Kriminelle konnten Raspberry Pi im Netzwerk einer Bank platzieren

Angriffe auf die IT-Infrastruktur einer Bank sind nicht gerade trivial - insbesondere, wenn sie von außen kommen. In einem aktuellen Fall haben die Täter die Sicherheitssysteme allerdings umgangen, indem sie einen Raspberry Pi ans interne Netzwerk steckten.

Ziel waren Geldautomaten

Der Mini-Rechner, mit dem ein bislang unbekanntes Finanzinstitut attackiert wurde, war mit einem 4G-Modem ausgestattet. Das berichtete das Sicherheitsunternehmen Group-IB am Mittwoch. Auf diesem Weg verfügten die Angreifer über einen direkten Zugang zum internen Netz, ohne dass Firewalls oder andere Schutzsysteme im Weg standen.

Die Täter, die von Sicherheitsforschern unter dem Namen UNC2891 geführt werden, gehören zu einer finanziell motivierten Hackergruppe, die seit mindestens 2017 aktiv und auf Systeme mit Linux-, Unix- und Solaris-Basis spezialisiert ist. Die von Group-IB nun analysierte Angriffsmethode gilt als bislang einmalig: Durch die physische Platzierung des Raspberry Pi an einem Netzwerk-Switch der Bank konnten die Hacker sämtliche Perimeterschutzmaßnahmen umgehen.


Das Mini-Computergerät ermöglichte den Angreifern via Mobilfunk eine unauffällige Fernverbindung. Parallel dazu setzten sie neuartige Schadsoftware ein, die sich mithilfe sogenannter Linux Bind Mounts effektiv vor gängigen forensischen Analysewerkzeugen verbarg. Diese Technik, eigentlich für legitime Systemadministration gedacht, wurde laut Group-IB erstmals von Kriminellen zweckentfremdet und wirkte in ihrer Tarnung ähnlich wie ein Rootkit.

Perfide Organisation

Ziel des Angriffs war offenbar der ATM-Switching-Server der Bank, also die zentrale Steuerungseinheit für Geldautomaten-Transaktionen. Die Angreifer wollten darüber Zugriff auf das Hardware-Security-Module (HSM) erlangen - ein hochsicheres Gerät zur Verwaltung kryptografischer Schlüssel und digitaler Signaturen.

Besonders perfide war der Einsatz des internen Netzwerküberwachungsservers als Vermittler: Dieser kommunizierte regelmäßig mit dem Raspberry Pi und einem kompromittierten Mailserver der Bank, der aufgrund seiner dauerhaften Internetverbindung als Kommunikationsdrehscheibe diente. Auffällige Datenströme und verdächtige Prozesse, etwa ein als Display Manager getarnter Schadprozess, gaben schließlich den entscheidenden Hinweis für die Entdeckung.

Obwohl es den Angreifern nicht gelang, ihre finale Schadsoftware - das aus früheren Angriffen bekannte Rootkit CakeTap - auf dem ATM-Server zu installieren, zeigt der Vorfall, wie professionell UNC2891 bei der Umgehung moderner Sicherheitssysteme vorgeht. Wie genau die Angreifer den Raspberry Pi installieren konnten, wurde nicht öffentlich gemacht.


Siehe auch: