'Digitale bankrovers Bangladesh infecteerden SWIFT clientsoftware met malware'

malware-300x225

De bankroof bij de centrale bank van Bangladesh, waarbij onlangs 81 miljoen dollar werd buitgemaakt, is vermoedelijk mogelijk gemaakt door de Alliance Access clientsoftware van SWIFT te infecteren met malware. Dit gaf de aanvallers de mogelijkheid grote geldbedragen over te schrijven naar bankrekeningen in de Filipijnen.

De digitale bankoverval heeft veel aandacht gekregen in de media. De aanvallers wilden in totaal bijna 1 miljard dollar laten overschrijven naar buitenlandse rekeningen. Hierbij werd echter een spelfout gemaakt in de naam van een ontvanger, waarbij ‘fundation’ in plaats van ‘foundation’ werd geschreven. Dit veroorzaakte argwaan bij medewerkers van de centrale bank van Bangladesh, die een routineonderzoek startten. In dit onderzoek kwamen de frauduleuze transacties naar voren.

Tweedehands routers

Eerder bleek al dat de centrale bank van Bangladesh gebruik heeft gemaakt van tweedehands routers die voor zo’n 10 dollar per stuk beschikbaar zijn. Daarnaast zou de bank geen firewall geïnstalleerd hebben. Ook SWIFT zou fouten hebben gemaakt, en de bank pas na de bankroof hebben geadviseerd de IT-apparatuur te vervangen.

Onderzoekers van BAE Systems meldde nu aan Reuters dat de aanvallers grote geldbedragen konden overschrijven doordat zij de clientsoftware van SWIFT hebben weten te infecteren met malware. Een woordvoerder van SWIFT bevestigt het verhaal tegenover Reuters. Met behulp van deze malware konden de aanvallers informatie over overschrijvingsverzoeken wissen uit de SWIFT-database van de centrale bank van Bangladesh. Dit stelde de aanvallers in staat binnenkomende verzoeken te onderscheppen en uitgaande malafide verzoeken te verwijderen uit logboeken. Ook konden zij via de malware het saldo van bepaalde rekeningen aanpassen en printers aangepaste afdrukken laten afdrukken om dit te verbergen.

Server in Egypte

De software is volgens BAE Systems aangestuurd en gemonitord vanaf een server die wordt gehost in Egypte. Hoe de aanvallers overschrijvingen konden aanmaken is vooralsnog onduidelijk. SWIFT heeft al aangekondigd vandaag nog met een update te komen voor de clientsoftware. Daarnaast gaat het bedrijf financiële instellingen waarschuwen en adviseren hun beveiligingsprocedures kritisch te bekijken.

Lees ook
Proofpoint: APT TA450, MuddyWater gebruikt nieuwe tactieken en richt zich op Israëlische medewerkers

Proofpoint: APT TA450, MuddyWater gebruikt nieuwe tactieken en richt zich op Israëlische medewerkers

Onderzoekers van Proofpoint nemen sinds kort nieuwe activiteit waar van de aan Iran gelinkte dreigingsactor TA450. Deze dreigingsactor is ook bekend als MuddyWater, Mango Sandstorm en Static Kitten.

Drie trends voor cyberaanvallen in 2024

Drie trends voor cyberaanvallen in 2024

Allianz: in België blijven Cyberincidenten (bijv. cybercriminaliteit, verstoringen van IT-netwerken en -diensten, malware/ransomware, datalekken, boetes en straffen) het nummer één risico sinds 2018. In Nederland klommen Cyberincidenten vier posities naar de tweede plaats.

DataExpert kondigt overname Avian Digital Forensics aan

DataExpert kondigt overname Avian Digital Forensics aan

DataExpert kondigt de overname aan van Avian Digital Forensics, een Deens bedrijf gespecialiseerd in digitale recherche- en eDiscovery-technologieën. Met de overname van Avian versterkt DataExpert zijn aanwezigheid in de Scandinavische landen.