Eind vorig jaar hebben criminelen zo'n 2 miljoen dollar van een bank weten te stelen nadat ze via een beveiligingslek in Java toegang tot de systemen hadden gekregen. De bank ontdekte dat er via een webgebaseerde bankmanagementapplicatie ongeautoriseerde berichten werden verstuurd. De bank gebruikte de applicatie om accounts van klanten in een online portal te beheren.

Via de portal konden klanten geld overmaken en transacties klaarzetten. Tijdens het onderzoek werd een gecompromitteerd beheerdersaccount ontdekt. Ook verschillende accounts van klanten waren door de aanvallers overgenomen. Uit forensisch onderzoek kwam naar voren dat een gehackte machine van de bank via een Java-lek besmet was geraakt.

Proxy
De infectie had zich voorgedaan toen een gebruiker naar een lokale nieuwssite surfte en daar besmet raakte. Vervolgens installeerden de aanvallers een backdoor om inloggegevens te stelen. Deze backdoor beschikte ook over een Socks5 proxy.

De bank had toegang tot de beheerdersapplicatie voor externe IP-adressen beperkt. Door het gebruik van de Socks5 proxy konden de aanvallers het verkeer via het besmette systeem tunnelen en zo toch toegang tot de applicatie krijgen.

Personeel
De aanvallers hadden het bewust op bankmedewerkers voorzien die werkende inloggegevens voor de managementapplicatie en andere applicaties hadden, waarmee toegang tot debitkaart en prepaid kaartnummers werd gekregen. Eenmaal toegang tot het systeem zochten de aanvallers naar rekeningen met grote bedragen.

Vervolgens werd de twee-factor authenticatie voor deze accounts uitgeschakeld en de wachtwoorden gereset. Met de opnieuw ingestelde wachtwoorden konden ze op de online portal inloggen en het geld naar een rekening van de aanvallers overmaken. Het Amerikaanse beveiligingsbedrijf Mandiant in een nieuw rapport (registratie verplicht) dat meerdere van deze aanvallen vorig jaar voorbij zag komen.

In alle gevallen hackten de aanvallers lokale nieuwssites, wetend dat bankpersoneel deze sites zou bezoeken, en gebruikten varianten van dezelfde Java-exploit om systemen te infecteren en zo toegang tot de banknetwerken te krijgen.