Ou comment une fraude aussi complexe, infectant à la fois les ordinateurs et les terminaux mobiles, a pu prendre une telle ampleur et se classer parmi les attaques les plus fructueuses à ce jour… et quelles sont les implications en matière de sécurité pour les banques et leurs clients. Par Terry Greer‐King, pour DataSecurityBreach.fr, chercheur britannique pour Check Point ayant découvert la fraude en association avec Versafe.

Dans l’histoire des braquages de banque, le vol des 30 millions € (47 millions USD) perpétré en 2012 dans le cadre de l’attaque Eurograbber se classe parmi les plus grands méfaits de tous les temps, à l’échelle mondiale. Et sachant que cette somme a été dérobée sur les comptes de plus de 30 000 clients ouverts auprès d’une trentaine de banques dans quatre pays européens, via un logiciel malveillant affectant à la fois les ordinateurs et les téléphones portables des particuliers, on peut également dire que l’on a affaire à l’un des vols lesplus complexes jamais commis au jour.

Toutefois, le plus inquiétant dans l’histoire, c’est que l’attaque Eurograbber s’est jouée du système d’authentification à deux facteurs des banques, de façon que les transactions frauduleuses leur paraissent parfaitement légitimes. C’est l’une des raisons pour lesquelles Eurograbber a pu rester en activité pendant des mois sans se faire détecter, permettant ainsi aux criminels responsables de voler toujours plus d’argent. Comment les pirates sont‐ils parvenus à mettre en oeuvre l’attaqueEurograbber ? Et comment les banques et leurs clients peuvent‐ils se prémunir à l’avenir contre ce genre de menaces ?

La réussite d’Eurograbber repose avant tout sur la connaissance approfondie qu’avaient les pirates du mode de fonctionnement des systèmes bancaires en ligne des particuliers et des entreprises. L’attaque ciblait spécifiquement la méthode d’authentification à deux facteurs consistant à envoyer un code à usage unique par SMS vers un terminal mobile, lequel était intercepté afin que les pirates puissent exploiter les données authentiques.

Une attaque menée sur deux fronts Les pirates ont procédé en deux temps. Lors de la première phase, il s’agit d’infecter l’ordinateur du client de manière transparente et de récupérer ses informations bancaires par le biais d’un e‐mail d’hameçonnage contenant un lien frauduleux ou lors de la consultation d’une page Internet malveillante.

Cette action déclenche le téléchargement, sur l’ordinateur du client, d’une version personnalisée du cheval de Troie bien connu dénommé Zeus, lequel reste inactif jusqu’à ce que le client accède à son compte bancaire. Le programme lance alors une version frauduleuse du site Web de la banque qui contient des instructions de « mise à niveau » du système bancaire en ligne de l’utilisateur. Ce dernier est alors invité à saisir de nouveau ses numéros de compte et autres renseignements bancaires, mais aussi son numéro de téléphone portable. La page demande ensuite à l’utilisateur de suivre les instructions qui vont lui être envoyées par SMS afin de finaliser la mise à niveau.

C’est la deuxième phase de l’attaque. Lorsque l’utilisateur reçoit le message, apparemment en provenance de sa banque, il a pour instruction de cliquer sur un lien hypertexte afin d’achever la « mise à niveau des services bancaires ». Or cette action déclenche le téléchargement de la version mobile du cheval de Troie Zeus (baptisée ZITMO) sur le téléphone portable. Si le modèle est compatible (Blackberry, Android ou Symbian), le terminal est infecté. Pas besoin de faux codes d’authentification de la transaction C’est ainsi que l’ordinateur et le téléphone portable de l’utilisateur sont pris pour cible. À partir de là, à chaque consultation des comptes bancaires en ligne, le programme malveillant réalise une transaction visant à transférer des fonds. L’attaque fonctionne selon le schéma suivant : le cheval de Troie sur l’ordinateur détecte l’accès au système bancaire en ligne et envoie à la banque, de façon transparente, une demande de virement vers le compte « mule » du pirate. Lorsque la banque reçoit cette requête, elle génère le code d’authentification de la transaction et l’envoie par SMS sur le téléphone portable du client, où il est intercepté par le cheval de Troie. Ce dernier extrait alors le code à partir du SMS et le renvoie à la banque pour finaliser la transaction bancaire illicite.

