Carbanak, el ciberrobo del siglo

Se estima que ha estafado aproximadamente mil millones de dólares y que ha afectado a bancos en todo el mundo, principalmente en Europa, Estados Unidos y China, entre el 2013 y el 2014.

Modus Operandi

Cada ataque empezaba con un email de spear phising bien organizado, que contenía un adjunto infectado que instalaba en el sistema víctima una backdoor. Esta permitía acceder a toda la red del objetivo (bancos en este caso). A partir de ese momento los agresores, mediante una serie de movimientos laterales, buscaban y obtenían acceso a un «punto de interés» de la red, un ordenador mediante el cual fuese posible efectuar transferencias de dinero.

Después los delincuentes instalaban en los terminales infectados herramientas de acceso remoto capaces de capturar vídeos, pantallazos y todo lo que se tecleaba en el teclado. Su objetivo era aprender la «rutina» de cada uno de los empleados y recoger los datos necesarios para personalizar el comportamiento de los empleados y para realizar transferencias de dinero mimetizándolas en actividades y rutinas cotidianas. Empezaba así la fase de supervisión. Cada banco tiene mecanismos y procedimientos internos diferentes, esta fase era diferente para cada banco, y podía durar de 2 a 4 meses. Una vez que estaban bien formados, empezaban los robos. Los métodos eran principalmente dos:

1. Transferencias de dinero virtual de cuentas «infladas»: uno de los delincuentes, encargado de las bases de datos, «inflaba» las cuentas de clientes del banco poco activos sobrescribiendo su saldo, y justo después otro delincuente, encargado de transferir el dinero, trasladaba los fondos creados a otros bancos, hasta llegar a sus cuentas.
2. Control de los cajeros: el delincuente encargado de los dispositivos informáticos específicos del banco acordaba con personal local, denominado «mulos», una serie de robos en los cajeros. El primero configuraba el sistema de manera que el cajero suministrase dinero en días y horarios específicos, mientras que los «mulos» se dirigían al lugar y retiraban el dinero, aquí tenéis el vídeo de un robo en los cajeros.

La compleja red organizativa que se oculta tras estos ataques reproduce la del delito organizado. En la cima se encuentran ciberdelincuentes, probablemente de lengua rusa, que han ideado y diseñado el método de ataque. Por debajo de estos encontramos a un gran número de personal técnico o bancario, ya experto y adaptado a formarse y aprender rápido los procedimientos bancarios específicos de los objetivos. Por último, todavía más abajo, la fuerza de trabajo propiamente dicha, los encargados de retirar y de mover el dinero físico, así como aquellos que abrían las cuentas a las que se transfería dinero o que servían de cebo.

Actualmente el Carbanack es el robo cibernético más rentable de la historia.

Cómo defenderse

• En primer lugar, es importante ser consciente de los peligros a los que nos enfrentamos en el lugar de trabajo: una buena solución de conciencia en ciberseguridad, como Sababa Awareness, habría sin duda mitigado la eficacia de estos ataques en su fase de intrusión en la red víctima, y los usuarios habrían sabido, gracias a formación y entrenamientos específicos, cómo comportarse en este tipo de situación para poder identificar rápido el ataque.
• La implementación de una solución antispam y antiphishing hubiera servido de protección frente a todos los emails infectados, resolviendo el problema de raíz.
• Por último, un análisis profundo de los datos procedentes de la red interna, mediante un Centro Operativo de Seguridad o una solución como Sababa 360, hubiera revelado todos los movimientos laterales y los tráficos anómalos generados inevitablemente por los atacantes, permitiendo dar una rápida respuesta a cualquier intrusión, limitando los daños.