Carbanak: Als der Bankraub zu einem „Ferngeschäft“ wurde

Autor: DerSchneider

Einleitung: Ein Geldautomat, der von selbst Geld ausspuckte

Ende 2013 entdeckte eine Bank in Kiew, Ukraine, ein merkwürdiges Phänomen: Ein Geldautomat begann, ohne dass jemand eine Karte eingeführt hatte, Bargeld auszugeben. Noch seltsamer war, dass jedes Mal, wenn die Maschine Geld ausspuckte, rechtzeitig jemand vor dem Automaten stand, das Geld ruhig entgegennahm und verschwand.

Zunächst hielt die Bank dies für einen Gerätefehler. Doch als sich ähnliche Vorfälle häuften, wurde den Ermittlern klar, dass sie es nicht mit einem technischen Defekt zu tun hatten, sondern mit einer völlig neuen Form der Kriminalität – jemand steuerte die Maschine aus der Ferne, wie eine Marionette an Fäden, und befahl ihr, das Geld herauszugeben.

Dieser „gehorsame“ Geldautomat wurde zum ersten Hinweis auf eine kriminelle Gruppierung mit dem Codenamen „Carbanak“. Die anschließenden Ermittlungen sollten eine erschütternde Wahrheit ans Licht bringen: Diese Gruppe hatte über mehrere Jahre hinweg mehr als 100 Finanzinstitute weltweit angegriffen und dabei Schätzungen zufolge bis zu einer Milliarde US-Dollar erbeutet. Ihre Methoden waren so raffiniert und ihre Geduld so erschreckend, dass sie das Verständnis von „Bankraub“ grundlegend veränderten.

I. Dies ist kein traditioneller Bankraub

Um die Einzigartigkeit von Carbanak zu verstehen, muss man zunächst die gängigen Vorstellungen von einem „Bankraub“ aufgeben.

Ein traditioneller Banküberfall hat klare räumliche und zeitliche Grenzen: Die Räuber dringen ein, bedrohen mit Waffen, nehmen schnell Geld und fliehen. Der gesamte Vorgang dauert Minuten, die Mittel sind Gewalt oder deren Androhung, das Ziel ist das Bargeld in den Schaltern.

Carbanak funktionierte völlig anders. Ihr „Raub“ begann mit einer scheinbar gewöhnlichen E-Mail und endete Monate später mit einer stillen Überweisung. Es gab keine Schüsse, keine Masken, nicht einmal physischen Kontakt. Wie Sergey Golovanov, leitender Sicherheitsforscher bei Kaspersky Lab, es ausdrückte: „Das Überraschende an diesen Banküberfällen ist, dass es für die Kriminellen keinen Unterschied macht, welche Software die Bank verwendet. Selbst wenn die Software einzigartig ist, kann sich die Bank nicht in Sicherheit wiegen. Die Angreifer müssen nicht einmal die Dienste der Bank hacken: Einmal im Netzwerk, lernen sie, wie sie bösartige Handlungen hinter legitimen Operationen verbergen.“

Diese „Low and Slow“-Strategie – also leise und langsam – ist das zentrale taktische Merkmal von Carbanak. Sie handelten nicht hastig, sondern wie geduldige Jäger, die im Zielnetzwerk lauern, beobachten und lernen, bis sie das interne Funktionieren der Bank fast so gut kennen wie reguläre Mitarbeiter – erst dann schlagen sie zu. Der Bericht von Kaspersky zeigt: Vom Zeitpunkt der Infektion bis zur tatsächlichen Geldentnahme vergingen durchschnittlich zwei bis vier Monate.

II. Die raffinierte Partie des Social Engineerings

Der Einstieg von Carbanak begann mit einer alten, aber effektiven Methode: dem Spear-Phishing (gezieltes Phishing).

Anders als Massen-Phishing-E-Mails erfordert Spear-Phishing, dass die Angreifer im Voraus die Organisationsstruktur, die Rollen der Mitarbeiter und die Kommunikationsgewohnheiten der Ziele kennen. Carbanak zeigte dabei ein außergewöhnlich hohes professionelles Niveau. Sie gaben sich als legitime Unternehmen aus und versandten E-Mails mit schädlichen Anhängen. Wurde ein solcher Anhang geöffnet, wurde eine Carbanak-Backdoor auf dem Computer des Opfers installiert.

