Rechercher
Contactez-nous Suivez-nous sur Twitter En francais English Language
 











Abonnez-vous gratuitement à notre NEWSLETTER

Newsletter FR

Newsletter EN

Vulnérabilités

Se désabonner

Attaque Eurograbber : les services bancaires en ligne victimes d’un braquage à 30 millions d’euros

mars 2013 par Terry Greer ?King, chercheur britannique pour Check Point ayant découvert la fraude en association avec Versafe

Ou comment une fraude aussi complexe, infectant à la fois les ordinateurs et les terminaux mobiles, a pu prendre une telle ampleur et se classer parmi les attaques les plus fructueuses à ce jour... et quelles sont les implications en matière de sécurité pour les banques et leurs clients

Dans l’histoire des braquages de banque, le vol des
30 millions € (47 millions USD) perpétré en 2012 dans le
cadre de l’attaque Eurograbber se classe parmi les plus
grands méfaits de tous les temps, à l’échelle mondiale. Et
sachant que cette somme a été dérobée sur les comptes
de plus de 30 000 clients ouverts auprès d’une trentaine
de banques dans quatre pays européens, via un logiciel
malveillant affectant à la fois les ordinateurs et les
téléphones portables des particuliers, on peut également dire que l’on a affaire à l’un des vols les
plus complexes jamais commis au jour.

Toutefois, le plus inquiétant dans l’histoire, c’est que l’attaque Eurograbber s’est jouée du système
d’authentification à deux facteurs des banques, de façon que les transactions frauduleuses leur
paraissent parfaitement légitimes. C’est l’une des raisons pour lesquelles Eurograbber a pu rester
en activité pendant des mois sans se faire détecter, permettant ainsi aux criminels responsables de
voler toujours plus d’argent. Comment les pirates sont ?ils parvenus à mettre en oeuvre l’attaque
Eurograbber ? Et comment les banques et leurs clients peuvent ?ils se prémunir à l’avenir contre ce
genre de menaces ?

La réussite d’Eurograbber repose avant tout sur la connaissance approfondie qu’avaient les pirates
du mode de fonctionnement des systèmes bancaires en ligne des particuliers et des entreprises.
L’attaque ciblait spécifiquement la méthode d’authentification à deux facteurs consistant à envoyer
un code à usage unique par SMS vers un terminal mobile, lequel était intercepté afin que les pirates
puissent exploiter les données authentiques.

Une attaque menée sur deux fronts

Les pirates ont procédé en deux temps. Lors de la première phase, il s’agit d’infecter l’ordinateur du
client de manière transparente et de récupérer ses informations bancaires par le biais d’un e ?mail
d’hameçonnage contenant un lien frauduleux ou lors de la consultation d’une page Internet [Diffusion restreinte] Document RÉSERVÉ aux groupes et personnes désignés
malveillante. Cette action déclenche le téléchargement, sur l’ordinateur du client, d’une version
personnalisée du cheval de Troie bien connu dénommé Zeus, lequel reste inactif jusqu’à ce que le
client accède à son compte bancaire. Le programme lance alors une version frauduleuse du site
Web de la banque qui contient des instructions de « mise à niveau » du système bancaire en ligne
de l’utilisateur. Ce dernier est alors invité à saisir de nouveau ses numéros de compte et autres
renseignements bancaires, mais aussi son numéro de téléphone portable. La page demande ensuite
à l’utilisateur de suivre les instructions qui vont lui être envoyées par SMS afin de finaliser la mise à
niveau.

C’est la deuxième phase de l’attaque. Lorsque l’utilisateur reçoit le message, apparemment en
provenance de sa banque, il a pour instruction de cliquer sur un lien hypertexte afin d’achever la
« mise à niveau des services bancaires ». Or cette action déclenche le téléchargement de la version
mobile du cheval de Troie Zeus (baptisée ZITMO) sur le téléphone portable. Si le modèle est
compatible (Blackberry, Android ou Symbian), le terminal est infecté.

