Zeker 50 geldautomaten van banken in Oost-Europa zijn met Windows-malware besmet geraakt waardoor criminelen door het opgeven van een speciale code al het geld uit de geldcassettes kunnen stelen. Daarnaast is de malware ook in andere landen aangetroffen, waaronder Frankrijk, de VS en India.

Dat laat het Russische anti-virusbedrijf Kaspersky Lab weten. De Tyupkin-malware kan de geldautomaten van een grote geldautomatenfabrikant infecteren die op een 32-bit versie van Windows draaien. Volgens de onderzoekers gebruikt de malware zeer geniepige technieken om detectie te voorkomen. Zo is de malware alleen op bepaalde momenten 's nachts actief. Daarnaast gebruikt het voor elke sessie een sleutel om met de geldautomaat te communiceren.

Als de sleutel is ingevoerd toont de malware hoeveel geld in elke geldcassette aanwezig is en laat een aanvaller die fysiek bij de geldautomaat staat 40 biljetten uit de geselecteerde cassette opnemen. De meeste malware-exemplaren van Tyupkin werden in maart van dit jaar ontdekt, maar de ontwikkelaars hebben inmiddels nieuwe varianten uitgebracht. Naast anti-analysetechnieken schakelt de malware op besmette systemen ook het programma McAfee Solidcore uit. Deze software moet systemen tegen ongewenste applicaties beschermen.

Infectie

Uit beelden van bewakingscamera's blijkt dat de aanvallers de geldautomaten via een opstart-cd infecteren. Eenmaal actief kan de malware via een standaard library (DLL) voor banken met de geldautomaat communiceren. De malware blijkt alleen op zondag- en maandagnacht opdrachten te accepteren. Criminelen kunnen naast een weergave van de hoeveelheid geld ook de activiteitsperiode van de malware instellen en de malware van het systeem verwijderen.

Volgens onderzoekers van Kaspersky Lab is het gebruik van geldautomatenmalware een "natuurlijke evolutie" voor criminelen, nu skimmingoperaties minder opleveren. "Het feit dat veel geldautomaten op besturingssystemen met bekende beveiligingsproblemen draaien en de afwezigheid van beveiligingsoplossingen is een ander probleem dat snel moet worden opgelost." Banken krijgen het advies om onder andere het beveiligingsalarm van de geldautomaat in te schakelen. Bij de aangevallen geldautomaten stond het beveiligingsalarm namelijk niet ingeschakeld.

Update 13:09

Tegenover Security.NL laat Kaspersky Lab weten dat criminelen via de malware miljoenen dollars hebben gestolen. Een exact bedrag kan echter nog niet worden gegeven.