Les logiciels malveillants qui crachent de l'argent depuis les distributeurs automatiques se sont répandus dans le monde entier

À 10 heures du matin, fin novembre, à Fribourg, en Allemagne, un employé de banque a remarqué que quelque chose n'allait pas avec un distributeur automatique de banque.

Il a été piraté avec un logiciel malveillant appelé "Cutlet Maker", conçu pour obliger les distributeurs automatiques à éjecter tout l'argent qu'ils contiennent, selon un responsable des forces de l'ordre proche du dossier.

"Ho-ho-ho ! Faisons des côtelettes aujourd'hui !" Le panneau de commande de Cutlet Maker indique, à côté des images de dessins animés d'un chef et d'un morceau de viande en liesse. Dans un jeu de mots russe apparent, une côtelette signifie non seulement un morceau de viande, mais aussi une liasse d'argent.

Une enquête conjointe menée par Carte mère et la chaîne de télévision allemande Bayerischer Rundfunk (BR) a révélé de nouveaux détails sur une série d'attaques dites de « jackpotting » contre des distributeurs automatiques en Allemagne en 2017, qui ont vu des voleurs s'emparer de plus d'un million d'euros. Le jackpotting est une technique par laquelle les cybercriminels utilisent des logiciels malveillants ou un élément matériel pour tromper un guichet automatique et lui faire éjecter tout son argent, sans qu'une carte de crédit volée soit nécessaire. Les pirates installent généralement le logiciel malveillant sur un guichet automatique en ouvrant physiquement un panneau sur la machine pour révéler un port USB.

Dans certains cas, nous avons identifié la banque et le fabricant de distributeurs automatiques concernés. Même si une organisation européenne à but non lucratif a déclaré que les attaques par jackpotting avaient diminué dans la région au premier semestre de cette année, plusieurs sources ont indiqué que le nombre d'attaques dans d'autres parties du monde avait augmenté. Les régions attaquées comprennent les États-Unis, l’Amérique latine et l’Asie du Sud-Est, et le problème affecte les banques et les fabricants de distributeurs automatiques du secteur financier.

"Les États-Unis sont très populaires", a déclaré une source proche des attaques contre les distributeurs automatiques de billets. Carte mère et BR ont accordé l'anonymat à plusieurs sources, y compris aux responsables de l'application des lois, pour parler plus franchement des incidents de piratage sensibles.

Une capture d'écran du panneau de commande de Cutlet Maker. Image : compte Twitter de @CryptoInsane

*

Lors de la conférence annuelle Black Hat sur la cybersécurité en 2010, le regretté chercheur Barnaby Jack a démontré en direct sur scène sa propre souche de malware ATM. Le public a applaudi lorsque le guichet automatique a affiché le mot « JACKPOT » et a éjecté un flux constant de billets de banque.

Aujourd’hui, des attaques similaires ont été déployées dans la nature.

Dans ce cas de Fribourg, aucun argent liquide n'a été volé, a déclaré le responsable de l'application des lois. Mais Christoph Hebbecker, procureur du Land allemand de Rhénanie du Nord-Westphalie, a déclaré que son bureau enquêtait sur 10 incidents survenus entre février et novembre 2017, y compris des attaques au cours desquelles des voleurs s'enfuyaient avec des liasses d'argent. Au total, les pirates ont volé 1,4 million d'euros (1,5 million de dollars), a déclaré Hebbecker.

Hebbecker a ajouté qu'en raison de la nature similaire des attaques, il pense qu'elles sont toutes liées au même gang criminel. Dans certains cas, les procureurs disposent de preuves vidéo, mais ils n’ont jusqu’à présent aucun suspect, ont-ils ajouté.

"L'enquête est toujours en cours", a déclaré Hebbecker dans un courriel en allemand.

Plusieurs sources ont indiqué qu'un certain nombre d'attentats de 2017 en Allemagne ont touché la banque Santander ; deux sources ont déclaré qu'elles impliquaient spécifiquement le modèle de guichet automatique Wincor 2000xe, fabriqué par le fabricant de guichets automatiques Diebold Nixdorf.

"En général, nous ne commentons pas de cas spécifiques et isolés", a déclaré Bernd Redecker, directeur de la sécurité d'entreprise et de la gestion de la fraude chez Diebold Nixdorf, lors d'un appel téléphonique. "Cependant, nous traitons bien entendu avec nos clients en matière de jackpotting et nous sommes au courant de ces cas." Diebold Nixdorf a également vendu ces distributeurs automatiques sur le marché américain.

Un aperçu du modèle 2000xe d’ATM. Image : Wincor Nixdorf.

Un porte-parole de Santander a déclaré dans un communiqué envoyé par courrier électronique : "La protection des informations de nos clients et l'intégrité de notre réseau physique est au cœur de ce que nous faisons. Nos experts sont impliqués à chaque étape du développement de produits et des opérations pour protéger les clients et la banque contre fraude et cybermenaces. Cette concentration sur la protection de nos données et de nos opérations nous empêche de commenter des problèmes de sécurité spécifiques.