Vol de la banque centrale du Bangladesh : des cadres de la banque pourraient être impliqués
Vol de la banque centrale du Bangladesh : des cadres de la banque pourraient être impliqués,
selon un rapport au ministre des Finances qui sera bientôt rendu public
Des cadres de la banque centrale du Bangladesh pourraient être impliqués dans l’opération de vol dont le butin s’élevait à près d’un milliard, les pirates n’ayant pu en obtenir « que » 81 millions.
Les pirates avaient installé des logiciels espions dans les systèmes du siège de la banque à Dhaka, ce qui leur a permis de passer plusieurs semaines à étudier le fonctionnement des systèmes de la banque ainsi que les processus liés à ses opérations.
Après avoir analysé le fonctionnement de l'organisation, le groupe de pirates s’est immiscé dans les systèmes informatiques de la banque centrale du Bangladesh en février dernier et a lancé des instructions de virement via le réseau SWIFT pour faire transférer 951 millions de dollars des dépôts de la banque détenus à la Federal Reserve Bank de New York vers des comptes aux Philippines et au Sri Lanka.
La plupart des transactions ont été bloquées, mais quatre, d’un montant de 81 millions de dollars, ont été validées. L’intrusion dans les systèmes n’a été découverte que par accident à cause d’une erreur d’orthographe sur l’une des transactions qui a déclenché le blocage de toutes celles qui n’avaient pas encore été traitées.
La semaine dernière, Reuters a rapporté que John Gomes, l’ambassadeur du Bangladesh aux Phillipines, a admis que l’ordinateur d’un cadre de la banque centrale a été utilisé par ces pirates, encore non identifiés jusqu’à ce jour : « l’ordinateur de l'un des cadres de notre banque qui est dans le groupe qui effectue les paiements et fait passer les instructions de paiements, a été piraté ». Et de préciser que « l'attaque a eu lieu un vendredi et, ce jour-là, la banque centrale du Bangladesh est complètement fermée. Personne ne va à la banque en ce jour ».
Pourtant, ce lundi, les propos ont quelque peu évolué. « Au début, nous pensions qu’aucun membre du personnel de la banque centrale du Bangladesh n’était impliqué, cependant, il y a eu quelques changements », a déclaré Mohammed Farashuddin, ancien gouverneur de la banque centrale, après avoir remis son rapport final au ministre des Finances. Il a refusé de donner plus de précision sur la nature du changement, toutefois, le ministre des Finances Abul Maal Abdul Muhith a promis que le rapport sera rendu public dans 15 à 20 jours.
Le ministre s’est également refusé à commenter ses détails, se contentant d’avancer que les conclusions étaient différentes des conclusions préliminaires qui tenaient principalement pour responsable SWIFT, le réseau international de paiements bancaires. Il a quand même précisé que SWIFT gardait une part de responsabilité. Pour rappel, lors de leurs enquêtes, les autorités ont avancé que cette opération a été rendue possible suite à la négligence des techniciens du réseau SWIFT lorsqu’ils ont connecté le premier système de règlement en temps réel interne aux différentes banques du Bangladesh (RTGS). Du côté des banques d’ailleurs, un responsable avait également déclaré que les techniciens semblent ne pas avoir suivi leurs propres procédures pour s’assurer de la sécurité du système.
Subhankar Saha, porte-parole de la banque centrale, a avancé que les cadres de la banque n’ont encore reçu ni le rapport qui sera porté à la connaissance du public ni les instructions du gouvernement. « Le management de la banque centrale du Bangladesh va suivre toutes les instructions données par le gouvernement. Les actions seront prises suite aux instructions du gouvernement si des cadres de la banque centrale sont coupables ».
La semaine dernière, SWIFT a exhorté les banques à améliorer de façon radicale le partage de l'information, renforcer les procédures de sécurité autour de SWIFT, mais aussi augmenter sensiblement leur fréquence d’utilisation de logiciels qui pourraient repérer des paiements frauduleux.
