Attacco ibrido UNC2891 agli ATM con Raspberry Pi e malware
Gli attacchi agli sportelli bancomat si stanno evolvendo verso forme sempre più sofisticate, come dimostrato dalla recente campagna del gruppo cybercriminale UNC2891 in Indonesia. Tra il 2022 e il 2024, questi attaccanti hanno dimostrato come l’integrazione di tecniche fisiche e digitali possa compromettere anche i sistemi di sicurezza più avanzati degli ATM.
La strategia ibrida di UNC2891: quando fisico e digitale si uniscono
Il gruppo UNC2891 ha rivoluzionato l’approccio tradizionale agli attacchi ATM attraverso una metodologia che combina:
- Accesso fisico controllato: installazione di dispositivi Raspberry Pi direttamente nella rete bancaria
- Malware specializzato: utilizzo di rootkit avanzati come CAKETAP
- Persistenza a lungo termine: mantenimento dell’accesso attraverso multiple backdoor
Questa strategia ha permesso agli attaccanti di aggirare completamente i tradizionali sistemi di sicurezza perimetrali, creando un punto di accesso permanente all’interno dell’infrastruttura bancaria.
Il cuore dell’operazione: Raspberry Pi e connettività 4G
L’elemento chiave dell’attacco è stato l’utilizzo di un dispositivo Raspberry Pi equipaggiato con modulo 4G, installato fisicamente e collegato allo switch di rete degli ATM. Questa soluzione ha offerto diversi vantaggi strategici:
Bypassare i controlli di sicurezza
Il dispositivo, una volta installato fisicamente, ha permesso di:
- Aggirare completamente firewall e sistemi di protezione perimetrali
- Ottenere accesso diretto alla rete interna della banca
- Mantenere una connessione remota stabile attraverso la rete 4G
- Operare in modo invisibile ai sistemi di monitoraggio tradizionali
Compromissione dell’HSM
Uno degli aspetti più preoccupanti dell’attacco è stata la capacità di compromettere l’Hardware Security Module (HSM), il componente deputato alla verifica dei PIN. Gli attaccanti sono riusciti a manipolare questo sistema critico, creando un punto di vulnerabilità precedentemente considerato quasi impenetrabile.
L’arsenale malware: backdoor multiple per la persistenza
UNC2891 ha dimostrato un elevato livello di sofisticazione nell’utilizzo di malware specializzato, implementando un sistema di backdoor ridondanti:
TINYSHELL, SLAPSTICK e SUN4ME
Queste tre backdoor hanno lavorato in sinergia per garantire:
- Persistenza: mantenimento dell’accesso anche in caso di rilevamento parziale
- Ridondanza: sistemi di backup per evitare la perdita completa del controllo
- Stealth: capacità di operare senza essere facilmente individuate
CAKETAP: il rootkit per la manipolazione delle transazioni
Il malware CAKETAP rappresenta il cuore tecnologico dell’operazione, con capacità specifiche per:
- Manipolare le risposte dell’HSM durante la verifica PIN
- Falsificare le autorizzazioni di transazione
- Bypassare i controlli di sicurezza dei server di switching ATM
- Facilitare prelievi fraudolenti senza lasciare tracce evidenti
Implicazioni per la sicurezza bancaria moderna
Questo caso evidenzia criticità fondamentali nella sicurezza degli ATM che vanno oltre la protezione digitale tradizionale:
La necessità di sicurezza fisica potenziata
L’attacco dimostra che anche i sistemi più sicuri dal punto di vista digitale possono essere compromessi attraverso l’accesso fisico. Le banche devono considerare:
- Monitoraggio continuo degli accessi fisici agli ATM
- Sistemi di rilevamento di dispositivi non autorizzati sulla rete
- Controlli regolari dell’integrità hardware degli sportelli
- Implementazione di sensori di manomissione più sofisticati
Approccio multilivello alla sicurezza
La campagna di UNC2891 sottolinea l’importanza di strategie di sicurezza che integrino:
- Protezione fisica e digitale coordinata
- Monitoraggio comportamentale delle transazioni
- Sistemi di rilevamento anomalie in tempo reale
- Procedure di risposta rapida agli incidenti
Lezioni apprese e prospettive future
Nonostante la campagna sia stata intercettata prima di causare danni estesi, rappresenta un’evoluzione significativa nella minaccia agli ATM. Gli attaccanti hanno dimostrato capacità di:
- Pianificazione a lungo termine con installazioni fisiche complesse
- Sviluppo di malware specializzato per sistemi bancari specifici
- Coordinamento tra team tecnici e operativi per l’esecuzione fisica
- Mantenimento della persistenza per periodi estesi
Questo caso stabilisce un nuovo standard di minaccia che richiede alle istituzioni finanziarie di ripensare completamente i propri approcci alla sicurezza ATM, integrando protezioni fisiche e digitali in un sistema unificato di difesa. La capacità di UNC2891 di operare per oltre due anni prima del rilevamento evidenzia l’urgente necessità di sistemi di monitoraggio più sofisticati e procedure di sicurezza che considerino la minaccia ibrida come nuova normalità nel panorama della criminalità informatica bancaria.