{"id":7418,"date":"2016-02-08T08:54:38","date_gmt":"2016-02-08T08:54:38","guid":{"rendered":"https:\/\/kasperskydaily.com\/italy\/?p=7418"},"modified":"2020-02-26T17:30:18","modified_gmt":"2020-02-26T15:30:18","slug":"metel-gcman-carbanak","status":"publish","type":"post","link":"https:\/\/www.kaspersky.it\/blog\/metel-gcman-carbanak\/7418\/","title":{"rendered":"Una decina di banche perdono milioni a causa di attacchi informatici"},"content":{"rendered":"<p>Nel 2015 abbiamo assistito al numerosi casi in cui i cybercriminali hanno derubato direttamente le banche, non i clienti. Molti gruppi criminali sono diventati dei veri esperti nelle tecniche di attacco nei confronti degli sportelli bancomat, molti dei quali sono riusciti a entrare nei sistemi di ventinove importanti banche russe.<\/p>\n<p><strong><\/strong><\/p>\n<p>Le vittime hanno richiesto l\u2019assistenza di Kaspersky Lab e il nostro <em>Global Research and Analysis Team<\/em> (il team di Ricerca Globale e Analisi) si \u00e8 messo al lavoro. Lo studio ha svelato tre gruppi separati di hacker che hanno causato alle banche danni economici del valore di diversi milioni. Al Security Analyst Summit 2016, gli esperti del Team GReAT hanno presentato il report relativo all\u2019indagine. Per motivi di sicurezza, i nomi delle vittime non sono stati rivelati.<\/p>\n<p>https:\/\/twitter.com\/k8em0\/status\/696636003692314624<\/p>\n<p><strong>Sportelli bancomat sotto assedio<\/strong><\/p>\n<p>Un trojan bancario con il melodioso nome di Metel (conosciuto anche come Corkow) fu scoperto inizialmente nel 2011: a quei tempi il malware era a caccia di utenti dei sistemi bancari online. Nel 2015 i criminali responsabili di Metel hanno puntato alle banche, nello specifico agli sportelli bancomat. Usando la loro astuzia e una campagna dolosa, hanno reso illimitate le loro comuni carte di credito. Un po\u2019 come stampare denaro, ma meglio ancora.<\/p>\n<p><em>Come hanno fatto<\/em><\/p>\n<p><img loading=\"lazy\" decoding=\"async\" class=\"alignnone\" src=\"https:\/\/media.kasperskydaily.com\/wp-content\/uploads\/sites\/89\/2016\/02\/05233239\/metel-live-photo.jpg\" alt=\"\" width=\"1280\" height=\"840\"><\/p>\n<p>In seguito i criminali hanno infettato i computer degli impiegati di banca, o con l\u2019aiuto di email di <a href=\"https:\/\/it.wikipedia.org\/wiki\/Phishing\" target=\"_blank\" rel=\"noopener nofollow\">spear phishing<\/a> che includevano file dannosi eseguibili, o mirando alle vulnerabilit\u00e0 di un broswer. Una volta dentro la rete, si servivano di software leciti per violare altri PC fino a raggiungere il dispositivo che stavano cercando, quello che avesse accesso alle transazioni di denaro. Per esempio, tramite i PC di operatori di call center o del servizio assistenza.<\/p>\n<blockquote class=\"twitter-tweet\" data-width=\"500\" data-dnt=\"true\">\n<p lang=\"en\" dir=\"ltr\">APT Predictions for 2016: There will be no more APTs! Oh, wait\u2026 <a href=\"https:\/\/t.co\/mLC5zQqjzK\" target=\"_blank\" rel=\"noopener nofollow\">https:\/\/t.co\/mLC5zQqjzK<\/a><\/p>\n<p>\u2014 Kaspersky (@kaspersky) <a href=\"https:\/\/twitter.com\/kaspersky\/status\/667742680491929600?ref_src=twsrc%5Etfw\" target=\"_blank\" rel=\"noopener nofollow\">November 20, 2015<\/a><\/p><\/blockquote>\n<p><script async src=\"https:\/\/platform.twitter.com\/widgets.js\" charset=\"utf-8\"><\/script><\/p>\n<p>Di conseguenza, ogni volta che veniva prelevato il denaro dalla carta di una banca compromessa nel bancomat di un\u2019altra banca, il sistema infetto riduceva le transazioni in automatico. Ecco perch\u00e9 il saldo delle carte rimaneva lo stesso, permettendo ai cybercriminali di ritirare denaro, ritiro limitato solo dalla quantit\u00e0 di contante del bancomat. In questo modo, hanno fatto \u201ccassa\u201d in differenti sportelli.