« SWIFT continuera à vous informer dès que possible de cas de logiciels malveillants connus par nous afin que vous puissiez mieux cibler vos efforts de prévention et de détection dans votre environnement local », a déclaré l’entreprise dans un communiqué.
« Nous allons également continuer de partager les meilleures pratiques afin d’aider tous nos utilisateurs à améliorer leur sécurité comme nous l’avons fait de manière très proactive au courant de ces derniers mois, nous travaillons actuellement à renforcer davantage notre support aux clients dans la sécurisation de leur accès au réseau SWIFT. Nous recevrons des retours de membres des comités du conseil d’administration ainsi que d’autres superviseurs pertinents dans les jours à venir et nous partagerons nos plans d’action avec la communauté dans son ensemble ».
Source : Reuters (déclaration de l'ambassadeur du Bangladesh), Reuters (déclaration du porte-parole de la banque centrale)
Une banque ukrainienne se fait voler 10 millions de dollars
Une banque ukrainienne se fait voler 10 millions de dollars,
des paiements frauduleux ont eu lieu via le réseau SWIFT dans l'enquête préliminaire
La branche de Kiev d’ISACA (Information Systems Audit and Control Association), une association internationale spécialisée dans la gouvernance des systèmes d’informations et de l’audit informatique, a indiqué il y a quelques jours qu’une banque ukrainienne, dont elle s’est gardée de révéler le nom, a été victime d’un vol de 10 millions de dollars.
Comme pour le vol de la Banque Centrale du Bengladesh, des paiements frauduleux qui ont eu lieu via le réseau SWIFT (Society for worldwide interbank financial telecommunication), qui est chargé de la supervision des transactions entre des milliers d’institutions financières à travers le monde, ont été évoqués.
« En ce moment, des douzaines de banques (principalement en Ukraine et en Russie) ont été compromises. Des centaines de millions de dollars leur ont été volés », a assuré ISACA.
L'organisation a déclaré que, habituellement, réaliser des piratages de cette ampleur peut prendre des mois. Après s’être introduits dans les réseaux internes d’une institution financière, les pirates doivent prendre du temps pour étudier les processus et contrôles internes de la banque. Puis, en se basant sur les connaissances et les différents accès qu’ils ont pu collecter, les pirates vont commencer à émettre des instructions frauduleuses de virement bancaire à des sociétés offshore, ce qui leur permettra de siphonner des millions de dollars.
ISACA a déclaré que les pirates ont vraisemblablement utilisé des informations et outils disponibles publiquement pour commettre leur méfait. L'organisation a également ajouté que la même méthode avait probablement été utilisée contre d'autres banques dans le système financier ukrainien.
« Les banques ne partagent plus ces informations à tous et sont toutes effrayées par la publicité », a déclaré Aleksey Yankovsky, responsable de la branche ukrainienne d’ISACA. Il a spécifié que son commentaire émane d’une observation personnelle et qu’il ne parlait pas au nom de l’entreprise. Il a rajouté « dans ce cas particulier, des individus ont été engagés via leurs organisations d’audit. Certains étaient issus de la branche de Kiev d’ISACA, qui est l’une de nos 213 branches indépendantes dans le monde. L’histoire les a associés a leur appartenance à la branche au lieu de les associés à leurs organisations qui les a engagés pour faire le travail ».
De son côté, SWIFT, qui voit encore son réseau grandir notamment avec la venue des banques de l’Équateur et du Vietnam, a encore une fois prétendu que ses infrastructures n’ont rien à voir avec ces piratages : « SWIFT a récemment partagé de l’information avec sa communauté globale concernant un certain nombre de cas de paiement frauduleux qui ont eu lieu dans les environnements locaux des clients. Le réseau, le software et les services de SWIFT n’ont pas été compromis ; chaque cas a eu lieu après qu’un client avait souffert d’une série de brèches de sécurité au sein de son infrastructure gérée localement »
En outre, le directeur général de Swift, Gottfried Leibbrandt, a récemment averti que les banques devraient renforcer leur sécurité ou pourraient se voir exclues du réseau, dont la confiance apportée par les banques y figurant est mise à rude épreuve au fur et à mesure que les piratages sont dévoilés.
S’adressant au Financial Times, il avait déclaré « on pourrait dire que si la sécurité immédiate autour de Swift n’est pas en règle, nous pourrons vous expulser, vous ne devriez pas être sur le réseau [...] les jours où, pour cambrioler une banque, vous aviez besoin d’avoir des armes sont révolus. Vous pouvez désormais voler une banque depuis votre propre PC et cela change complètement la donne ».
Il faut rappeler que l’organisation a publié en fin mai dernier un nouveau guide de sécurité destiné aux banques appartenant à son réseau pour améliorer leurs lignes de défense. Grosso modo, les banques sont invitées à partager plus d’informations sur les cas de paiements frauduleux qui ont eu lieu dans les environnements locaux des clients avec le reste de la communauté, SWIFT envisage de renforcer les exigences de sécurité pour les logiciels gérés par les banques afin de mieux protéger l'environnement local. SWIFT compte également améliorer la sécurité et l'exploitation des lignes de base, mais aussi élaborer des normes de vérification connexes et des processus de certification pour la gestion sécurisée des messages SWIFT sur les sites des banques clients.
Source : SWIFT (Customer Security Program), Kyiv Post, Financial Times (interview avec Gottfried Leibbrandt)
SWIFT a une fois de plus été utilisé pour détourner des fonds de plusieurs banques
SWIFT a une fois de plus été utilisé pour détourner des fonds de plusieurs banques,
le réseau veut contraindre ses membres à adopter de meilleures mesures de sécurité
Sans doute encouragés par le « succès » des opérations lancées entre autres à la banque centrale du Bangladesh (81 millions de dollars), à une banque en Ukraine (10 millions de dollars) ou à Banco del Austro, qui se situe en Équateur (12 millions de dollars), les pirates n’ont pas arrêté l’offensive en passant par le réseau interbancaire. Selon des sources de Reuters, SWIFT a déploré de nouvelles attaques qui ont conduit à des transferts frauduleux de fonds via son réseau. Aussi, SWIFT met un peu plus la pression aux banques pour se conformer à ses nouvelles procédures de sécurité instituées après le vol de la banque centrale du Bangladesh. Il faut dire que ces attaques ont permis à SWIFT de découvrir des lacunes en matière de sécurité de certains de ses membres.
Dans une lettre adressée aux membres de son réseau sur laquelle Reuters a pu mettre la main, SWIFT révèle que de nouvelles attaques ont eu lieu depuis le mois de juin et certaines parmi elles ont conduit à un vol effectif d’argent. « Les systèmes de plusieurs clients ont été compromis et de nouvelles tentatives de virements frauduleux ont été détectées. La menace est persistante, adaptative et sophistiquée », affirment les responsables SWIFT dans la lettre. Cette dernière suggère également que, depuis le vol de la banque centrale du Bangladesh, les pirates ciblent les banques disposant de procédures de sécurité laxistes pour les transferts SWIFT. En clair, SWIFT affirme à nouveau que le problème ne vient pas de son réseau, mais plutôt des banques qui ont de la peine à maintenir leurs infrastructures ainsi que leurs accès au réseau SWIFT dans un environnement sécurisé.
Si le réseau indique que des banques membres ont été des victimes de cette nouvelle vague d’attaques, il s’est en revanche bien gardé de divulguer les noms des banques touchées et encore moins les montants qui ont été dérobés. Toutefois, il a indiqué que ces banques varient en taille, ne sont pas dans la même zone géographique et surtout se servent de différentes méthodes pour avoir accès à SWIFT. Cependant, les victimes avaient quelque chose en commun : la faiblesse de la sécurité de leur écosystème que des pirates se sont empressés d’exploiter pour demander des transferts frauduleux de fonds.
