UNC2891: Angriff auf ATM-Netzwerke mit 4G Raspberry Pi

SINGAPUR / LONDON (IT BOLTWISE) – Eine neue Bedrohung für die Finanzwelt hat sich in Form von UNC2891 manifestiert, einer Gruppe von Cyberkriminellen, die sich auf die Infiltration von Geldautomaten-Netzwerken spezialisiert hat.

Die Bedrohung durch Cyberkriminalität nimmt stetig zu, und die jüngsten Aktivitäten der Gruppe UNC2891 verdeutlichen dies eindrucksvoll. Diese Gruppe hat es geschafft, mit einem 4G-fähigen Raspberry Pi in die Netzwerke von Geldautomaten einzudringen. Die Angreifer nutzten ihre physische Präsenz, um das Gerät direkt an denselben Netzwerkswitch wie die Geldautomaten anzuschließen, wodurch sie effektiv in das Netzwerk der Zielbank eindringen konnten. Wie genau sie diesen Zugang erlangten, bleibt unklar.

Der Raspberry Pi war mit einem 4G-Modem ausgestattet, das einen Fernzugriff über mobile Daten ermöglichte. Laut dem Sicherheitsforscher Nam Le Phuong wurde ein TINYSHELL-Backdoor verwendet, um einen ausgehenden Command-and-Control-Kanal über eine dynamische DNS-Domain zu etablieren. Diese Einrichtung erlaubte einen kontinuierlichen externen Zugriff auf das ATM-Netzwerk und umging so die traditionellen Netzwerksicherheitsmaßnahmen.

UNC2891 wurde erstmals im März 2022 von Mandiant dokumentiert, einem Unternehmen im Besitz von Google. Die Gruppe wurde mit Angriffen auf ATM-Switching-Netzwerke in Verbindung gebracht, um unautorisierte Bargeldabhebungen mit gefälschten Karten durchzuführen. Im Zentrum ihrer Operationen steht ein Kernel-Modul-Rootkit namens CAKETAP, das entwickelt wurde, um Netzwerkverbindungen, Prozesse und Dateien zu verbergen sowie Karten- und PIN-Verifikationsnachrichten von Hardware-Sicherheitsmodulen abzufangen und zu fälschen, um finanziellen Betrug zu ermöglichen.

Die Hackergruppe weist taktische Überschneidungen mit einem anderen Bedrohungsakteur namens UNC1945 auf, auch bekannt als LightBasin, der zuvor Managed Service Provider kompromittiert und Ziele in der Finanz- und Beratungsbranche angegriffen hat. Group-IB beschreibt die Bedrohungsakteure als Experten für Linux- und Unix-basierte Systeme. Ihre Analyse deckte Backdoors mit dem Namen “lightdm” auf dem Netzwerküberwachungsserver des Opfers auf, die aktive Verbindungen zum Raspberry Pi und zum internen Mailserver herstellen sollten.

Der Angriff ist besonders bemerkenswert für den Missbrauch von Bind-Mounts, um die Präsenz der Backdoor vor Prozesslisten zu verbergen und die Erkennung zu umgehen. Das ultimative Ziel der Infektion war es, das CAKETAP-Rootkit auf dem ATM-Switching-Server zu installieren und betrügerische Bargeldabhebungen an Geldautomaten zu erleichtern. Glücklicherweise wurde die Kampagne gestoppt, bevor die Angreifer ernsthaften Schaden anrichten konnten.

Selbst nachdem der Raspberry Pi entdeckt und entfernt wurde, behielten die Angreifer den internen Zugang über eine Backdoor auf dem Mailserver. Sie nutzten eine dynamische DNS-Domain für die Command-and-Control-Kommunikation. Diese raffinierte Methode zeigt die zunehmende Komplexität und Hartnäckigkeit moderner Cyberangriffe, die traditionelle Sicherheitsmaßnahmen umgehen.

Unseren KI-Morning-Newsletter «Der KI News Espresso» mit den besten KI-News des letzten Tages gratis per eMail - ohne Werbung: Hier kostenlos eintragen!