Вредоносное ПО, выплескивающее наличные в банкоматах, распространилось по всему миру

В 10 часов утра поздним ноябрьским утром во Фрайбурге, Германия, служащий банка заметил, что что-то не так с банковским банкоматом.

По словам представителя правоохранительных органов, знакомого с делом, он был взломан с помощью вредоносного ПО под названием «Cutlet Maker», которое предназначено для того, чтобы заставить банкоматы изымать все находившиеся в них деньги.

«Хо-хо-хо! Давайте сегодня котлеты приготовим!» На панели управления Cutlet Maker отображаются мультяшные изображения шеф-повара и радостного куска мяса. В явной русской игре слов котлета означает не только кусок мяса, но и пачку денег.

Совместное расследование Motherboard и немецкой телекомпании Bayerischer Rundfunk (BR) выявило новые подробности о серии так называемых атак «джекпота» на банкоматы в Германии в 2017 году, в результате которых воры похитили более миллиона евро. Джекпоттинг — это метод, при котором киберпреступники используют вредоносное ПО или аппаратное обеспечение, чтобы обманом заставить банкомат выдать все наличные, без необходимости украденной кредитной карты. Хакеры обычно устанавливают вредоносное ПО на банкомат, физически открывая панель аппарата, чтобы обнаружить порт USB.

В некоторых случаях мы идентифицировали конкретный банк и производителя банкоматов, которых это коснулось. Хотя европейская некоммерческая организация сообщила, что в первой половине этого года количество атак с джекпотами в регионе уменьшилось, многочисленные источники сообщили, что количество атак в других частях мира выросло. Атакованные регионы включают США, Латинскую Америку и Юго-Восточную Азию, и проблема затрагивает банки и производителей банкоматов во всей финансовой отрасли.

«США довольно популярны», — сказал источник, знакомый с атаками на банкоматы. Motherboard и BR предоставили множеству источников, в том числе представителям правоохранительных органов, анонимность, чтобы более откровенно говорить о конфиденциальных инцидентах, связанных с хакерскими атаками.

Скриншот панели управления Cutlet Maker. Изображение: Твиттер-аккаунт @CryptoInsane

*

Во время ежегодной конференции по кибербезопасности Black Hat в 2010 году покойный исследователь Барнаби Джек продемонстрировал вживую на сцене свою собственную разновидность вредоносного ПО для банкоматов. Аудитория разразилась аплодисментами, когда на банкомате появилось слово «ДЖЕКПОТ» и вылетел непрерывный поток банкнот.

Теперь аналогичные атаки были развернуты в реальных условиях.

По словам представителя правоохранительных органов, в том случае во Фрайбурге никаких денег украдено не было. Но Кристоф Хеббекер, прокурор немецкой земли Северный Рейн-Вестфалия, заявил, что его офис расследует 10 инцидентов, произошедших в период с февраля по ноябрь 2017 года, включая нападения, в ходе которых воры скрылись с пачками денег. В общей сложности хакеры украли 1,4 миллиона евро (1,5 миллиона долларов), сообщил Хеббекер.

Хеббекер добавил, что из-за схожего характера нападений он полагает, что все они связаны с одной и той же преступной группировкой. В некоторых случаях у прокуратуры есть видеодоказательства, но подозреваемых у них пока нет, добавили они.

«Расследование все еще продолжается», — сообщил Хеббекер в электронном письме на немецком языке.

Несколько источников сообщили, что ряд атак 2017 года в Германии затронул банк Santander; Два источника сообщили, что речь идет конкретно о модели банкомата Wincor 2000xe, произведенной производителем банкоматов Diebold Nixdorf.

«В целом мы не комментируем отдельные случаи», — заявил в телефонном разговоре Бернд Редекер, директор по корпоративной безопасности и борьбе с мошенничеством в Diebold Nixdorf. «Однако мы, конечно, имеем дело с нашими клиентами по поводу джекпотов, и нам известно об этих случаях». Diebold Nixdorf также продала эти банкоматы на рынок США.

Обзор модели банкомата 2000xe. Изображение: Винкор Никсдорф.

Представитель Сантандера заявил в заявлении, отправленном по электронной почте: «Защита информации наших клиентов и целостности нашей физической сети лежит в основе того, что мы делаем. Наши эксперты участвуют на каждом этапе разработки продуктов и операций, чтобы защитить клиентов и банк от Мошенничество и киберугрозы. Такое внимание к защите наших данных и операций не позволяет нам комментировать конкретные проблемы безопасности».