À plusieurs reprises, SWIFT a tenté de pousser les banques de son réseau à implémenter de nouvelles mesures de sécurité depuis le vol de la banque centrale du Bangladesh. SWIFT proposait par exemple de renforcer les mesures d’authentification par exemple via l’authentification à deux facteurs, des règles plus rigoureuses en matière de gestion des mots de passe, de meilleurs outils pour identifier les tentatives de piratage.
Toutefois, obliger les banques de son réseau à se conformer aux meilleures pratiques de sécurité ne relève pas du ressort de SWIFT. Ne disposant donc d’aucun moyen pour contraindre les banques, SWIFT les a menacées de faire un rapport aux régulateurs ainsi qu’aux banques partenaires si elles venaient à ne pas être conformes aux mesures de sécurité passé le délai du 19 novembre 2016, date à laquelle ces banques devront avoir installé la dernière version de son logiciel qui embarque les fonctionnalités de sécurité mentionnées plus haut.
Selon Shane Shook, un consultant indépendant en sécurité qui opère avec des banques centrales, il y a fort à parier que cette menace soit un levier suffisant pour faire plier les banques récalcitrantes : « ce type de partage d’information est quelque chose qu’aucune banque n’aime voir se produire sans son approbation directe, parce que cela peut affecter la confiance du marché ».
Istvan Szabo, Responsable Produit Syslog-ng chez Balabit IT Security, éditeur européen de solutions de sécurité contextuelle, a commenté cette nouvelle révélation tout en précisant ses conseils pour renforcer la sécurité des banques face à ce type d’attaques, en particulier grâce à l’analyse comportementale : « apprendre que de nouvelles banques ont été victimes de piratage via le réseau Swift n’est pas une surprise. Les banques peuvent améliorer leurs outils et procédures de sécurité comme cela est recommandé par Swift, il n’en demeure pas moins que leurs outils de sécurité actuels ne peuvent pas localiser ces attaques dans la mesure où les cybercriminels ont déjà franchi le périmètre de leurs défenses. En effet, pour mener leurs attaques, les cybercriminels utilisent des comptes utilisateurs qui bénéficient probablement de hauts niveaux de privilèges, ce qui leur permet de réaliser des actions importantes tout en couvrant facilement leurs traces. Les utilisateurs privilégiés sont clairement les principales cibles de ce type d’attaques. Des attaques aussi sophistiquées nécessitent des chemins beaucoup plus sophistiqués pour être détectées et stoppées. En d’autres termes, des solutions capables de voir l’invisible.
Tout d’abord il est indispensable de surveiller les utilisateurs privilégiés, de créer des profils spécifiques pour chacun de ces utilisateurs puis d’appliquer sur ces profils de l’analyse comportementale basée sur des algorithmes de machine learning. Ces profils peuvent être obtenus par l’analyse des mouvements de souris, les habitudes de frappe sur le clavier, les habitudes de commandes, les IP utilisateurs, les ports et protocoles de manière transparente lorsqu’il est fait usage d’une technologie de surveillance basée sur les promis etc. Ces habitudes sont des indicateurs uniques impossibles à copier. Ces profils fonctionnent comme une base de comportements normaux pour chaque utilisateur. Ainsi des algorithmes peuvent détecter les anomalies en temps réel lorsqu’un individu exécute une action sensible, offrant à l’équipe de sécurité la possibilité de faire face à la menace.
Cette approche ajoute une couche de sécurité additionnelle, complémentant l’infrastructure de sécurité existante, ce qui lui permet de se concentrer sur les menaces jusque-là inarrêtables. L’entreprise dispose ainsi d’une visibilité complète sur les activités de ses utilisateurs à privilèges, qu’ils soient internes ou des prestataires externes.
Enfin dans ce type d’attaques, l’analyse comportementale ou UBA, apporte des capacités rapides de réponses et investigations, et fournit des indications simples et claires sur les anomalies suspectes ».
Source : Reuters
SWIFT admet que les attaques contre les banques ne sont pas près de s’arrêter
SWIFT admet que les attaques contre les banques ne sont pas près de s’arrêter
de nouvelles mesures sont annoncées pour atténuer la menace
Dans le mois de février dernier, des pirates informatiques ont pu s’introduire dans les systèmes de paiement SWIFT et ont dérobé 81 millions de dollars avant que les institutions financières découvrent la fraude et stoppent les différents transferts qui avaient été lancés.
À côté de cette attaque, il est également rapporté que des personnes malveillantes ont réussi à infiltrer, dans le courant de cette année, les systèmes bancaires du Vietnam et de l’Équateur après avoir dérobé des identifiants SWIFT. Tous ces faits montrent éloquemment que les attaques envers les banques et principalement le système SWIFT gagnent de l’ampleur.
Alain Desausoi, responsable de la sécurité de l’information chez SWIFT, est intervenu le mercredi dernier lors de l’évènement Financial Times Cyber Security Summit Europe afin de donner des détails sur les différentes mesures de sécurité prises pour renforcer la sécurité de ce système de transfert d’argent.
De prime abord, l’on note la franchise de l’entreprise qui n’a pas manqué de reconnaître ouvertement à travers les propos de Desausoi que « la menace est persistante, adaptative, sophistiquée » et n’est pas près de s’arrêter. Le responsable de la sécurité ajoute que « nous continuons à voir des cas où les environnements de nos clients ont été compromis et des tentatives subséquentes faites pour envoyer des paiements frauduleux ».
Aussi, pour offrir aux banques et autres entités des mesures de sécurité encore plus efficaces, Desausoi a présenté un nouvel outil baptisé Daily Validation Reports. Entendez par là, des rapports quotidiens de validation.
Selon le représentant de SWIFT, cet outil permet aux banques d’avoir un résumé journalier de leurs activités afin de détecter des messages anormaux qui seraient le fruit d’actions malveillantes. Pour Desausoi, « la menace exige une coopération dans toute l’industrie et une réponse à long terme sous la forme de notre Programme de Sécurité des Clients (CSP) ». Heureusement, ajoute-t-il, « un bon nombre d’attaques récentes ont été contrariées ou empêchées, soit parce que nos clients ont arrêté des instructions suspectes ou soit parce que les attaques ont été identifiées et les fraudes ont finalement été empêchées comme le résultat direct des mesures introduites par le CSP ».
Nous rappelons que le Programme de SWIFT pour la Sécurité des Clients est un programme englobant un certain nombre de directives (cinq en tout) en vue d’accroître la sécurité de ce système bancaire. Le nouvel outil, Daily Validation Reports, est une nouvelle mesure de ce programme afin d’atteindre les objectifs fixés dans le cadre du CSP.
Enfin, Desausoi rapelle que « des mesures comme notre Daily Validation Reports annoncé récemment, qui aident nos clients à préserver l’intégrité de leurs environnements, montrent que le programme progresse. Nous allons continuer à soutenir notre communauté, mais, comme la menace persiste, le rôle de nos clients reste absolument essentiel : tout client qui ne répond pas à la sécurité logique et physique de son environnement est en danger ».
Source : Swift
Et vous ?
:fleche: Que pensez-vous des récentes déclarations de SWIFT ? Sont-elles suffisantes pour rassurer les clients de ce système ?
Voir aussi
:fleche: SWIFT à nouveau utilisé pour détourner des fonds de plusieurs banques, le réseau veut contraindre ses membres à améliorer leur sécurité
Un nouveau groupe de hackers cible le système SWIFT pour mener des cyberattaques
Un nouveau groupe de hackers cible le système SWIFT pour mener des cyberattaques
Contre des banques internationales
La firme de sécurité Symantec a confirmé qu’un second groupe de hackers a cherché à dérober des banques en recourant à des messages frauduleux de SWIFT, une approche similaire à celle utilisée par un autre groupe dans l’opération lancée contre la banque centrale du Bangladesh et qui s’est soldée par le vol de 81 millions de dollars.