<\/p>\n<blockquote class=\"twitter-tweet\" data-width=\"500\" data-dnt=\"true\">\n<p lang=\"en\" dir=\"ltr\">What is phishing and why should you care? Find out <a href=\"https:\/\/t.co\/eNlAvarhAy\" target=\"_blank\" rel=\"noopener nofollow\">https:\/\/t.co\/eNlAvarhAy<\/a> <a href=\"https:\/\/twitter.com\/hashtag\/iteducation?src=hash&amp;ref_src=twsrc%5Etfw\" target=\"_blank\" rel=\"noopener nofollow\">#iteducation<\/a> <a href=\"https:\/\/twitter.com\/hashtag\/itsec?src=hash&amp;ref_src=twsrc%5Etfw\" target=\"_blank\" rel=\"noopener nofollow\">#itsec<\/a> <a href=\"https:\/\/t.co\/EJc6vW8YUX\" target=\"_blank\" rel=\"noopener nofollow\">pic.twitter.com\/EJc6vW8YUX<\/a><\/p>\n<p>\u2014 Kaspersky (@kaspersky) <a href=\"https:\/\/twitter.com\/kaspersky\/status\/675390994137894912?ref_src=twsrc%5Etfw\" target=\"_blank\" rel=\"noopener nofollow\">December 11, 2015<\/a><\/p><\/blockquote>\n<p><script async src=\"https:\/\/platform.twitter.com\/widgets.js\" charset=\"utf-8\"><\/script><\/p>\n<p>Per quel che sappiamo, la banda \u00e8 relativamente piccola, non pi\u00f9 di dieci persone. Alcuni di loro parlano il russo e non abbiamo rilevato infezioni fuori dalla Russia. Gli hacker sono ancora attivi e alla ricerca di nuove vittime.<\/p>\n<p><strong>Criminali scaltri<\/strong><\/p>\n<p>I criminali del gruppo GCMAN hanno trafficato in un\u2019operazione simile, ma invece di derubare i bancomat, hanno trasferito denaro a servizi di e-currency. Penetravano nei dispositivi degli addetti alle risorse umane e contabilit\u00e0 e poi attendevano finch\u00e9 l\u2019amministratore accedesse\u00a0 al sistema.\u00a0 A volte proseguivano nel processo impallando Microsoft Word o 1C (un programma usato in contabilit\u00e0 molto popolare in Russia). Mentre l\u2019utente chiedeva aiuto e l\u2019amministratore del sistema veniva a risolvere il problema, i criminali gli rubavano la password.<\/p>\n<blockquote class=\"twitter-tweet\" data-width=\"500\" data-dnt=\"true\">\n<p lang=\"en\" dir=\"ltr\"><a href=\"https:\/\/twitter.com\/hashtag\/KLReport?src=hash&amp;ref_src=twsrc%5Etfw\" target=\"_blank\" rel=\"noopener nofollow\">#KLReport<\/a> RT <a href=\"https:\/\/twitter.com\/jeffespo?ref_src=twsrc%5Etfw\" target=\"_blank\" rel=\"noopener nofollow\">@jeffespo<\/a>: . <a href=\"https:\/\/twitter.com\/kaspersky?ref_src=twsrc%5Etfw\" target=\"_blank\" rel=\"noopener nofollow\">@Kaspersky<\/a> Security Bulletin. <a href=\"https:\/\/twitter.com\/hashtag\/Spam?src=hash&amp;ref_src=twsrc%5Etfw\" target=\"_blank\" rel=\"noopener nofollow\">#Spam<\/a> and <a href=\"https:\/\/twitter.com\/hashtag\/phishing?src=hash&amp;ref_src=twsrc%5Etfw\" target=\"_blank\" rel=\"noopener nofollow\">#phishing<\/a> in 2015 via <a href=\"https:\/\/twitter.com\/Securelist?ref_src=twsrc%5Etfw\" target=\"_blank\" rel=\"noopener nofollow\">@Securelist<\/a>  <a href=\"https:\/\/t.co\/zhDYsDekAh\" target=\"_blank\" rel=\"noopener nofollow\">https:\/\/t.co\/zhDYsDekAh<\/a> <a