Tagebuch einer Cyber-Attacke auf eine Bank – Infografik

Versuchter Cyberangriff per E-Mail-Phishing

Der Anstieg von Cyberkriminalität bedroht Banken und Sparkassen stärker als andere Branchen. Die wirkungsvolle Abwehr von Cyberattacken wird immer wichtiger. Die Chronologie eines Cyberangriffs auf eine Bank zeigt, wie dies gelingen kann.

Aktuelle Trends, Studien und Research zur Digitalsierung im Bereich Finanzdienstleistung

Der Trend zur Digitalisierung hat unseren Alltag und die Unternehmenswelt nachhaltig verändert. Banken und Sparkassen werden später als andere Branchen erfasst, aber nicht weniger heftig. Im Bank Blog finden Sie aktuelle Studien zu diesem wichtigen Thema.

Abonnieren Sie den kostenlosen Bank Blog Newsletter

Partner des Bank Blogs

Crealogix ist Partner des Bank Blogs

Cyberkriminalität ist ein ernsthaftes Problem, für den Staat genauso wie für die Wirtschaft und insbesondere für Banken. Im Mai 2018 gelang es Kriminellen, in das IT-System einer osteuropäischen Bank einzudringen und dort 63 Tage ihr Unwesen zu treiben. Experten der Bitdefender-Labs – einem Hersteller von Antivirenprogrammen – haben diesen Cyber-Angriff detailliert rekonstruiert und in einem Whitepaper dokumentiert.

Die Rekonstruktion aller Aktivitäten der Attacke liefert wertvolle Erkenntnisse für die Sicherung kritischer Infrastrukturen und zeigt die Bedeutung von Endpoint-Security-Maßnahmen auf.

Cyberangriff per E-Mail-Phishing

Die Infiltration erfolgte mittels einer Spear-Phishing-Kampagne, also einem speziellen Betrugsversuch per E-Mail. Diese wirken wie E-Mails von hochkarätigen Organisationen wie IBM, der Europäischen Zentralbank oder auch von Cybersicherheitsunternehmen und richten sich meist gegen konkrete Organisationen. Sie zielen darauf ab, nicht autorisierten Zugriff auf vertrauliche Daten zu erhalten.

Die verwendete URL „swift-fraud[.]com/documents/94563784.doc“ sowie der Einsatz der Cobalt Strike Malware deuten auf die Carbanak-Gruppe hin. Die Bande blickt auf eine lange Erfolgsgeschichte bei Angriffen auf Finanzinstitutionen zurück. Ihre Strategie zielt darauf ab, illegale Transaktionen durchzuführen oder Geldautomateninfrastrukturen zu übernehmen, die dann mit Hilfe von Finanzagenten, sogenannten „Money Mules“, geplündert werden.

Während die Infiltrierung des Netzwerks bereits nach nur 90 Minuten abgeschlossen war, bewegten sich die Angreifer mit Hilfe der Cobalt Strike Malware weitere 63 Tage durch die gesamte Infrastruktur, um das System auszuspähen und weitere Informationen für den finalen Raubüberfall zu sammeln. Wäre die Attacke erfolgreich gewesen, hätten die Kriminellen unbemerkt auf sämtliche Geldautomaten zugreifen können.

Tagebuch des Cyberangriffs auf eine Bank

Im Folgenden sind die einzelnen Etappen des Cyberangriffs auf die Bank beschrieben:

Tag 0: Infiltration

An einem regulären Arbeitstag um 16:48 Uhr erhalten zwei Mitarbeiter einer Bank eine E-Mail, dessen schadhaften Anhang beide unabhängig voneinander binnen einer Minute öffnen. Das angehängte Dokument nutzt eine Sicherheitslücke von Microsoft Word. Darüber wird über eine „Hintertür“ unbemerkt eine Verbindung zu einem C&C-Server hergestellt: Eine Programmdatei initiiert einen Befehl, der wiederum die Malware herunterlädt.

Im Anschluss daran werden Zugangsdaten zum Domain-Server entwendet, getestet und schließlich der Domain-Controller übernommen. Mit Ende dieser ersten Angriffswelle um 18:20 Uhr sind die Angreifer bereits in der Lage, weitere Nutzerdaten herunterzuladen und auszuführen, sich unbemerkt durch das System zu bewegen, Dateien zu löschen und Registrierungsschlüssel zu beseitigen, um ihre Spuren zu verwischen.

Tage 1-28: Ausspähung

In den fünf darauffolgenden Wochen konzentrieren die Angreifer ihre Aktivitäten darauf, systematisch zahlreiche Arbeitsplätze zu kompromittieren, um an weitere Informationen zu gelangen, die von Nutzen sein könnten.

Am Tag 10 erfasst der Angriff den dreizehnten Endpunkt, welcher im späteren Verlauf für die Informationssammlung und -speicherung genutzt wird.

Am Tag 28 wird eine Reihe von als potenziell wertvoll erachteten Dokumenten zu internen Anwendungen und Verfahren für das Herunterladen (Exfiltration) vorbereitet.

