Криминальные Raspberry Pi атакуют банкоматы

Группа киберпреступников предприняла весьма необычную и продуманную попытку взлома банкоматной инфраструктуры банка, используя мини-компьютер Raspberry Pi с поддержкой 4G.

Согласно отчёту международной компании Group-IB, устройство было тайно установлено на сетевом коммутаторе, обслуживающем банкоматы, что позволило злоумышленникам войти непосредственно во внутреннюю сеть банка. Группа, известная под кодовым именем UNC2891, использовала этот физический доступ, чтобы полностью обойти цифровые меры защиты, тем самым доказав, что физический взлом по-прежнему может быть эффективнее программных барьеров.

Raspberry Pi служил скрытой точкой входа с возможностью удалённого подключения через 4G-модем. Это давало преступникам постоянный контроль над сетью банка, и при этом они обходили стандартные механизмы защиты — ни фаерволы, ни антивирусные средства не обнаруживали их присутствие.

«Одна из самых необычных особенностей этого случая — физический доступ для установки Raspberry Pi», — отмечает старший специалист по цифровой криминалистике компании Group-IB Нам Ле Фуонг. «Устройство было напрямую подключено к тому же коммутатору, что и банкоматы, фактически внедрившись во внутреннюю инфраструктуру банка».

Используя мобильный интернет, преступники минимизировали шансы быть замеченными, распространяя по сети специально написанное вредоносное ПО и перемещаясь по инфраструктуре банка. Для управления коммуникациями по сети применялся инструмент TinyShell, позволявший незаметно передавать данные между внутренними системами.

Экспертиза показала, что UNC2891 применяла многоуровневую стратегию маскировки. Вредоносные процессы назывались «lightdm», чтобы напоминать легитимные процессы операционной системы Linux. Кроме того, эти вредоносы запускались из нестандартных директорий, например /tmp, маскируясь под обычные системные задачи. Дополняя картину, преступники использовали специфическую технику Linux bind mounts для сокрытия метаданных процессов от средств анализа — до этого подобная тактика практически не фиксировалась в активных атаках.

Этот подход настолько нов, что теперь занесён в специализированный международный справочник кибератак MITRE ATT&CK, где собирают уникальные методы уклонения от детектирования.

Расследование также установило: сервер мониторинга банка незаметно опрашивал Raspberry Pi каждые 600 секунд, причём подобное поведение ничем особо не выделялось и не вызывало подозрений. Однако глубокий анализ памяти выявил, что процессы были замаскированы, а коммуникации — шире, чем казалось: Raspberry Pi обменивался данными с внутренним почтовым сервером, подключённым к интернету на постоянной основе. Даже после физического удаления устройства злоумышленники сохранили доступ — они заранее подготовили резервный способ проникновения в сеть.

Целью преступников был захват ATM-сервера и установка специализированного вредоносного ПО — руткита CAKETAP. Это ПО способно перехватывать контроль над аппаратными модулями безопасности и разрешать проведение несанкционированных операций, благодаря чему мошенники могут снимать деньги, а банкам происходящее будет казаться обычной транзакцией.

К счастью, атаку удалось остановить до того, как план был реализован в полной мере.

Этот инцидент наглядно показывает, насколько опасно сочетание физического доступа и современных средств маскировки, а также напоминает: кроме удалённого взлома, угрозу сотрудникам и клиентам могут нести внутренние преступники или физическое вмешательство в системы банков.