俄黑客从美俄ATM窃取千万美元 下一目标锁定拉美银行

Group-IB研究人员在一份长达36页的报告中指出，这一黑客组织首次攻击发生在2016年春季，针对的是美国最大的银行信息系统——美国银行First Data的“STAR”网络，该系统连接了超过5000家机构的ATM机。

First Data在一份声明中表示，在2016年早些时候，First Data发现一些在“STAR”网络运营的小型金融机构的凭证曾违反了借记卡管理规定，导致First Data开始执行新的强制性安全数据控制措施。First Data称，“STAR”网络从未被攻破。First Data还称，其正在继续调查几起黑客研究如何通过SWIFT银行系统进行转账的事件，但没有说明黑客是否成功实施了此类攻击。

SWIFT在去年10月表示，黑客仍在瞄准其银行间通讯系统，但在去年孟加拉国央行发生8100万美元劫案之后，银行间通讯系统加强了安全管控。

Group-IB曾将黑客组织称为“赚钱者（MoneyTaker）”。据悉，该黑客组织此前使用过名为“MoneyTaker”软件来劫持支付订单，然后通过一个低级的、名为“金钱骡子（money mules）”网络从自动柜员机中提取资金。

Group-IB安全研究人员表示，他们已经确定18家银行机构受到了攻击，其中包括分布在美国10州的15家银行金融机构，两家俄罗斯银行以及一家英国银行。除银行外，金融软件公司和一家律师事务所也成为了攻击目标。

Group-IB称，在美国遭受攻击的14个ATM机上，每起被盗事件损失的资金平均为50万美元。俄罗斯每起事件平均损失为120万美元，但其中一家银行成功截获了一起攻击事件，并追回了部分被盗资金。

该报告称，这一黑客组织还窃取了拉丁美洲及美国200家银行所使用的OceanSystems美联储链接传输系统内的文件。此外，他们还成功地攻击了俄罗斯的银行间通讯系统——AW CRB。

Group-IB称，一旦黑客侵入了目标银行和金融机构，他们会窃取银行内部文件，为将来发动ATM攻击做准备。在俄罗斯，黑客入侵银行系统后会继续对银行网络进行监控，至少有一家美国银行的文件被盗用了两次。Group-IB表示，其已通知国际刑警组织和欧洲刑警组织，以协助针对该案的执法调查。

这些身份不明的黑客利用不断变化的工具和战术，绕过反病毒和其他传统安全软件，同时又在小心翼翼地清除他们的操作痕迹，从而避开监控。为了掩饰他们的举动，黑客们使用了来自美国银行、美联储、微软和雅虎等品牌的安全证书。