Sicherheitsforschungen zeigen, dass diese Phishing-E-Mails eine Reihe bekannter Schwachstellen ausnutzten, darunter CVE-2012-0158 in Microsoft Windows Common Controls, CVE-2013-3906 in Microsoft GDI+ sowie CVE-2014-1761. Diese Lücken waren damals keine „Zero-Days“ mehr, doch das Patch-Management der Banken hinkte oft hinterher – eine Gelegenheit für die Angreifer.

Darüber hinaus ergänzte FIN7 (die mit Carbanak verbundene Organisation) ihre Phishing-E-Mails durch Telefonanrufe, bei denen sie sich als Absender ausgaben, um die Glaubwürdigkeit der E-Mail zu erhöhen. Das US-Justizministerium stellte dazu fest: „FIN7 erstellte sorgfältig E-Mails, die für Mitarbeiter von Unternehmen legitim aussahen, begleitet von Telefonanrufen, um die E-Mail noch glaubwürdiger erscheinen zu lassen.“ Das Opfer erhielt also nicht nur eine E-Mail, die von einem legitimen Unternehmen zu stammen schien, sondern auch einen Anruf, der die Echtheit der E-Mail „bestätigte“. Diese duale Social-Engineering-Methode erhöhte die Erfolgsquote erheblich.

War der Schadcode erst aktiviert, etablierte er still und leise einen Stützpunkt im internen Netzwerk der Bank. Doch die Angreifer hatten es nicht eilig.

III. Geduld: Die am meisten unterschätzte Waffe

Wenn Social Engineering der „Schlüssel“ von Carbanak war, dann war Geduld ihre „Strategie“.

Nach dem Eindringen in das Banknetzwerk begann für die Angreifer eine monatelange Beobachtungsphase. Der Bericht von Kaspersky stellte fest, dass die Angreifer nach der Infektion einer Bank zunächst kein Geld stahlen. Stattdessen beobachteten sie wochen- bis monatelang den Bankbetrieb.

Bitdefender rekonstruierte den zeitlichen Ablauf eines typischen Carbanak-Angriffs: Vom Tag 0, an dem ein Cobalt-Strike-Beacon über eine Phishing-E-Mail eingeschleust wurde, vergingen fast drei Wochen, bis die Angreifer einen Domänenadministrator kompromittiert hatten. Erst am 31. Tag wurde der zentrale Server identifiziert, der die Finanzanwendungen der Bank steuerte. Und erst am 33. Tag erfolgte die erste Verbindung zu diesem Server. Das bedeutet: Über einen Monat lang beobachteten die Angreifer, kartierten das Netzwerk und sammelten Zugangsdaten, ohne auch nur einen Cent zu stehlen.

Was taten sie in dieser Zeit? Sie „kartierten die internen Prozesse und Anwendungen“ und zeigten ein „tiefes Verständnis“ für die Art und Lage der Ziel Daten.

Die Carbanak-Malware fungierte dabei als vollwertige Backdoor. Sie erlaubte den Angreifern, Screenshots zu erstellen, Tastatureingaben aufzuzeichnen und sogar Bildschirmvideos von Mitarbeitern anzufertigen, die Bankanwendungen bedienten. So konnten sie die exakten Abläufe nachahmen, ohne selbst entdeckt zu werden.

Besonders perfide: Die Angreifer studierten die interne Buchhaltung der Bank. Sie analysierten, wie Kontostände, Transaktionslimits und Freigabeschwellen funktionierten. Dadurch wussten sie genau, welche Beträge unauffällig waren und wann sie zuschlagen konnten, ohne Alarme auszulösen.

Die Angreifer agierten bevorzugt nachts oder am Wochenende, wenn weniger Personal anwesend war und Überwachungssysteme weniger aufmerksam. Sie tarnten ihre Aktivitäten als normale Wartungsarbeiten oder nutzten legitime Admin-Tools, um nicht aufzufallen.

Statt einmalig zuzuschlagen, hielten sie sich über Monate oder sogar Jahre in den Netzen. Sie legten Backdoors und Hintertüren an, um auch nach Entdeckungen wieder hineinzukommen. So konnten sie mehrere Angriffswellen fahren, ohne das gesamte System zu gefährden.

IV. Die Bargeldautomaten-Masche: Fernsteuerung statt physischer Manipulation

Die spektakulärste Methode von Carbanak war die Fernsteuerung von Geldautomaten. Die Hacker mussten weder die Automaten physisch manipulieren noch Karten stehlen – sie befahlen dem System der Bank einfach, Geld auszugeben, und jemand wartete bereits vor dem Automaten, um es einzustecken.

Der Auslöser: Ein auffälliger Automat

Die gesamte Affäre wurde 2013 in Kiew, Ukraine, aufgedeckt. Ein Geldautomat spuckte wiederholt ohne ersichtlichen Grund Bargeld aus – ohne Karte, ohne Tastendruck. Die Überwachungskamera zeigte jedoch etwas Merkwürdiges: Jedes Mal, wenn der Automat Geld ausgab, stand rechtzeitig jemand davor, nahm das Geld und ging. Die Polizei bat Kaspersky um Hilfe bei der Untersuchung, und erst dann wurde entdeckt, dass dies nur die Spitze des Eisbergs war.

Wie funktionierte es?

1. Fernbefehl zur Auszahlung

Nachdem die Angreifer in das Banksystem eingedrungen waren, erlangten sie die Kontrolle über das Netzwerk, das die Geldautomaten steuerte. Sie konnten direkt einen Befehl an einen bestimmten Automaten senden, um zu einem im Voraus festgelegten Zeitpunkt das Geld auszuwerfen.

2. „Geldboten“ warteten vor Ort

Während die Hacker remote den Befehl ausführten, wartete ein Komplize vor dem Automaten. Sobald das Geld ausgegeben wurde, steckte er es in einen Rucksack und verschwand. Die gesamte Aktion erforderte keine Karte und keine PIN-Eingabe.

3. Überwachung und Sabotage

Vor der Ausführung des Auszahlungsbefehls ergriffen die Angreifer einige „Sicherheitsmaßnahmen“: Sie deaktivierten die Videoüberwachung des Automaten und erhöhten das Auszahlungslimit, damit der Automat mehr Geld ausgeben konnte.

Ein konkreter Fall

In einem Fall erbeutete eine Bank durch diese „Automatenspuck-Methode“ 7,3 Millionen US-Dollar. Die Gruppe beschränkte die Beute pro Bank in der Regel auf unter 10 Millionen US-Dollar, um nicht aufzufallen – diese „Low-Profile-Strategie“ ist auch ein Grund, warum sie so lange unentdeckt blieben.

V. Die weiteren Geldbeschaffungsmethoden im Detail

Die Bargeldautomaten-Masche war spektakulär, aber bei weitem nicht die einzige Methode, mit der Carbanak Geld aus den eroberten Banknetzwerken abzog. Tatsächlich war sie eher die Ausnahme – die meisten Angriffe nutzten andere, weniger sichtbare Wege. Im Folgenden werden die wichtigsten Methoden ebenso ausführlich beschrieben.

1. Betrug durch Online-Überweisungen (Online Banking Fraud)

Die häufigste und zugleich unauffälligste Methode war der Betrug über das Online-Banking-System der Bank selbst.

Wie es funktionierte:

Nachdem die Angreifer monatelang die internen Abläufe der Bank studiert hatten, kannten sie die genauen Prozesse für Überweisungen: Wer darf welche Beträge freigeben? Welche Konten werden für welche Transaktionen genutzt? Welche Zeiten sind unauffällig?

Mit diesem Wissen konnten sie sich als legitime Mitarbeiter ausgeben und Überweisungen auf eigene Konten – sogenannte „Money Mule“-Konten – veranlassen. Diese Konten gehörten oft ahnungslosen Personen oder wurden speziell für die Geldwäsche eingerichtet.