Pas besoin de faux codes d’authentification de la transaction

C’est ainsi que l’ordinateur et le téléphone portable de l’utilisateur sont pris pour cible. À partir de
là, à chaque consultation des comptes bancaires en ligne, le programme malveillant réalise une
transaction visant à transférer des fonds. L’attaque fonctionne selon le schéma suivant : le cheval
de Troie sur l’ordinateur détecte l’accès au système bancaire en ligne et envoie à la banque, de
façon transparente, une demande de virement vers le compte « mule » du pirate.
Lorsque la banque reçoit cette requête, elle génère le code d’authentification de la transaction et
l’envoie par SMS sur le téléphone portable du client, où il est intercepté par le cheval de Troie. Ce
dernier extrait alors le code à partir du SMS et le renvoie à la banque pour finaliser la transaction
bancaire illicite.
Les transactions frauduleuses sont complètement transparentes pour le client, étant donné qu’il ne
voit pas les SMS envoyés par la banque sur son téléphone portable. Et la banque n’a aucune raison
de douter de leur légitimité. Les pirates ont même configuré le programme de façon à limiter le
montant des fonds transférés à chaque transaction en fonction d’un pourcentage du solde du
compte, ce qui a contribué à ce que leurs méfaits passent inaperçus.

Questions relatives à la sécurité

Quels enseignements peut ?on tirer de l’attaque Eurograbber sur le plan de la sécurité ? Les pirates
sont effectivement parvenus à trouver la faille des méthodes d’authentification hors bande, dans le
cadre desquelles un code à usage unique est créé et envoyé vers un téléphone portable — système
qui s’avère relativement fréquent en Europe.
Même si les banques ayant recours à d’autres méthodes d’authentification n’ont pas été inquiétées
par l’attaque Eurograbber, cette dernière souligne bien qu’il est possible de mettre au point un
©2013 Check Point Software Technologies Ltd. Tous droits réservés. P. 3
[Diffusion restreinte] Document RÉSERVÉ aux groupes et personnes désignés
exploit visant un système d’authentification en particulier... et que les pirates ont la patience et les
ressources nécessaires pour parvenir à leurs fins. Il y a deux ans à peine, le code de la solution
d’authentification à deux facteurs numéro un sur le marché avait été dérobé, la rendant ainsi
vulnérable à d’éventuelles attaques. Aucune solution d’authentification n’est donc à l’abri.
Cependant, cette attaque met également en lumière le rôle essentiel joué par les usagers des
services bancaires en ligne sur le plan de la sécurité. Eurograbber a pris pour cible les clients, et non
directement les banques. Par conséquent, pour se protéger au mieux contre d’éventuelles attaques
de type Eurograbber, il convient de veiller à ce que les clients des banques en ligne se dotent d’un
système de défense à jour opérant en deux points stratégiques : au niveau du réseau d’accès
Internet utilisé pour consulter leurs comptes bancaires et au niveau de l’ordinateur servant à
réaliser leurs opérations bancaires en ligne.

Protection des usagers

Il est important de répéter aux usagers des services bancaires en ligne que les banques ne leur
enverront jamais d’e ?mails non sollicités. Ils ne doivent donc pas répondre à ce type de message,
car il s’agit de tentatives d’hameçonnage. Les utilisateurs sont encouragés à protéger leur
ordinateur personnel à l’aide d’un logiciel antivirus à jour et d’un pare ?feu. La question du coût ne
se pose pas ici : il existe des solutions gratuites, ZoneAlarm ou autres, qui assurent une protection
équivalente aux meilleurs produits payants du marché. Elles sont en mesure de détecter les
variantes du cheval de Troie Zeus avant qu’il ait infecté l’ordinateur de l’utilisateur. Autre mesure
préventive capitale : l’installation régulière des mises à jour logicielles sur l’ordinateur, de façon à
maintenir un système de sécurité aussi récent que possible.
Si le cheval de Troie d’Eurograbber est déjà présent sur l’ordinateur, il tentera de se connecter à
son serveur de contrôle et de commande (C&C) pour infecter sa cible et réaliser des transferts de
fonds depuis le compte bancaire du client. Dans ce cas, l’installation d’un pare ?feu permettra de
bloquer cette communication et la mise à jour du logiciel antivirus, suivie d’une analyse, devrait
détecter l’infection et l’éliminer.

En conclusion, il n’existe pas de « solution miracle » garantissant la protection contre les
cyberattaques de type Eurograbber. Il faut simplement rester constamment vigilant et s’assurer
que les protocoles de sécurité mis en oeuvre par les banques et leurs clients sont les plus complets
et les plus à jour possible. Ces mesures offrent la meilleure chance de contrer la prochaine tentative
des cybercriminels.


Voir les articles précédents

    

Voir les articles suivants