Symantec a dit que le groupe au nom de « Odinaff » a réussi à infecter entre dix et vingt organisations avec un malware qui peut être exploité pour cacher des requêtes de transferts frauduleux qui passent par le réseau interbancaire. Il faut savoir que le réseau SWIFT est un réseau interbancaire qui offre une palette de services extrêmement diversifiés : transferts de compte à compte, opérations sur devises ou sur titres, recouvrements, etc.
Les pirates ont réussi maintes fois à contourner les mesures de sécurité locales de plusieurs organisations afin d’entrer dans le système SWIFT, le but étant de générer des mandats bancaires et transférer des millions de dollars à des comptes frauduleux. « Depuis janvier, des campagnes discrètes impliquant un malware au nom de Trojan.Odinaff ont ciblé des institutions financières mondiales », a indiqué Symantec dans un billet de blog.
Les attaques semblent privilégier le secteur bancaire, boursier et le système de paie. Les firmes fournissant des services d’assistance ont été affectées également. Symantec a indiqué que la plupart de ces attaques ont ciblé les États-Unis, Hong Kong, l’Australie, le Royaume-Uni et l’Ukraine.
Des experts de sécurité prétendent que le groupe Lazarus qui a été responsable du vol du Bangladesh serait à l’origine de ces attaques, néanmoins Symantec estime que c’est bien un autre groupe cybercriminel appelé Carbanak qui est à blâmer cette fois. Symantec a réussi à trouver des similitudes dans les méthodes employées notamment une forte ressemblance entre ce malware et le programme malicieux utilisé par Carbanak dans le passé. « Cette nouvelle vague d’attaques a également exploité une infrastructure qui a été utilisée auparavant dans des campagnes de Carbanak. Cela inclut des adresses IP repérées auparavant et liées à des attaques du groupe. »
Les hackers ont eu recours à des documents de Microsoft Word et des archives RAR afin de cibler leurs victimes. Ces fichiers malicieux auraient été distribués par email (hameçonnage) dans le but de les installer sur les ordinateurs des victimes.
Symantec a donné des détails sur le cout des cyberattaques mêlant le système SWIFT : « Bien qu’il soit difficile de réaliser ce genre d’attaques, elles seraient fortement lucratives pour les cybercriminels. Les pertes liées aux attaques de Carbanak varient entre des dizaines de millions et des centaines de millions de dollars », a précisé Symantec.
Selon Reuters, une porte-parole de la société SWIFT a dit que l’équipe de l’intelligence de sécurité des clients a notifié l’ensemble des membres à propos des activités du groupe Odinaff au début de l’été dernier. L’alerte a inclus des indications techniques pour aider à contrecarrer des attaques potentielles et une description des méthodes et habitudes du groupe cybercriminel.
Source : Reuters - Symantec
Et vous ?
:fleche: Qu'en pensez-vous ?
Vol de la Banque centrale du Bangladesh : Kaspersky Lab livre le mode opératoire des pirates
Vol de 81 millions de $ à la Banque centrale du Bangladesh : Kaspersky Lab désigne le groupe de hackers Lazarus,
et publie leur mode opératoire
Nous vous annoncions en avril dernier que la Banque centrale du Bangladesh a été victime d'une attaque de grande envergure. Ladite attaque avait permis aux pirates de subtiliser dans les comptes de la banque la grosse somme de 81 millions de dollars. À l'époque, les pirates qui étaient derrière ce forfait n'avaient pas été identifiés, et il avait été rapporté que des chercheurs en sécurité de l’entreprise anglaise BAE Systems ont affirmé que les attaquants avaient réussi leur forfait en piratant le logiciel de la plateforme financière SWIFT qui est au cœur du système financier mondial. En effet, les attaquants auraient réussi à s’infiltrer dans le système de la coopérative regroupant plus de 3000 institutions financières, ce que la coopérative en question aurait confirmé.
