坐在家中点击鼠标万里之外ATM吐钞

2019-04-11 04:58:29 来源: 张家口信息港

高级主笔@PingWest US team,报道科技、生活方式、游戏、娱乐。线索请加 lichtspektrum 并适当表明身份。

本文转载自硅星人(公众号:guixingren123)

1.

2016 年 7 月 6 日,超级飓风尼伯特达到了强度。几乎笼罩了整个西北太平洋的热带气旋,即将于不久后肆虐台湾。

7 月 10 日晚间,台北人都躲在家中,等待风暴的消缩。

一对情侣来到台湾商业银行古亭分行,排队等着取款。

排在他们前面的是两个俄国人。他们站在提款机前,并没有插入银行卡,也没有进行任何操作,只是站在那里,玩着。

这让外面的人感到奇怪,但在当时没有人意识到,在尼伯特离去之际,却有另一场精心谋划的黑客风暴正在登陆台湾。

而这两个被帽子和口罩遮住了脸的俄国人,即将犯下台湾历史上规模、影响为恶劣的提款机劫案。

紧接着,更令人惊讶的事情发生了:大量钞票突然从提款机里喷出。钞票很快飞满了狭窄的房间,在地面上堆了厚厚的一层……

谢尔盖·别列佐夫斯基和弗拉基米尔·伯克曼,从地上快速地捞起钞票,疯狂塞进包中。没过多久,包就装满了。

二人摸了摸帽子和口罩,快步离开了银行,和被他们惊到不敢出声的那对情侣擦身而过,钻进一辆黑色轿车,消失在雨中。

一切开始的太快,也仿佛结束在瞬息之间。

后面的人开始报警。当他们靠近提款机,发现旁边的地上仍有俄国人未来得及装进包里的 6 万新台币钞票,和一张银行卡。

通过监控录像,警察追踪别列佐夫斯基和伯克曼到了台北君悦酒店,结果发现他们早已退房离开。警察又通过车牌号追踪到桃园机场,发现俄国人已经在早上 7 点登上国泰航空的班机,经香港飞回了莫斯科。

据台湾媒体,在超级飓风和黑客风暴同时席卷台湾的那个周末,共有 15 人通过同样的方式,洗劫了商业银行共 22 家分行和 41 台提款机,盗走了约 7,000 万新台币。

《彭博商业周刊》则报称数额更大,达到 8,300 万新台币,约合 270 万美元或人民币 1800 万元。

为什么不插卡、不进行操作,甚至不用碰任何东西,就能让 ATM 机“自动吐钞”?为什么他们又胆敢盗走数额如此巨大的现钞,装箱子都要装好几箱,存不进银行,上飞机也带不走,又怎么回收?

这到底是一个什么样的犯罪组织?警察对这种神奇的作案方式深感不解。

原来,臭名昭著的 Carbanak 犯罪集团,又开始行动了手相怎么算今年财运

2.

Carbanak 犯罪集团因其使用的软件闻名,软件早的版本叫做 Anunak,主要攻击银行,通过劫持提款机来获益。

2013 年,乌克兰的一家银行发生了起劫案,监控系统发现有人凌晨时间在提款机上,不用插卡也不用输密码就取走了大量的现金。

和台湾人一样,乌克兰人一开始也觉得是提款机被攻破了。银行请来了卡巴斯基,安全人员查看提款机芯片回收
,发现外观没有任何损坏,硬件没有被侵入,硬盘上也没有可疑记录。

后来调查范围扩大到了银行内部员工,才发现了问题所在:有人打开了一个包含恶意软件的 Word 文档,而发送者伪装成了制造提款机公司。

到了 2014 年,软件升级为 Carbanak,波及了乌克兰和俄罗斯的更多银行。

到了 2016 年,Carbanak 又升级成了 Cobalt,不但可以扰乱提款机,还可以允许黑客直接调高账户余额,然后再去取钱、转账,或者用购买数字货币等方式洗钱。

也正是因为它瞄准的是金融机构,和消费者关系不太大,所以在过去知名度并不高。

但是在财务损失上,Carbanak 的杀伤力远超 WannaCry、索尼公司和电影资料库入侵、雅虎入侵、Target 信用卡遭窃等比较知名的漏洞/入侵事件。从 2013 年开始,Carbanak 犯罪集团已经入侵了全球超过 40 个国家的 100 家银行和金融机构,导致超过 12 亿美元失窃。

和其他黑客攻击不同之处在于,Carbanak 攻击者不偷走东西然后要赎金,也不通过胁迫的方式达到商业或者政治目的,他们只偷钱,偷完就走。

Carbanak 是一种非常古老的黑客侵入方式。它能够攻破银行,不是因为能够击败银行花费巨资建立的内部安全系统,而是在于银行内部的某个人疏忽了,点开了邮件里不该点开的那个按钮。

也就是社会工程学。Carbanak 犯罪团伙伪造了一种合情合理的虚假情形,让银行员工以为自己的操作是正确的。而这是个相当漫长的过程。

步:黑客伪装成合作伙伴,发给受害者包含宏/恶意软件的邮件,,或者要受害者点击某个链接、下载某个附件。

受害者通常是银行或金融机构里面的职员,职位不需要很高,因为这样的话黑客就可以伪装成更高级别的上司,通过胁迫来取得效果。

比如,黑客可以把自己的邮件名改成受害者上司的邮件地址,伪装成银行高管,谎称忘记了自己的账号密码,但要紧急转一笔账,要求员工提供自己的账号。

(很多邮件服务都默认遮盖邮件地址,只显示名字,不够警惕的人很容易上当

本文标签: