Les experts de l’équipe GReAT (Global Research & Analysis Team) de Kaspersky Lab ont découvert les preuves d’une attaque ciblée contre les clients d’une grande banque européenne. Selon les fichiers journaux du serveur utilisé par les auteurs de l’attaque, il semblerait qu’en l’espace d’à peine une semaine, des cybercriminels aient dérobé plus d’un demi-million d’euros sur des comptes au sein de l’établissement bancaire. Les premiers signes de cette campagne de fraude ont été détectés le 20 janvier 2014 lorsque les experts de Kaspersky Lab ont repéré un serveur de commande et de contrôle (C&C) sur le réseau. Le tableau de bord du serveur a révélé l’existence d’un cheval de Troie destiné à siphonner les comptes des clients de la banque.
Sur le serveur, les experts ont également trouvé des journaux de transaction, détaillant les montants prélevés et les comptes piratés. Au total, ce sont plus de 190 victimes qui pourraient être recensées, la plupart résidant en Italie et en Turquie. Selon ces informations, les sommes volées sur chaque compte vont de 1 700 à 39 000 euros. La campagne durait depuis au moins une semaine au moment de la découverte du serveur C&C, ayant commencé au plus tard le 13 janvier 2014. A ce moment-là, plus de 500 000 euros avaient été dérobés. Deux jours après cette découverte par l’équipe GReAT, les cybercriminels avaient fait disparaître toute trace qui aurait permis de remonter jusqu’à eux. Cependant, les experts estiment que cela est probablement lié à des modifications de l’infrastructure technique employée par cette campagne malveillante, dénommée The Luuuk, plutôt qu’à son interruption.
« Peu après la détection de ce serveur C&C, nous avons contacté les services de sécurité de la banque et les pouvoirs publics, en leur remettant tous les éléments en notre possession », précise Vicente Diaz, chercheur principal en sécurité chez Kaspersky Lab.
Outils malveillants employés
Dans le cas de The Luuuk, les experts ont des raisons de penser que d’importantes données financières ont été interceptées automatiquement et que des transactions frauduleuses ont été exécutées dès que les victimes se sont connectées à leurs comptes bancaires en ligne. « Sur le serveur C&C, nous n’avons trouvé aucune information indiquant quel programme malveillant spécifique a été utilisé dans cette campagne. Cependant, de nombreuses variantes existantes de Zeus (Citadel, SpyEye, IceIX, etc.) possèdent la capacité nécessaire. Nous pensons donc que le malware employé en l’occurrence pourrait être une variante de Zeus injectant du code Web sophistiqué chez ses victimes », explique Vicente Diaz.
Techniques de détournement de fonds
L’argent volé a été transféré sur les comptes des escrocs de manière assez inhabituelle. Nos experts ont remarqué une originalité dans l’organisation des « mules », c’est-à-dire des comparses qui reçoivent une partie du butin sur des comptes spécialement créés à cet effet et retirent l’argent à des distributeurs. Il s’avère que plusieurs groupes distincts de « mules » se sont vus chargés du transfert de différents montants, l’un étant responsable des sommes de 40 000 à 50 000 euros, un autre de 15 000 à 20 000 et un troisième de 2 000 euros au maximum. « Ces écarts dans les montants confiés aux différentes mules pourraient refléter divers degrés de confiance dans chacune. Nous savons que les membres de ces réseaux dupent souvent leurs complices et disparaissent avec l’argent retiré. Les instigateurs de The Luuuk peuvent donc se couvrir contre ce risque en constituant différents groupes plus ou moins fiables et en leur confiant des sommes plus ou moins élevées », conclut Vicente Diaz. Le serveur C&C lié à The Luuuk a été fermé peu après le début de l’enquête. Cependant, le niveau de complexité de cette opération de type MITB (man in the browser) laisse supposer que les auteurs de l’attaque vont continuer à rechercher de nouvelles victimes.