Aujourd'hui, l'équipe des chercheurs en sécurité de Kaspersky, après une enquête qui aura duré presque une année en collaboration avec plusieurs autres experts en sécurité, vient de publier un rapport présentant les conclusions de leurs travaux. Dans son annonce, Kaspersky affirme que l'analyse des éléments de preuve laissés par les hackers durant des attaques lancées contre des institutions financières, des casinos, etc. montre que le piratage de la Banque centrale du Bangladesh pourrait être l'œuvre du célèbre groupe de hackers dénommé Lazarus. Ce groupe, d'après les informations recueillies, sont des spécialistes du cyberespionnage et du cybersabotage et aurait à son actif plusieurs attaques ayant pour cibles des banques, des médias... se trouvant dans plus de 18 pays à savoir la Corée, le Bangladesh, l'Inde, le Vietnam, l'Indonésie, le Costa Rica, la Malaisie, la Pologne, l'Irak, l'Éthiopie, le Kenya, le Nigeria, l'Uruguay, le Gabon, la Thaïlande, etc.
Kaspersky affirme également que le groupe de hackers en l'occurrence Lazarus aurait tenté de lancer une série d'attaques visant d'autres banques du Sud-Est asiatique et d'Europe. Toutefois, ces tentatives se seraient soldées par des échecs grâce à des logiciels de sécurité et à l'intervention d'experts en la matière.
S'agissant du mode opératoire des pirates, les experts en sécurité de Kaspersky expliquent que ces derniers sont arrivés à ouvrir une brèche dans l'un des systèmes informatiques de la banque. Et pour arriver à faire cela, les hackers auraient soit travaillé à distance en exploitant une vulnérabilité localisée sur un serveur web par exemple, soit en menant une attaque communément appelée attaque de trou d'eau (en anglais : watering hole) qui revient à piéger un site légitime. Pour rappel, ce dernier fait référence à un prédateur, car il est d'abord précédé d'une surveillance par le hacker/prédateur des habitudes de navigation de la victime/proie (qui peut être une personne ou un ensemble de personnes travaillant pour une société cible).
Une fois que l'ordinateur d'une victime (un employé de la banque qui est ciblée par l'attaque) est infecté, les hackers passent à la vitesse supérieure en accédant à d'autres ordinateurs au sein desquels des backdoors (portes dérobées) vont être déployés. Grâce à cette opération, les pirates auront la liberté de pénétrer le réseau à leur guise en se servant des logiciels malveillants qu'ils ont installés.
Une fois l'accès au réseau de la banque établi, les attaquants vont passer plusieurs jours à étudier le trafic dans l'optique d'identifier les ressources qui seraient susceptibles de les intéresser notamment les serveurs de sauvegarde des données d’identification, les serveurs de messagerie, les outils en charge du contrôle des noms de domaine, les serveurs ou sont consignées les informations relatives aux transactions financières, etc. Au terme de leur surveillance, les hackers vont passer à l'offensive en déployant l'outil malveillant qui leur permet de contourner l'ensemble des outils de sécurité se trouvant dans les logiciels dédiés aux opérations financières. Partant de là, la voie devient libre pour eux afin d'effectuer, au nom de la banque, des transactions illicites.
Les experts de Kaspersky soutiennent que le groupe Lazarus a commencé à se faire connaître depuis décembre 2015. Toutefois, tout laisse présager que ces derniers ne comptent pas s'arrêter de si tôt d'autant plus que Kaspersky affirme que des échantillons malveillants ont été récemment découverts précisément au mois de mars dernier.
« Nous avons la certitude que les pirates vont refaire surface. Les attaques comme celles menées par le groupe Lazarus montrent qu’une erreur de configuration, même minime, peut ouvrir une brèche importante dans le réseau d’une entreprise, avec comme conséquence la perte probable de plusieurs centaines de millions de dollars. Nous espérons que les dirigeants des banques, des casinos et de sociétés de placement du monde entier apprendront à se méfier de Lazarus », a déclaré Vitaly Kamluk, Directeur de l’équipe de recherches et d’analyses chez Kaspersky Lab.
Source : Kaspersky Lab - Rapport Kaspersky
Et vous ?
:fleche: Que pensez-vous de cette attaque dont la Banque centrale du Bangladesh a fait l'objet ?
:fleche: Que pensez-vous du mode opératoire des pirates ?
