Senza armi o violenza, ma con tecniche efficaci e consolidate, i cybercriminali si muovono per minare e magari far esplodere il mondo bancario. All'origine dei più recenti tentativi di attacco, si trova il modello estorsivo messo a punto dal gruppo Carbanak, identificato lo scorso anno da Kaspersky.
Proprio il fornitore di soluzioni di cybersecurity è ritornato di recente sul tema, per spiegare che il gruppo originale ha ripreso le proprie attività, ma allo stesso tempo i suoi metodi e tecniche sono stati utilizzati almeno da altri due gruppi di attaccanti, denominati Metel e Gcman, che finora hanno concentrato le proprie attività in Russia.
Metel, in particolare, è un gruppo di cyberattaccanti, che ha colpito una trentina di istituzioni finanziarie russe nel corso dell'ultimo anno. Il metodo si basa su un iniziale attività di phishing, avviata allo scopo di penetrare all'interno dei sistemi. In seguito, gli attaccanti introducono un malware di nuovo genere capace di infettare i sistemi di gestione della liquidità dei distributori automatici. Questo malware permette ai criminali di ritirare somme in contanti dai bancomat e poi annullare tutto automaticamente dopo la transazione. In questo modo, il conto corrente dell'utente resta intatto, mentre la banca si accorge della sottrazione di denaro solo tempo dopo.
Gcman funziona in modo simile, con un attacco di spear phishing, ma preferisce tradizionali strumenti di pentesting, quali Putty o Meterpreter, una volta infiltrato nel sistema da colpire. Kaspersky poi ha constatato che la presenza all'interno dei sistemi permane anche oltre 18 mesi dall'infezione iniziale, una vero e proprio record.
Per lo specialista di sicurezza, questi due gruppi hanno sostanzialmente ereditato e sviluppato la linea di condotta originaria di Carbanak. Il gruppo identificato nel 2015 si distingueva per l'utilizzo di metodi tradizionalmente legati ad attività di tipo Apt (Advanced Persistent Threat) e attacchi statici, indirizzandosi a bersagli identificati nelle istituzioni bancarie e finanziarie.
Dopo un breve periodo di silenzio, Carbanak pare aver ripreso le proprie operazioni di pirateria, anche se gli obiettivi sono oggi differenti. Tracce di questa attività cybercriminale sono state ritrovate all'interno di una società di telecomunicazioni, segno che il gruppo starebbe cercando di diversificare le proprie attività. Nel 2015 gli attacchi al mondo bancario avrebbero provocato perdite nelle banche colpite per un valore di un miliardo di dollari.