Warum es so schwer zu entdecken war:

Die Überweisungen wurden in den regulären Transaktionsstrom eingebettet. Sie entsprachen den üblichen Beträgen, wurden zu den üblichen Zeiten ausgeführt und nutzten die üblichen Freigabewege. Für das Bankpersonal sah alles nach normalen Geschäftsvorgängen aus.

Ein besonders perfider Trick: Die Angreifer nutzten die internen Systeme, um die Überweisungen selbst zu genehmigen. Da sie die Zugangsdaten von Mitarbeitern mit entsprechenden Berechtigungen erbeutet hatten, konnten sie die Transaktionen durch den gesamten Freigabeprozess schleusen, ohne dass ein Mensch eingreifen musste.

Die Rolle der „Money Mules“:

Das Geld wurde auf Konten von sogenannten „Money Mules“ überwiesen – oft ahnungslose Personen, die über Online-Jobangebote oder Dating-Plattformen angeworben wurden. Diese Personen hoben das Geld ab oder überwiesen es weiter, ohne zu wissen, dass sie an einer Straftat beteiligt waren. Die eigentlichen Drahtzieher blieben im Hintergrund.

2. Aufgeblasene Kontostände (Inflated Account Balances)

Eine weitere Methode war die direkte Manipulation von Kontodatenbanken. Dabei wurden Kontostände künstlich erhöht, um dann den Differenzbetrag abzuräumen.

Wie es funktionierte:

Die Angreifer drangen in die Datenbanken der Bank ein und änderten die Kontostände bestimmter Konten – oft von wohlhabenden Kunden oder Firmenkonten mit hohen Guthaben. Beispielsweise wurde ein Konto mit 10.000 US-Dollar auf 100.000 US-Dollar „aufgeblasen“.

Anschließend überwiesen sie den Differenzbetrag – in diesem Fall 90.000 US-Dollar – auf ein anderes Konto oder hoben ihn ab. Der ursprüngliche Kontostand wurde wiederhergestellt, sodass dem Kunden kein Verlust auffiel.

Warum es funktionierte:

Diese Methode erforderte ein tiefes Verständnis der Datenbankstruktur und der Buchhaltungslogik der Bank. Die Angreifer mussten sicherstellen, dass die manipulierten Transaktionen mit den anderen Systemen der Bank konsistent blieben – andernfalls hätten automatische Prüfungen Alarm geschlagen.

Durch die monatelange Beobachtung wussten die Angreifer genau, welche Konten regelmäßig hohe Transaktionen aufwiesen und bei welchen Beträgen keine automatischen Warnungen ausgelöst wurden.

Die Herausforderung der Konsistenz:

Ein besonderes Problem war die Konsistenz der Daten. Wenn ein Kontostand geändert wurde, mussten auch alle abhängigen Systeme – wie Zinsberechnungen, Kreditlimits und Risikobewertungen – entsprechend angepasst werden. Die Angreifer entwickelten spezielle Tools, um diese Konsistenz automatisch herzustellen.

3. Missbrauch von Bankdienstleistungen und vorausbezahlten Karten

Die Gruppe nutzte auch legitime Bankdienstleistungen, um die Herkunft des Geldes zu verschleiern und es aus dem Bankensystem herauszuschleusen.

Vorausbezahlte Karten (Prepaid Cards):

Die Angreifer erwarben oder erstellten vorausbezahlte Karten, die sie mit gestohlenem Geld aufluden. Diese Karten konnten dann weltweit an Geldautomaten oder in Geschäften verwendet werden, ohne dass eine direkte Verbindung zur Bank hergestellt werden konnte.

Online-Bezahldienste:

Sie nutzten auch Online-Bezahldienste wie E-Wallets und Kryptowährungsbörsen, um das Geld weiter zu verschieben und zu waschen. Diese Dienste boten eine zusätzliche Anonymitätsschicht.

Kreditkarten und Kredite:

In einigen Fällen beantragten die Angreifer im Namen von Bankkunden Kredite oder Kreditkarten, die sie dann für eigene Zwecke nutzten. Auch hier half ihnen das Wissen über die internen Prozesse, um die Anträge erfolgreich durchzubringen.

