Luuuk félmillió eurót lopott egyetlen hét alatt

A Kaspersky Lab szakértői egy új, pénzügyi csalásra specializálódott csoportot azonosítottak.

A Kaspersky Lab kutatói egy célzott támadás egyértelmű nyomait fedezték fel, amely egy nagy európai bank ügyfeleit célozta. A támadók szerverein talált naplók szerint egyértelmű, hogy mindössze egy hét leforgása alatt a csoport több mint félmillió eurót lopott a bank számlatulajdonosaitól. A kampány első jeleit január 20-án fedezték fel, amikor is a vállalat szakértői egy C&C szervert azonosítottak a neten. A szerver kezelőpanelja mutatta meg egy trójai program egyértelmű nyomait, amely az érintett bank ügyfeleinek bankszámláját célozta.

A szakértők tranzakciós naplókat is azonosítottak a szerveren, amelyek tartalmazzák, hogy mely számlákról mekkora összegeket loptak el. Összességében több mint 190 áldozatot lehetett azonosítani, akik főleg olasz és török állampolgárok. Az ellopott összegek 1700 és 39 000 euró között mozognak.

A kampány legalább már egy hete zajlott, amikor a C&C szervert felfedezték. Ezalatt a bűnözők több mint 500 000 eurót loptak el. Két nappal az után, hogy a szervert felfedezték, a bűnözők eltávolítottak minden bizonyítékot, amelyekkel nyomon lehetett volna őket követni. Azonban a szakértők szerint ez valószínűleg a rosszindulatú kampány informatikai infrastruktúrájában eszközölt változtatásokra utal, nem pedig a Luuuk kampány végét jelzi.

"Nem sokkal a C&C szerver észlelése után, felvettük a kapcsolatot az érintett bank biztonsági szolgálatával és a hatóságokkal, akiknek átadtunk minden bizonyítékot, hogy az ügyet mihamarabb kivizsgálhassák." - mondta Vicente Diaz, a Kaspersky Lab vezető biztonsági kutatója. A LUUUK esetében a szakértők szerint a fontos pénzügyi adatokat automatikusan fogták el, és a kétes ügyleteket azonnal végrehajtották, mihelyt az áldozatok bejelentkeztek online bankszámlájukra.

"A C&C szerveren nem találtunk konkrét információt arra vonatkozólag, hogy melyik rosszindulatú programot használták a kampányban. Azonban sok létező Zeus variáció (Citadel, SpyEye, IceIX) rendelkezik a szükséges képességekkel. Úgy gondoljuk, hogy a rosszindulatú vírus a Zeus egyik változata volt." - tette hozzá Vicente Diaz.

Az ellopott pénzek nagyon érdekes és szokatlan módon jutottak el a bűnözők számláira. Szakértők rábukkantak a bűnszövetkezet angolul money mule-nak nevezett közvetítőire, akiknek számláira átutalták a lopott összegeket, és akik ATM-ken keresztül kivették a pénzt. Bizonyítékokat találtak több közvetítői csoportról, amelyekhez különböző összegek voltak hozzárendelve. Az egyik csoport a 40 és 50 000 euró közötti összegek kezeléséért volt a felelős, míg a másik a 15 és 20 000 euró közötti összegekért, végül a harmadik a 2000 euró alatti összegekért.

"A kezelt pénzösszegek nagyságában mutatkozó különbségek arra utalnak, hogy egyesekben jobban megbíztak az akció vezetői, mint másokban. Tudjuk, hogy a bűnözők gyakran átverik egymást, és előfordulhat, hogy lelépnek a pénzzel. A Luuuk vezetői is ezeket a veszteségeket próbálták minimalizálni a különböző csoportok létrehozásával." - kommentálta a kutatás eredményeit Vicente Diaz.

A Luuuk C&C szerverét röviddel a vizsgálat megkezdése után leállították. Azonban a komplex kivitelezés miatt a szakértők úgy gondolják, hogy a támadók folytatják tevékenységüket újabb és újabb áldozatok után kutatva. A Kaspersky Lab szakemberei részt vesznek a folyamatban lévő vizsgálatban, amely a Luuuk tevékenységeit vizsgálja.