Umfrgae Kreditprozesse der Zukunft

Tage 30-63: Informationssammlung und Vorbereitung des Diebstahls

Im weiteren Verlauf wird die Informationssammlung systematisiert. In einem Zeitraum von 17 Tagen legen die Angreifer verschiedene Ordner mit Handbüchern, Anleitungen und Schulungsunterlagen für verschiedene Anwendungen an. Dabei ist davon auszugehen, dass diese Informationen nicht nur dazu dienen, den finalen Diebstahl ausführen zu können, sondern auch dazu verwendet werden, Angriffstaktikten für künftige Ziele mit vergleichbaren Systemen zu verfeinern.

Ab Tag 33 beginnen die Angreifer damit, interne Hosts und Server zu kompromittieren, die für den eigentlichen Raubüberfall benötigt werden. Mithilfe der Malware wird eine Schnittstelle über einen VPN-Tunnel zu einem externen Arbeitsplatz der Hacker hergestellt, von dem aus ausgewählte Workstations der legitimen Bankeninfrastruktur angemeldet werden. Diese C&C-Verbindungen dauerten zwischen 20 Minuten und einer Stunde und wurden stets außerhalb der Geschäftszeiten und an Wochenenden durchgeführt.

An Tag 63 schließlich verwischen die Angreifer ihre Spuren, indem sie sämtliche Beweise für ihre Informationssammlung vernichten.

Potentieller Schaden durch den Cyberangriff

Wäre die Cyberattacke unentdeckt geblieben, hätten die Hacker die Kontrolle über das komplette Geldautomatennetzwerk der Bank erlangt. Damit wären sie in der Lage gewesen, das Auszahlungslimit an Geldautomaten mit einer vorab autorisierten Karte zurückzusetzen. Auf diese Weise hätten die vor Ort abgestellten Personen beliebig oft den festgesetzten Höchstbetrag abheben können, ohne dass von dem betreffenden Automaten die Transaktion als verdächtig an die Bank gemeldet würde.

Unternehmen können das Risiko solcher Attacken minimieren, wenn Endpoint-Security-Lösungen eingesetzt werden, die über URL-Filter, verhaltensbasierte Analysen und Sandboxing verfügen.

Infografik: Cyberangriff auf eine Bank im Überblick

Die folgende Infografik zeigt und beschreibt den Cyberangriff auf die Bank in den einzelnen Schritten.

Infografik: Cyberangriff auf eine Bank im Überblick

Die einzelnen Phasen des Cyberangriffs auf eine Bank.

Zum Downloadlink des Whitepapers gelangen Sie über Laterpay.

Sind Sie schon Premium-Leser?

Premium Abonnenten des Bank Blogs haben direkten kostenfreien Zugriff auf die Bezugsinformationen zur Studie. Noch kein Premium-Leser?

>>> Hier klicken <<<

Ein Service des Bank Blogs

Der Bank Blog prüft für Sie jede Woche eine Vielzahl von Studien und stellt die für Sie relevanten hier vor. Als besonderer Service wird Ihnen die Suche nach Bezugs- und Downloadmöglichkeiten abgenommen und Sie werden direkt zur Anbieterseite weitergeleitet. Mit der Unterstützung dieses Serviceangebots unterstützen Sie auch die Berichterstattung im Bank Blog.

Jetzt kaufen für 1,95EUR

Bitte bewerten Sie den Artikel mit Hilfe der Sternchen

1 Stern2 Sterne3 Sterne4 Sterne5 Sterne Bewertung: 5,00 Stern(e) - 10 Bewertung(en)

Vielen Dank fürs Teilen und Weiterempfehlen


Mit dem kostenlosen Bank Blog Newsletter immer informiert bleiben:

Über den Autor

Dr. Hansjörg Leichsenring

Dr. Hansjörg Leichsenring ist Herausgeber des Bank Blogs und der Finanzbranche seit über 30 Jahren beruflich verbunden. Nach Banklehre und Studium arbeitete er in verschiedenen Positionen, u.a. als Direktor bei der Deutschen Bank, als Vorstand einer Sparkasse und als Geschäftsführer eines Online Brokers. Als Experte für Strategien in den Bereichen Digitalisierung, Innovation und Vertrieb ist er gefragter Referent und Moderator bei internen und externen Veranstaltungen im In- und Ausland.

Anzeige

2 Kommentare

  1. Avatar

    Ein Druckbutton, mit dem man den Artikel ohne die den Text überlappende Werbung drucken kann wäre hilfreich

Hinterlassen Sie einen Kommentar

Wir freuen uns, dass Sie den Bank Blog schätzen. Die hohe Qualität der Beiträge weiterhin sicherzustellen, ist uns ein wichtiges Anliegen. Qualität kostet jedoch Geld und kann nicht nur über Werbung finanziert werden. Sie können uns unterstützen, indem Sie ein Premium Abonnement des Bank Blogs abschließen. Damit sind zahlreiche Vorteile für Sie verbunden, u.a. freier Zugang zu allen kostenpflichtigen Inhalten, Werbefreiheit und schnellere Ladezeiten. Und Sie tragen dazu bei, dass wir den hohen Anspruch an unsere Arbeit auch in Zukunft halten können. Vielen Dank!

Der Bank Blog Premium

Noch kein Premium-Leser?

>>> Hier klicken <<<

Der Bank Blog Premium

Noch kein Premium-Leser?

>>> Hier klicken <<<

Bank Blog Newsletter abonnieren

Bank Blog Newsletter abonnieren