SWIFT-Netzwerk:

Ein besonders schwerwiegender Aspekt war der Missbrauch des SWIFT-Netzwerks – des internationalen Systems für Finanztransaktionen. Die Angreifer konnten Überweisungen in andere Länder veranlassen, die dann nur schwer zurückzuverfolgen waren. Dieser Aspekt wurde besonders beim späteren Angriff auf die Zentralbank von Bangladesch deutlich, bei dem eine ähnliche Gruppe 81 Millionen US-Dollar erbeutete.

4. Die Kombination der Methoden

In der Praxis kombinierten die Angreifer oft mehrere Methoden. Ein typischer Angriff konnte so aussehen:

1. Phase 1 – Beobachtung: Monatelanges Studium der Bankabläufe
2. Phase 2 – Test: Kleine Überweisungen zur Überprüfung der Systeme
3. Phase 3 – Ausbeutung: Größere Überweisungen und Kontomanipulationen
4. Phase 4 – Bargeldabhebung: Nutzung von Geldautomaten und Money Mules
5. Phase 5 – Geldwäsche: Verschiebung des Geldes über verschiedene Kanäle

Durch diese mehrstufige Strategie konnten die Angreifer große Summen abziehen, ohne dass die Bank den Verlust sofort bemerkte. Oft vergingen Monate, bis die Manipulationen entdeckt wurden – und dann war das Geld längst verschwunden.

VI. Die technische Infrastruktur: Tarnung als legitime Software

Die technische Raffinesse von Carbanak zeigte sich besonders in der Tarnung. Die Malware tarnte sich als legitime Windows-Dienste (z. B. als svchost.exe an ungewöhnlichen Orten) oder nutzte geplante Aufgaben, um aktiv zu bleiben.

Die Kommunikation mit den Servern der Angreifer wurde über legitime Dienste wie Google Apps Script oder Google Sheets verschleiert. Dadurch konnten die Angreifer Daten exfiltrieren, ohne dass Netzwerküberwachungssysteme anschlagen.

Die Gruppe verwendete auch eine Reihe von Tools und Techniken, die für Penetrationstests entwickelt wurden, um sich im Netzwerk zu bewegen und Rechte zu erweitern. Dazu gehörten unter anderem:

• Mimikatz zur Extraktion von Anmeldeinformationen
• PsExec zur Fernausführung von Befehlen
• PowerShell-Skripte zur Automatisierung von Angriffsschritten
• Cobalt Strike als Framework für die Angriffssteuerung

VII. Der Zusammenstoß mit Kaspersky

Die Aufdeckung der Gruppe ist eng mit dem russischen Sicherheitsunternehmen Kaspersky Lab verbunden.

Die Spur führte die Ermittler zunächst zu einer Reihe von Vorfällen in Osteuropa, bei denen Geldautomaten manipuliert worden waren. Kaspersky wurde schließlich von einer betroffenen Bank mit den Untersuchungen beauftragt und entdeckte dabei das Ausmaß der internationalen Kampagne.

Im Jahr 2015 veröffentlichte Kaspersky seine Erkenntnisse und sorgte damit für weltweites Aufsehen. Die Sicherheitsforscher schätzten den Gesamtschaden auf bis zu eine Milliarde US-Dollar und identifizierten über 100 betroffene Finanzinstitute in 30 Ländern. Kaspersky beschrieb die Vorgänge als eine neue Stufe der Cyberkriminalität, bei der Kriminelle direkt Banken ausraubten, statt sich mit dem Diebstahl von Kreditkartendaten zufriedenzugeben.

Die Aufdeckung durch Kaspersky und die anschließende Zusammenarbeit mit Strafverfolgungsbehörden wie Interpol und Europol markierten einen Wendepunkt.

