Utrecht, le 7 octobre 2014 – Des experts de Kaspersky Lab ont enquêté sur des attaques cybercriminelles visant des distributeurs automatiques de billets partout dans le monde. Leur enquête a révélé que ces derniers ont été infectés par un logiciel malveillant qui permet aux criminels de vider les distributeurs automatiques de billets par une manipulation directe. Des millions d’euros se sont ainsi déjà volatilisés. INTERPOL a alerté les pays membres touchés et poursuit l'enquête.

Ils frappent de nuit – et seulement les dimanches et lundis. Sans même introduire une carte dans la fente du distributeur de billets, ils saisissent une certaine combinaison à l’aide du clavier, passent un coup de téléphone pour obtenir les instructions nécessaires, saisissent un deuxième code, et le distributeur automatique de billets se met à libérer des billets. Énormément de billets. Puis ils disparaissent.

Le mode d'attaque

Les cybercriminels opèrent en deux étapes. La première concerne l'accès physique aux distributeurs automatiques, dans lesquels ils insèrent un CD bootable pour installer le logiciel malveillant – baptisé Tyupkin par Kaspersky Lab. Après le redémarrage du système, le distributeur automatique infecté est sous le contrôle des criminels.

Une fois que l'infection a eu lieu, le logiciel tourne dans une boucle sans fin en attendant une commande spécifique. Pour minimiser les risques de détection, le logiciel malveillant Tyupkin n'accepte de telles commandes que durant un intervalle limité dans la nuit des dimanches et lundis. C'est alors que les voleurs vident les distributeurs infectés.

Des vidéos enregistrées par les caméras de surveillance de distributeurs infectés ont révélé la méthode. La clé est une combinaison unique de chiffres, basée sur des nombres aléatoires ; une nouvelle clé est générée pour chaque accès. Ceci garantit qu'aucune personne extérieure à la bande ne peut en profiter accidentellement. Un membre de la bande accède au distributeur automatique de billets et contacte par téléphone un autre membre, qui, lui, connaît l'algorithme et génère la clé nécessaire sur la base du numéro donné. Ceci montre clairement que les personnes qui ramassent l’argent n’opèrent pas seules.

Une fois que la clé est saisie correctement, l'écran du distributeur affiche la quantité d'argent disponible dans chacune des cassettes à billets, invitant le voleur à choisir laquelle il veut piller. Enfin, le distributeur sort 40 billets à chaque fois, provenant de la cassette choisie.

Le logiciel malveillant Tyupkin

À la demande d'une institution financière, l’équipe Global Research and Analysis Team (GReAT) de Kaspersky Lab a ouvert l'enquête sur ces cyberattaques. Le logiciel malveillant identifié par Kaspersky Lab a reçu le nom de code Backdoor.MSIL.Tyupkin ; il a été détecté, à ce jour, dans des distributeurs automatiques en Amérique latine, en Europe et en Asie.

« Ces dernières années, nous avions constaté une forte hausse des attaques visant des guichets automatiques au moyen de capteurs de cartes et de logiciels malveillants. Ces attaques ont aujourd’hui évolué : les cybercriminels vont un pas plus loin et s'en prennent directement aux banques. Leur méthode est soit l'infection des distributeurs automatiques de billets eux-mêmes, soit une attaque de style APT ciblant directement la banque. Le logiciel malveillant Tyupkin est un exemple de cyberattaque capable d’exploiter les points faibles de l'infrastructure des guichets automatiques » explique Vicente Diaz, Principal Security Researcher du Global Research and Analysis Team de Kaspersky Lab.

Il conclut : « Nous recommandons vivement aux banques de vérifier la sécurité physique de leur infrastructure, desdistributeurs automatiques et des réseaux pertinents, et d'investir au besoin dans des solutions de sécurité de bonne qualité. »

Sanjay Virmani, directeur de l'INTERPOL Digital Crime Centre, déclare : « Les criminels trouvent sans cesse de nouvelles voies et de nouvelles méthodes afin de commettre des vols, et nous devons impérativement maintenir l'engagement de nos pays membres dans cette lutte, et les tenir au courant des dernières tendances et modes d'attaque. »

Que peuvent faire les banques pour mitiger les risques ?

· Vérifier/revoir la sécurité physique de l’infrastructure de leurs distributeurs automatiques et des réseaux pertinents, et investir au besoin dans des solutions de sécurité de qualité.

· Remplacer les serrures et clés maîtresses fermant les capots des distributeurs automatiques de billets et se débarrasser des versions fournies par défaut par le fabricant.

· Poser une alarme et veiller à son bon état de fonctionnement. Les cybercriminels responsables de Tyupkin ne s'en sont pris qu'à des distributeurs non équipés d'une alarme.

· Remplacer le mot de passe par défaut du BIOS.

· Doter les appareils d’une protection anti-virus bien à jour.