Les transactions frauduleuses sont complètement transparentes pour le client, étant donné qu’il ne voit pas les SMS envoyés par la banque sur son téléphone portable. Et la banque n’a aucune raison de douter de leur légitimité. Les pirates ont même configuré le programme de façon à limiter le montant des fonds transférés à chaque transaction en fonction d’un pourcentage du solde du compte, ce qui a contribué à ce que leurs méfaits passent inaperçus.

Questions relatives à la sécurité Quels enseignements peut‐on tirer de l’attaque Eurograbber sur le plan de la sécurité ? Les pirates sont effectivement parvenus à trouver la faille des méthodes d’authentification hors bande, dans le cadre desquelles un code à usage unique est créé et envoyé vers un téléphone portable — système qui s’avère relativement fréquent en Europe. Même si les banques ayant recours à d’autres méthodes d’authentification n’ont pas été inquiétées par l’attaque Eurograbber, cette dernière souligne bien qu’il est possible de mettre au point un exploit visant un système d’authentification en particulier… et que les pirates ont la patience et les ressources nécessaires pour parvenir à leurs fins. Il y a deux ans à peine, le code de la solution d’authentification à deux facteurs numéro un sur le marché avait été dérobé, la rendant ainsi vulnérable à d’éventuelles attaques. Aucune solution d’authentification n’est donc à l’abri. Cependant, cette attaque met également en lumière le rôle essentiel joué par les usagers des services bancaires en ligne sur le plan de la sécurité. Eurograbber a pris pour cible les clients, et non directement les banques. Par conséquent, pour se protéger au mieux contre d’éventuelles attaques de type Eurograbber, il convient de veiller à ce que les clients des banques en ligne se dotent d’un système de défense à jour opérant en deux points stratégiques : au niveau du réseau d’accès Internet utilisé pour consulter leurs comptes bancaires et au niveau de l’ordinateur servant à réaliser leurs opérations bancaires en ligne.

Protection des usagers Il est important de répéter aux usagers des services bancaires en ligne que les banques ne leur enverront jamais d’e‐mails non sollicités. Ils ne doivent donc pas répondre à ce type de message, car il s’agit de tentatives d’hameçonnage. Les utilisateurs sont encouragés à protéger leur ordinateur personnel à l’aide d’un logiciel antivirus à jour et d’un pare‐feu. La question du coût ne se pose pas ici : il existe des solutions gratuites, ZoneAlarm ou autres, qui assurent une protection équivalente aux meilleurs produits payants du marché. Elles sont en mesure de détecter les variantes du cheval de Troie Zeus avant qu’il ait infecté l’ordinateur de l’utilisateur. Autre mesure préventive capitale : l’installation régulière des mises à jour logicielles sur l’ordinateur, de façon à maintenir un système de sécurité aussi récent que possible. Si le cheval de Troie d’Eurograbber est déjà présent sur l’ordinateur, il tentera de se connecter à son serveur de contrôle et de commande (C&C) pour infecter sa cible et réaliser des transferts de fonds depuis le compte bancaire du client. Dans ce cas, l’installation d’un pare‐feu permettra de bloquer cette communication et la mise à jour du logiciel antivirus, suivie d’une analyse, devrait détecter l’infection et l’éliminer.

En conclusion, il n’existe pas de « solution miracle » garantissant la protection contre les cyberattaques de type Eurograbber. Il faut simplement rester constamment vigilant et s’assurer que les protocoles de sécurité mis en oeuvre par les banques et leurs clients sont les plus complets et les plus à jour possible. Ces mesures offrent la meilleure chance de contrer la prochaine tentative des cybercriminels.