Zeitliche Entwicklung der Aufdeckung

Jahr	Ereignis
2013	Erste Vorfälle in der Ukraine; Kaspersky wird eingeschaltet
2014	Weitere Angriffe in Osteuropa und darüber hinaus
2015	Kaspersky veröffentlicht seine Erkenntnisse; weltweites Aufsehen
2016	Europol und FBI intensivieren die Ermittlungen
2018	Festnahme von Fedir Hladyr in Dresden; Festnahme von „Denis K“ in Spanien

VIII. Die rechtliche Aufarbeitung: Wurden die Hacker gestellt?

Ja, mehrere hochrangige Mitglieder der Carbanak-/FIN7-Gruppe wurden festgenommen, verurteilt und zu Gefängnisstrafen verurteilt. Die wichtigsten Fälle:

Fedir Hladyr (Ukrainer, Systemadministrator/Manager)

• 2018 in Dresden, Deutschland, festgenommen
• Später an die USA ausgeliefert
• Im September 2019 bekannte er sich schuldig
• Im April 2021 wurde er zu 10 Jahren Gefängnis und einer Entschädigungszahlung von 2,5 Millionen US-Dollar verurteilt

Andrii Kolpakov (Ukrainer, hochrangiger Hacker/“Penetration Tester“)

• Im Juni 2018 in Lepe, Spanien, festgenommen
• 2019 an die USA ausgeliefert
• Im Juni 2020 gestand er seine Schuld ein
• Im Juni 2021 wurde er zu 7 Jahren Gefängnis und einer Entschädigungszahlung von 2,5 Millionen US-Dollar verurteilt

Denys Iarmak (Ukrainer, hochrangiger Hacker)

• Im November 2019 in Bangkok, Thailand, festgenommen
• Später an die USA ausgeliefert
• Im November 2021 bekannte er sich schuldig
• Im April 2022 wurde er zu 5 Jahren Gefängnis verurteilt

Darüber hinaus wurde im März 2018 eine als „Denis K“ identifizierte Person, die als Kopf hinter Carbanak/Cobalt gilt, in Alicante, Spanien, festgenommen – dies war das Ergebnis einer gemeinsamen Operation von Europol, dem FBI und mehreren Ländern.

Was die in Kasachstan verurteilten Fälle betrifft: Im Dezember 2022 wurden zwei weitere Carbanak-Mitglieder von einem Gericht in Kasachstan zu jeweils 8 Jahren Gefängnis verurteilt, weil sie kasachische Banken angegriffen und umgerechnet etwa 4,6 Millionen US-Dollar gestohlen hatten.

Was die Frage betrifft, ob „alle“ gefasst wurden – die Antwort lautet: Nein. Die kasachische Staatsanwaltschaft wies ausdrücklich darauf hin, dass weitere Mitglieder der kriminellen Organisation identifiziert wurden und zur internationalen Fahndung ausgeschrieben sind.

Übersicht der verurteilten Haupttäter

Name	Nationalität	Festnahmeort	Haftstrafe	Entschädigung
Fedir Hladyr	Ukrainer	Dresden, Deutschland	10 Jahre	2,5 Mio. USD
Andrii Kolpakov	Ukrainer	Lepe, Spanien	7 Jahre	2,5 Mio. USD
Denys Iarmak	Ukrainer	Bangkok, Thailand	5 Jahre	k. A.
„Denis K“	Ukrainer	Alicante, Spanien	k. A.	k. A.
Zwei weitere	Kasachen	Kasachstan	8 Jahre	k. A.

IX. Carbanak und FIN7: Eine Frage der Zuordnung

In der Sicherheitsforschung herrscht bis heute keine vollständige Einigkeit über die genaue Beziehung zwischen „Carbanak“ und „FIN7“.

Ursprünglich bezeichnete „Carbanak“ sowohl die Malware als auch die Gruppe, die sie einsetzte. Später etablierte sich „FIN7“ als Bezeichnung für eine Gruppe, die ähnliche Techniken verwendete, aber stärker auf den Diebstahl von Kreditkartendaten und den Angriff auf Point-of-Sale-Systeme spezialisiert war.

Einige Forscher betrachten Carbanak und FIN7 als dieselbe Gruppe oder zumindest als eng verbundene Organisationen. Andere sehen sie als separate Entitäten mit überlappenden Mitgliedern und Techniken.

Klar ist: Die Gruppe, die 2013 in Kiew entdeckt wurde, und die Gruppe, die später als FIN7 bezeichnet wurde, teilen eine Reihe von Merkmalen: die Verwendung von Spear-Phishing, die geduldige Beobachtung, die „Low and Slow“-Strategie und die hohe Professionalität.

X. Historische Einordnung: Eine neue Ära der Cyberkriminalität

Carbanak markiert einen Wendepunkt in der Geschichte der Cyberkriminalität. Vor Carbanak waren die meisten Angriffe auf Finanzinstitute entweder opportunistisch (wie der Diebstahl von Kreditkartendaten) oder auf Endkunden gerichtet (wie Phishing).

Carbanak zeigte, dass hochorganisierte Gruppen in der Lage sind, direkt in die Kernsysteme von Banken einzudringen und diese über Monate hinweg zu manipulieren. Dies erforderte nicht nur technisches Know-how, sondern auch eine bisher unbekannte Geduld und Ressourcen.

Die Gruppe demonstrierte auch die Bedeutung von Social Engineering und menschlicher Manipulation. Technische Sicherheitsmaßnahmen allein reichen nicht aus, wenn Mitarbeiter durch raffinierte Phishing-Angriffe kompromittiert werden können.

XI. Aktuelle Kontroversen und offene Fragen

Die Rolle von Kaspersky

Kaspersky Lab spielte eine zentrale Rolle bei der Aufdeckung von Carbanak. Allerdings gibt es bis heute Diskussionen über die genaue Rolle des Unternehmens. Einige Beobachter weisen darauf hin, dass Kaspersky selbst in Russland ansässig ist und dass die Aufdeckung möglicherweise auch geopolitischen Interessen diente. Diese Fragen sind bis heute nicht vollständig geklärt.

Die wahre Höhe des Schadens

Die Schätzung von bis zu einer Milliarde US-Dollar ist eine Schätzung. Nicht alle betroffenen Banken meldeten die Vorfälle, und nicht alle Verluste wurden öffentlich gemacht. Die tatsächliche Höhe des Schadens könnte höher oder niedriger sein.

Die Identität von „Denis K“

Die Identität der als „Denis K“ bezeichneten Person wurde nie vollständig öffentlich gemacht. Es ist unklar, ob es sich um eine Einzelperson oder eine Gruppe handelt.

Die Verbindung zu staatlichen Akteuren

Einige Forscher haben die Frage aufgeworfen, ob Carbanak/FIN7 Verbindungen zu staatlichen Akteuren hatten. Diese Frage ist bis heute nicht abschließend geklärt.

XII. Zukünftige Implikationen

Die Carbanak-Affäre hat mehrere wichtige Implikationen für die Zukunft der Cybersicherheit:

1. Die Grenzen technischer Sicherheitsmaßnahmen

Carbanak zeigte, dass technische Sicherheitsmaßnahmen allein nicht ausreichen. Die Angreifer nutzten Social Engineering, um menschliche Schwächen auszunutzen. Unternehmen müssen daher in die Schulung ihrer Mitarbeiter investieren und eine Sicherheitskultur fördern.

2. Die Bedeutung von Threat Hunting

Die Aufdeckung von Carbanak erforderte eine proaktive Suche nach Bedrohungen (Threat Hunting). Traditionelle Sicherheitssysteme, die auf Signaturen basieren, waren nicht in der Lage, die Angriffe zu erkennen. Unternehmen müssen daher in der Lage sein, aktiv nach Anomalien zu suchen.

3. Die Notwendigkeit internationaler Zusammenarbeit

Die Verfolgung von Carbanak erforderte die Zusammenarbeit von Strafverfolgungsbehörden in mehreren Ländern. Internationale Kooperation ist daher unerlässlich, um Cyberkriminelle zur Rechenschaft zu ziehen.

4. Die zunehmende Professionalisierung der Cyberkriminalität

Carbanak zeigte, dass Cyberkriminalität zunehmend professionalisiert wird. Die Gruppe agierte wie ein Unternehmen mit klaren Rollen, Spezialisierungen und einer langfristigen Strategie. Diese Professionalisierung stellt eine neue Herausforderung für die Sicherheitsbranche dar.

5. Die Bedeutung von Geduld und Ausdauer

Die vielleicht wichtigste Lehre aus Carbanak ist die Bedeutung von Geduld. Die Angreifer handelten nicht hastig, sondern beobachteten und lernten monatelang. Unternehmen müssen daher in der Lage sein, Angriffe über lange Zeiträume zu erkennen und abzuwehren.

