Carbanak: Diebe sehen Banker arbeiten, bevor sie sie imitieren

Ein Händler kann Geld übergeben, ohne dass ein legitimer Kunde eine Auszahlung verlangt. Hinter dieser Szene verbirgt sich manchmal eine lange Beobachtungszeit. Kaspersky-Ermittler beschreiben 2015 eine Kampagne, die sich direkt an Banken richtete: Carbanak.

Gezielte E-Mails und deren Anhänge ermöglichen ein erstes Eindringen. Angreifer gehen dann durch das Netzwerk, um Mitarbeiter- und Administratorpositionen zu beobachten. Sie zeichnen Bildschirme auf und lernen die notwendigen Gesten, um Geld zu bewegen, ohne auf einen gefälschten Kunden am Schalter angewiesen zu sein.

Abhängig von den betroffenen Institutionen und Systemen haben Exits unterschiedliche Formen: betrügerische Überweisungen, Kontomanipulation oder Abhebungen von Händlern, die von Komplizen zurückgewonnen werden. Die Stärke der Kampagne liegt in der Nachahmung gewöhnlicher Bankverfahren aus einer illegitimen internen Position.

Anomalien führen dazu, dass Banken, Strafverfolgungsbehörden und Spezialisten Vorfälle näher zusammenbringen. Kaspersky meldete Verluste von bis zu 1 Milliarde US-Dollar. Dies ist eine kumulative schätzung für mehrere opfer, nicht eine milliarde, die in einer nacht aus einer einzigen brust gestohlen wurde.

Im Jahr 2018 kündigte eine internationale Polizeioperation die Festnahme eines mutmaßlichen Führers in Spanien an, der mit den Kampagnen von Carbanak und Cobalt in Verbindung steht. Die polizeibeschreibung umfasst mehrere jahre, mehrere werkzeuge und viele länder. Der Name einer Software bedeutet nicht unbedingt eine einzelne Organisation, die unverändert bleibt.

Der Fall wird verstanden, indem das übliche Bild des Hackers umgekehrt wird: Angreifer suchen nicht nur nach einer offenen Tür. Sie nehmen sich die Zeit, um zu erfahren, was eine autorisierte Person tun würde, nachdem sie es durchgemacht hat.