一個名為 UNC2891(也稱 LightBasin)的駭客組織,在一場近期發現的攻擊中,使用了一台藏在銀行網路內、配備 4G 功能的樹莓派(Raspberry Pi)來繞過安全防禦。
這台單板電腦被實體連接到 ATM 網路交換器,從而建立了一條進入銀行內部網路的隱形通道,讓攻擊者得以進行橫向移動並部署後門程式。
根據資安公司 Group-IB 的說法,他們在調查網路上的可疑活動時發現了這次入侵。攻擊的目標是偽造 ATM 授權,以便進行詐騙性的現金提領。
儘管 LightBasin 的計畫最終失敗,但這次事件是一個罕見的案例,展示了一種結合了實體與遠端存取的高階混合式攻擊,並採用多種反鑑識技術來維持高度的隱密性。
惡名昭彰的銀行攻擊者
這個駭客組織以攻擊銀行系統而惡名昭彰,資安公司 Mandiant 在 2022 年的一份報告中就曾強調過。該報告揭露了一款當時最新的 Unix 核心 Rootkit「Caketap」,它被設計在金融業廣泛使用的 Oracle Solaris 系統上執行。
Caketap 能操縱支付硬體安全模組(HSM)的回應——特別是針對卡片驗證的訊息——從而授權那些原本會被銀行系統阻擋的詐騙交易。
LightBasin 自 2016 年以來就相當活躍,多年來也成功攻擊了電信系統,他們利用開源後門程式「TinyShell」在不同網路間轉移流量,並透過特定的行動基地台進行路由。
攻擊手法分析:樹莓派的妙用
在最新的這起案件中,LightBasin 成員透過自行潛入或賄賂內鬼員工的方式,取得了進入銀行分行的實體權限,並將一台配備 4G 數據機的樹莓派安裝在與 ATM 相同的網路交換器上。
這台裝置的對外連網能力,讓攻擊者得以繞過邊界防火牆,持續地從遠端存取銀行內部網路。樹莓派上執行了 TinyShell 後門程式,攻擊者利用它透過行動數據建立了一個對外的指揮與控制(C2)通道。
在攻擊的後續階段,威脅行為者橫向移動到網路監控伺服器,該伺服器與銀行的資料中心有著廣泛的連線。接著,攻擊者還將陣地轉移到具備直接對外連網能力的郵件伺服器,即使樹莓派被發現並移除,也能確保其存取權限的持續性。
高明的隱匿與偽裝技術
用於橫向移動的後門程式被命名為「lightdm」,以模仿 Linux 系統上合法的 LightDM 顯示管理器,藉此偽裝得毫無危害。
另一個促成這次攻擊高度隱密性的因素,是 LightBasin 將 tmpfs 和 ext4 這類替代檔案系統,掛載於惡意程序的 /proc/[pid] 路徑之上,這項手法實質上遮蔽了相關的元資料(metadata),使其無法被鑑識工具偵測。
根據 Group-IB 的調查,銀行網路內部的網路監控伺服器被發現每 600 秒就會透過 929 連接埠向樹莓派發出一次信標訊號,這表明該裝置被當作一個中樞跳板主機(pivot host)使用。
研究人員表示,攻擊者的最終目標是部署 Caketap rootkit,但這個計畫在實現之前就已經被成功阻止。
延伸閱讀:樹莓派是什麼?為何上市1天股價飆漲近4成?70美元AI套件魅力在哪?一文看懂Raspberry Pi
路由器安全漏洞是它!WPS「一鍵連Wi-Fi」隱藏4大資安風險:如何安全使用?
本文授權轉載自T客邦