Fazit: Eine Lektion in Geduld und Raffinesse

Carbanak war mehr als nur eine Gruppe von Cyberkriminellen. Es war eine neue Art von Organisation, die die Grenzen zwischen traditioneller Kriminalität und Cyberkriminalität verwischte.

Die Gruppe zeigte, dass hochorganisierte Angreifer in der Lage sind, in die Kernsysteme von Banken einzudringen und diese über Monate hinweg zu manipulieren. Sie demonstrierte die Bedeutung von Social Engineering und menschlicher Manipulation. Und sie bewies, dass Geduld und Ausdauer mächtiger sein können als technische Raffinesse.

Die Aufdeckung durch Kaspersky und die anschließende Verfolgung durch internationale Strafverfolgungsbehörden markierten einen Wendepunkt. Mehrere Haupttäter wurden verurteilt, aber nicht alle wurden gefasst.

Die Lehren aus Carbanak sind bis heute relevant. Unternehmen müssen in der Lage sein, Angriffe über lange Zeiträume zu erkennen und abzuwehren. Sie müssen in die Schulung ihrer Mitarbeiter investieren und eine Sicherheitskultur fördern. Und sie müssen verstehen, dass die größte Bedrohung oft nicht von außen kommt, sondern von innen – durch die Manipulation von Menschen.

Carbanak war ein Weckruf. Die Frage ist, ob wir ihn gehört haben.

Quellen

1. Kaspersky Lab (2015). Carbanak APT: The Great Bank Robbery. Verfügbar unter: https://securelist.com/carbanak-apt-the-great-bank-robbery/68713/
2. Kaspersky Lab (2015). Carbanak APT: The Great Bank Robbery (Part 2). Verfügbar unter: https://securelist.com/carbanak-apt-the-great-bank-robbery-part-2/68715/
3. Europol (2018). Mastermind behind Carbanak/Cobalt malware group arrested in Spain. Verfügbar unter: https://www.europol.europa.eu/newsroom/news/mastermind-behind-carbanak-cobalt-malware-group-arrested-in-spain
4. US Department of Justice (2021). Ukrainian National Sentenced to 10 Years in Prison for Role in International Cybercrime Organization. Verfügbar unter: https://www.justice.gov/usao-wdwa/pr/ukrainian-national-sentenced-10-years-prison-role-international-cybercrime-organization
5. US Department of Justice (2021). Ukrainian National Sentenced to 7 Years in Prison for Role in International Cybercrime Organization. Verfügbar unter: https://www.justice.gov/usao-wdwa/pr/ukrainian-national-sentenced-7-years-prison-role-international-cybercrime-organization
6. US Department of Justice (2022). Ukrainian National Sentenced to 5 Years in Prison for Role in International Cybercrime Organization. Verfügbar unter: https://www.justice.gov/usao-wdwa/pr/ukrainian-national-sentenced-5-years-prison-role-international-cybercrime-organization
7. Trend Micro (2017). FIN7: The Evolution of a Cybercrime Group. Verfügbar unter: https://www.trendmicro.com/vinfo/us/security/news/cybercrime-and-digital-threats/fin7-the-evolution-of-a-cybercrime-group
8. MITRE ATT&CK. FIN7. Verfügbar unter: https://attack.mitre.org/groups/G0046/
9. Europol (2022). Two members of Carbanak cybercrime group sentenced in Kazakhstan. Verfügbar unter: https://www.europol.europa.eu/media-press/newsroom/news/two-members-of-carbanak-cybercrime-group-sentenced-in-kazakhstan
10. Bitdefender (2018). Carbanak APT: A Look at the Bank Robbery of the Century. Verfügbar unter: https://www.bitdefender.com/blog/labs/carbanak-apt-a-look-at-the-bank-robbery-of-the-century/
11. Golovanov, S. (2015). The Great Bank Robbery: Carbanak APT. Kaspersky Lab Security Analyst Summit.
12. Group-IB (2016). Carbanak: The Great Bank Robbery. Verfügbar unter: https://www.group-ib.com/