1
• Group-IB выкатили интересный разбор инцидента, когда хакеры (UNC2891) подключили 4G Raspberry Pi к сетевому коммутатору банкомата и получили доступ к внутренней сети банка.
• Кстати, ранее хакеры из UNC2891 уже атаковали банковские системы, в том числе с помощью руткита для ядра Unix «Caketap», созданного для работы на системах Oracle Solaris. Caketap манипулирует ответами аппаратного модуля безопасности (HSM), в частности, сообщениями о проверке карт, для авторизации мошеннических транзакций.
• В данном случае, на Raspberry Pi был установлен бэкдор TinyShell, который обеспечил атакующим канал связи и непрерывный доступ к банкоматам, полностью обходя средства сетевой защиты.
• На последующих этапах хакеры переместились на сервер сетевого мониторинга, через который осуществлялся доступ к центру обработки данных банка. Оттуда они переключились на почтовый сервер, имеющий прямой доступ в интернет, что обеспечило сохранение активности даже после обнаружения и удаления Raspberry Pi. Бэкдоры, использованные для бокового перемещения, получили название «lightdm» для имитации легитимного диспетчера отображения LightDM, используемого в системах Linux.
• Согласно расследованию Group-IB, сервер сетевого мониторинга внутри банковской сети каждые 600 секунд посылал сигналы Raspberry Pi через порт 929. Это указывает на то, что устройство служило опорным хостом. Исследователи утверждают, что конечной целью злоумышленников было развёртывание руткита Caketap.
• Но по итогу атака не удалась, а инцидент стал редким примером сложной атаки с физическим и удалённым доступом. Полный разбор инцидента есть по ссылке ниже:
➡️ https://www.group-ib.com/blog/unc2891-bank-heist
#Новости #Отчет