Egy nappal az után, hogy a Galileo kémprogram világméretű hálózatát bemutató tanulmányukat közzétették, a Kaspersky Lab kutatói újabb, szenzációsnak szánt közleményt adtak ki: a szakemberek egy célzott támadás egyértelmű nyomait fedezték fel, amely egy nagy európai bank ügyfeleit célozta.
A részletes ismertető szerint a támadók szerverein talált naplók szerint egyértelmű, hogy mindössze egy hét leforgása alatt a csoport több mint félmillió eurót lopott a bank számlatulajdonosaitól. A kampány első jeleit január 20-án fedezték fel, amikor is a vállalat szakértői egy C&C szervert azonosítottak a neten. A szerver kezelőpanelja mutatta meg egy trójai program egyértelmű nyomait, amely az érintett bank ügyfeleinek bankszámláját célozta. A szakértők tranzakciós naplókat is azonosítottak a szerveren, amelyek tartalmazzák, hogy mely számlákról mekkora összegeket loptak el. Összességében több mint 190 áldozatot lehetett azonosítani, akik főleg olasz és török állampolgárok. Az ellopott összegek 1700 és 39 ezer euró között mozognak.
A kampány legalább már egy hete zajlott, amikor a C&C szervert felfedezték. Ezalatt a bűnözők több mint 500 ezer eurót loptak el. Két nappal az után, hogy a szervert felfedezték, a bűnözők eltávolítottak minden bizonyítékot, amelyekkel nyomon lehetett volna őket követni. Azonban a szakértők szerint ez valószínűleg a rosszindulatú kampány informatikai infrastruktúrájában eszközölt változtatásokra utal, nem pedig a Luuuknak elnevezett kampány végét jelzi: „Nem sokkal a C&C szerver észlelése után, felvettük a kapcsolatot az érintett bank biztonsági szolgálatával és a hatóságokkal, akiknek átadtunk minden bizonyítékot, hogy az ügyet mihamarabb kivizsgálhassák” – nyilatkozta Vicente Diaz, a Kaspersky Lab vezető biztonsági kutatója.
A Luuuk (a nevet egyébként a hozzáférési út alapján választották: /server/adm/luuuk/ ) esetében a szakértők szerint a fontos pénzügyi adatokat automatikusan fogták el, és a kétes ügyleteket azonnal végrehajtották, mihelyt az áldozatok bejelentkeztek online bankszámlájukra: „A C&C szerveren nem találtunk konkrét információt arra vonatkozólag, hogy melyik rosszindulatú programot használták a kampányban. Azonban sok létező Zeus variáció (Citadel, SpyEye, IceIX) rendelkezik a szükséges képességekkel. Úgy gondoljuk, hogy a rosszindulatú vírus a Zeus egyik változata volt.” – tette hozzá Vicente Diaz.
Lehet, hogy még nincs vége
Az ellopott pénzek egy már rég alkalmazott módszerrel jutottak el a bűnözők számláira: szakértők rábukkantak a bűnszövetkezet angolul money mule-nak nevezett közvetítőire, akiknek számláira átutalták a lopott összegeket, és akik ATM-ken keresztül kivették a pénzt. Bizonyítékokat találtak több közvetítői csoportról, amelyekhez különböző összegek voltak hozzárendelve. Az egyik csoport a 40 és 50 ezer euró közötti összegek kezeléséért volt a felelős, míg a másik a 15 és 20 ezer euró közötti összegekért, végül a harmadik a 2000 euró alatti összegekért: „A kezelt pénzösszegek nagyságában mutatkozó különbségek arra utalnak, hogy egyesekben jobban megbíztak az akció vezetői, mint másokban. Tudjuk, hogy a bűnözők gyakran átverik egymást, és előfordulhat, hogy lelépnek a pénzzel. A Luuuk vezetői is ezeket a veszteségeket próbálták minimalizálni a különböző csoportok létrehozásával” – kommentálta a kutatás eredményeit Vicente Diaz.
A Luuuk C&C szerverét röviddel a vizsgálat megkezdése után leállították. Azonban a komplex kivitelezés miatt a szakértők úgy gondolják, hogy a támadók folytatják tevékenységüket újabb és újabb áldozatok után kutatva. A Kaspersky Lab szakemberei részt vesznek a folyamatban lévő vizsgálatban, amely a Luuuk tevékenységeit vizsgálja.
