedenen Positionen, u.a. als Direktor bei der Deutschen Bank, als Vorstand einer Sparkasse und als Geschäftsführer eines Online Brokers. Als Experte für Strategien in den Bereichen Digitalisierung, Innovation und Vertrieb ist er gefragter Referent und Moderator bei internen und externen Veranstaltungen im In- und Ausland.

Vielen Dank fürs Teilen und Weiterempfehlen


Mit dem kostenlosen Bank Blog Newsletter immer informiert bleiben:

Anzeige

Get Abstract: Zusammenfassungen interessanter Businessbücher

2 Kommentare

  1. Avatar

    Ein Druckbutton, mit dem man den Artikel ohne die den Text überlappende Werbung drucken kann wäre hilfreich

Bank Blog Newsletter abonnieren

Bank Blog Newsletter abonnieren