href=\"https:\/\/twitter.com\/hashtag\/netsec?src=hash&amp;ref_src=twsrc%5Etfw\" target=\"_blank\" rel=\"noopener nofollow\">#netsec<\/a><\/p>\n<p>\u2014 Kaspersky (@kaspersky) <a href=\"https:\/\/twitter.com\/kaspersky\/status\/695655222283268096?ref_src=twsrc%5Etfw\" target=\"_blank\" rel=\"noopener nofollow\">February 5, 2016<\/a><\/p><\/blockquote>\n<p><script async src=\"https:\/\/platform.twitter.com\/widgets.js\" charset=\"utf-8\"><\/script><\/p>\n<p>Poi i membri di GCMAN viaggiavano letteralmente attraverso la rete aziendale della banca fino a trovare un dispositivo che potesse trasferire con calma denaro a diversi servizi di e-currency. In alcune organizzazioni criminali lo facevano anche con l\u2019aiuto di software legali e comuni tool di test di penetrazione come Putty, VNC e Meterpreter.<\/p>\n<p>Queste transazioni erano effettuate tramite un <a href=\"https:\/\/en.wikipedia.org\/wiki\/cron\" target=\"_blank\" rel=\"noopener nofollow\">cron script<\/a>, che ogni minuto trasferiva automaticamente piccole somme. Questo per un totale di pi\u00f9 o meno 200 dollari alla volta, perch\u00e9 tale \u00e8 il limite massimo per le transazioni anonime in Russia. \u00c8 da notare la precauzione dei ladri. In un caso, erano rimasti tranquilli nella rete per un anno e mezzo, violando furtivamente un sacco di dispositivi e account.<\/p>\n<p>Per quel che ne sappiamo, il gruppo GCMAN \u00e8 molto piccolo e comprende solo uno o due membri, che parlano uno squisito russo.<\/p>\n<blockquote class=\"twitter-tweet\" data-width=\"500\" data-dnt=\"true\">\n<p lang=\"en\" dir=\"ltr\">Kaspersky Lab cybersecurity <a href=\"https:\/\/twitter.com\/hashtag\/predictions?src=hash&amp;ref_src=twsrc%5Etfw\" target=\"_blank\" rel=\"noopener nofollow\">#predictions<\/a> for 2016 \u2013 <a href=\"https:\/\/t.co\/1JFA8qRBm9\" target=\"_blank\" rel=\"noopener nofollow\">https:\/\/t.co\/1JFA8qRBm9<\/a> <a href=\"https:\/\/twitter.com\/hashtag\/KL2016Prediction?src=hash&amp;ref_src=twsrc%5Etfw\" target=\"_blank\" rel=\"noopener nofollow\">#KL2016Prediction<\/a> <a href=\"https:\/\/twitter.com\/hashtag\/infosec?src=hash&amp;ref_src=twsrc%5Etfw\" target=\"_blank\" rel=\"noopener nofollow\">#infosec<\/a> <a href=\"https:\/\/twitter.com\/hashtag\/netsec?src=hash&amp;ref_src=twsrc%5Etfw\" target=\"_blank\" rel=\"noopener nofollow\">#netsec<\/a> <a href=\"https:\/\/t.co\/LjGxVMG7xV\" target=\"_blank\" rel=\"noopener nofollow\">pic.twitter.com\/LjGxVMG7xV<\/a><\/p>\n<p>\u2014 Kaspersky (@kaspersky) <a href=\"https:\/\/twitter.com\/kaspersky\/status\/674628086281994240?ref_src=twsrc%5Etfw\" target=\"_blank\" rel=\"noopener nofollow\">December 9, 2015<\/a><\/p><\/blockquote>\n<p><script async src=\"https:\/\/platform.twitter.com\/widgets.js\" charset=\"utf-8\"><\/script><\/p>\n<p><strong>Il ritorno di Carbanak<\/strong><\/p>\n<p>Il gruppo Carbanak opera su Internet dal 2013. Occasionalmente scompare e poi ritorna con un nuovo piano d\u2019attacco. Di recente, il profilo delle vittime di Carbanak \u00e8 stato ampliato. Adesso punta ai dipartimenti finanziari di qualsiasi organizzazione d\u2019interesse, non soltanto banche. Questo gruppo ha <a href=\"https:\/\/www.kaspersky.it\/blog\/carbanak-colpo-da-1-miliardo-di-dollari\/5622\/\" target=\"_blank\" rel=\"noopener\">gi\u00e0 rubato milioni<\/a> da diverse aziende in tutto il mondo. Dopo, si sono ritirati per un po\u2019 per poi tornare quattro mesi fa con un nuovo piano.<\/p>\n<p>Per violare e rubare denaro, questi criminali usano ordinari tool e metodi tipo bancomat. La campagna di spear phishing attiva l\u2019infezione iniziale della rete aziendale: un impiegato raggirato apre un allegato email e installa il malware, sviluppato da Carbanak.<\/p>\n<blockquote class=\"twitter-tweet\" data-width=\"500\" data-dnt=\"true\">\n<p lang=\"en\" dir=\"ltr\">Full report on the <a href=\"https:\/\/twitter.com\/hashtag\/Carbanak?src=hash&amp;ref_src=twsrc%5Etfw\" target=\"_blank\" rel=\"noopener nofollow\">#Carbanak<\/a> APT is now live <a href=\"http:\/\/t.co\/KRmjD1GhyL\" target=\"_blank\" rel=\"noopener nofollow\">http:\/\/t.co\/KRmjD1GhyL<\/a> via <a href=\"https:\/\/twitter.com\/Securelist?ref_src=twsrc%5Etfw\" target=\"_blank\" rel=\"noopener nofollow\">@Securelist<\/a> <a href=\"http:\/\/t.co\/5OMzJE0DgS\" target=\"_blank\" rel=\"noopener nofollow\">pic.twitter.com\/5OMzJE0DgS<\/a><\/p>\n<p>\u2014 Kaspersky (@kaspersky) <a href=\"https:\/\/twitter.com\/kaspersky\/status\/567359162536194048?ref_src=twsrc%5Etfw\" target=\"_blank\" rel=\"noopener nofollow\">February 16, 2015<\/a><\/p><\/blockquote>\n<p><script async src=\"https:\/\/platform.twitter.com\/widgets.js\" charset=\"utf-8\"><\/script><\/p>\n<p>Una volta che il computer \u00e8 compromesso, i criminali cercano l\u2019accesso a un account dell\u2019amministratore del sistema e usano le credenziali rubate per violare il controller del dominio e sottrarre denaro da conti bancari, o perfino cambiare i dati di un proprietario dell\u2019azienda.<\/p>\n<p>Per quel che sappiamo, Carbanak \u00e8 un gruppo internazionale che comprende criminali di Russia, Cina, Ucraina e altri paesi europei. La banda \u00e8 composta da dozzine di persone. Potete saperne di pi\u00f9 leggendo questo <a href=\"https:\/\/www.kaspersky.it\/blog\/carbanak-colpo-da-1-miliardo-di-dollari\/5622\/\" target=\"_blank\" rel=\"noopener\">post<\/a>.<\/p>\n<p><strong>Lavoro in banca: cosa dovrei fare?<\/strong><\/p>\n<p>Se lavorate per una banza o entit\u00e0 finanziario, dovete stare attenti. Come risulta evidente dagli esempi sopramenzionati, un giorno potreste essere voi quell\u2019utente che invita per sbaglio i cybercriminali in ufficio. E se cos\u00ec fosse? Neanche a pensarci! Per evitarlo, vi consigliamo di leggere i seguenti articoli:<\/p>\n<ul>\n<li><a href=\"https:\/\/www.kaspersky.it\/blog\/phishing-come-funziona-e-come-evitarlo\/4922\/\" target=\"_blank\" rel=\"noopener\">Phishing: come funziona e come evitarlo<\/a><\/li>\n<\/ul>\n<ul>\n<li><a href=\"https:\/\/www.kaspersky.it\/blog\/aggiornamento-software-indispensabile\/5311\/\" target=\"_blank\" rel=\"noopener\">Mantieni sempre aggiornata la tua protezione antivirus!<\/a><\/li>\n<\/ul>\n<ul>\n<li><a href=\"https:\/\/www.kaspersky.it\/blog\/ransomware-10-tips\/6987\/\" target=\"_blank\" rel=\"noopener\">10 consigli per proteggere i vostri file dai ransomware.<\/a><\/li>\n<\/ul>\n<p>Per concludere, vorremmo aggiungere che le <a href=\"https:\/\/www.kaspersky.com\/it\/internet-security?redef=1&amp;reseller=it_kiskldit_oth_ona_smm__onl_b2c__lnk_______\" target=\"_blank\" rel=\"noopener nofollow\">soluzioni Kaspersky Lab<\/a> rilevano e disarmano tutti i malware conosciuti, creati da Carbanak, Metel e GCMAN.<\/p>\n","protected":false},"excerpt":{"rendered":"<p>Nel 2015 abbiamo assistito al numerosi casi in cui i cybercriminali hanno derubato direttamente le banche. Come avvengono questi attacchi? <\/p>\n","protected":false},"author":522,"featured_media":7419,"comment_status":"open","ping_status":"open","sticky":false,"template":"","format":"standard","meta":{"_acf_changed":false,"footnotes":""},"categories":[2641,12,2642],"tags":[592,1353,1732,1818,682,1817,1816,1814,1815,1828,777],"class_list":{"0":"post-7418","1":"post","2":"type-post","3":"status-publish","4":"format-standard","5":"has-post-thumbnail","7":"category-threats","8":"category-news","9":"category-special-projects","10":"tag-apt","11":"tag-carbanak","12":"tag-finanza","13":"tag-gcman","14":"tag-great","15":"tag-metel","16":"tag-minaccia","17":"tag-sas-2016","18":"tag-sas2106","19":"tag-thesas2016","20":"tag-trojan-bancari"},"hreflang":[{"hreflang":"it","url":"https:\/\/www.kaspersky.it\/blog\/metel-gcman-carbanak\/7418\/"},{"hreflang":"en-us","url":"https:\/\/usa.kaspersky.com\/blog\/metel-gcman-carbanak\/6649\/"},{"hreflang":"en-gb","url":"https:\/\/www.kaspersky.co.uk\/blog\/metel-gcman-carbanak\/6728\/"},{"hreflang":"es-mx","url":"https:\/\/latam.kaspersky.com\/blog\/metel-gcman-carbanak\/6638\/"},{"hreflang":"es","url":"https:\/\/www.kaspersky.es\/blog\/metel-gcman-carbanak\/7650\/"},{"hreflang":"ru","url":"https:\/\/www.kaspersky.ru\/blog\/metel-gcman-carbanak\/10777\/"},{"hreflang":"x-default","url":"https:\/\/www.kaspersky.com\/blog\/metel-gcman-carbanak\/11236\/"},{"hreflang":"fr","url":"https:\/\/www.kaspersky.fr\/blog\/metel-gcman-carbanak\/5195\/"},{"hreflang":"pt-br","url":"https:\/\/www.kaspersky.com.br\/blog\/metel-gcman-carbanak\/5963\/"},{"hreflang":"de","url":"https:\/\/www.kaspersky.de\/blog\/metel-gcman-carbanak\/6945\/"},{"hreflang":"ja","url":"https:\/\/blog.kaspersky.co.jp\/metel-gcman-carbanak\/10350\/"},{"hreflang":"ru-kz","url":"https:\/\/blog.kaspersky.kz\/metel-gcman-carbanak\/10777\/"},{"hreflang":"en-au","url":"https:\/\/www.kaspersky.com.au\/blog\/metel-gcman-carbanak\/11236\/"},{"hreflang":"en-za","url":"https:\/\/www.kaspersky.co.za\/blog\/metel-gcman-carbanak\/11236\/"}],"acf":[],"banners":"","maintag":{"url":"https:\/\/www.kaspersky.it\/blog\/tag\/apt\/","name":"APT"},"_links":{"self":[{"href":"https:\/\/www.kaspersky.it\/blog\/wp-json\/wp\/v2\/posts\/7418","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/www.kaspersky.it\/blog\/wp-json\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/www.kaspersky.it\/blog\/wp-json\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/www.kaspersky.it\/blog\/wp-json\/wp\/v2\/users\/522"}],"replies":[{"embeddable":true,"href":"https:\/\/www.kaspersky.it\/blog\/wp-json\/wp\/v2\/comments?post=7418"}],"version-history":[{"count":3,"href":"https:\/\/www.kaspersky.it\/blog\/wp-json\/wp\/v2\/posts\/7418\/revisions"}],"predecessor-version":[{"id":20695,"href":"https:\/\/www.kaspersky.it\/blog\/wp-json\/wp\/v2\/posts\/7418\/revisions\/20695"}],"wp:featuredmedia":[{"embeddable":true,"href":"https:\/\/www.kaspersky.it\/blog\/wp-json\/wp\/v2\/media\/7419"}],"wp:attachment":[{"href":"https:\/\/www.kaspersky.it\/blog\/wp-json\/wp\/v2\/media?parent=7418"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/www.kaspersky.it\/blog\/wp-json\/wp\/v2\/categories?post=7418"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/www.kaspersky.it\/blog\/wp-json\/wp\/v2\/tags?post=7418"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}