Carbanak: Die Hackergruppe, die Banken erst wochenlang beobachtete

Im Februar 2015 präsentierten Forscher von Kaspersky, gemeinsam mit Interpol und Europol, einen ungewöhnlichen Fund. Eine kriminelle Hackergruppe hatte fast zwei Jahre lang unbemerkt Banken auf der ganzen Welt leergeräumt. Ihre Schätzung: bis zu 100 Finanzinstitute in rund 30 Ländern, ein Schaden von bis zu einer Milliarde Dollar. Die Zahl war ausdrücklich eine Schätzung, keine bestätigte Gesamtsumme, aber selbst als grobe Hausnummer reichte sie, um die Gruppe zu einem der meistuntersuchten Bankraube des Jahrzehnts zu machen. Sie bekam ihren Namen von der Malware, also der Schadsoftware, mit der sie in die Netzwerke der Banken eindrang: Carbanak. Bemerkenswert daran war nicht ein cleverer Trick oder eine unbekannte Sicherheitslücke. Es war die Geduld, mit der die Angreifer wochenlang zusahen, bevor sie auch nur ein einziges Konto anrührten, und genau dieser Teil der Geschichte hält bis heute stand.

Ein Name, zwei Dinge und eine Gruppe, die man nicht verwechseln sollte

Carbanak bezeichnet gleichzeitig zwei Dinge. Zum einen ist es eine Backdoor, ein versteckter Zugang, der Angreifern erlaubt, unbemerkt in ein System hinein- und wieder hinauszugehen. Zum anderen steht der Name, in einem zweiten Schritt, für die Gruppe von Kriminellen, die diese Backdoor zwischen etwa 2013 und 2018 nutzte. Frühe Berichte sprachen manchmal von Carbanak/Anunak, weil die Malware Teile eines älteren Banking-Trojaners wiederverwendete: Carberp, ursprünglich gebaut, um Online-Banking-Zugangsdaten einzelner Nutzer zu stehlen, nicht ganzer Institute.

Nach 2016 wird das Bild unschärfer. Um diese Zeit wurde ein Teil derselben Infrastruktur, vermutlich mit überlappendem Personal, mit einer zweiten Angriffswelle in Verbindung gebracht, die ein anderes Werkzeug nutzte: Cobalt Strike, ein legitimes Penetrationstest-Tool, das Sicherheitsteams eigentlich einsetzen, um Angriffe auf die eigenen Netzwerke zu simulieren, und das Kriminelle regelmäßig für echte Einbrüche zweckentfremden. Diese zweite Kampagne wird oft separat als „Cobalt-Gruppe” bezeichnet. Als Europol 2018 eine Festnahme verkündete, behandelte die Behörde beide als verbundene Teile einer einzigen kriminellen Organisation, nicht als zwei unabhängige Geschichten, die sich zufällig überschnitten.

Ebenso wichtig ist, wer Carbanak nicht ist. Eine separate, bekanntere Gruppe namens FIN7 wurde von Forschern bei Mandiant und FireEye dabei dokumentiert, wie sie Teile des ursprünglichen Carbanak-Backdoor-Codes wiederverwendet, und FIN7 ist in wechselnden Formen weit über 2018 hinaus aktiv geblieben. Das ist eine echte technische Verbindung, kein Beweis, dass es sich um dieselbe Gruppe handelt. Auch die Berichterstattung hat sich nie auf einen Namen geeinigt: Medien und Sicherheitsfirmen nannten dieselbe Aktivität Carbanak, Anunak und Cobalt, manche zählen auch FIN7 dazu, was mit erklärt, warum beiläufige Zusammenfassungen des Falls die Akteure bis heute vermischen. FIN7 und Carbanak lassen sich am ehesten als verwandt über gemeinsame Werkzeuge beschreiben, nicht als bestätigt dieselbe Organisation unter zwei Namen, und wer beide gleichsetzt, verwischt zwei getrennte Ermittlungen zu einer.

Wochenlanges Beobachten, bevor auch nur ein Konto angetastet wurde

Der Weg, wie Carbanak in eine Bank gelangte, war unspektakulär. Mitarbeiter erhielten Spear-Phishing-Mails, also gezielt gefälschte Nachrichten, die aussahen, als kämen sie aus vertrauenswürdiger Quelle, mit Word-Dokumenten oder CPL-Dateien im Anhang, einem Windows-Dateityp, der beim Öffnen Code ausführen kann. Diese nutzten Schwachstellen in Microsoft Office aus, die in vielen Fällen zum Zeitpunkt des Angriffs bereits bekannt und mit einem Patch behebbar waren. Nichts Exotisches. Nur ein Mitarbeiter, der an einem gewöhnlichen Arbeitstag einen Anhang öffnete, dem er keinen Grund zu misstrauen hatte, und dabei genau das tat, was sein Job von ihm verlangte.

Was danach geschah, machte Carbanak zu etwas anderem. Einmal im Netzwerk einer Bank, stürzte sich die Gruppe nicht sofort auf das Geld. Laut Kasperskys ursprünglichem Bericht von 2015 zeichneten die Angreifer wochenlang, manchmal noch länger, die Bildschirme von Administratoren und Mitarbeitern auf und studierten genau, wie die interne Software der Bank funktionierte. Sie lernten, welche Schaltflächen eine Überweisung auslösten, wie Kontostände angepasst wurden, wie ein normaler Arbeitstag von innen aussah, bis hin zu kleinen Gewohnheiten, die ein Mitarbeiter selbst kaum bemerkt hätte. Erst nach dieser Vorarbeit handelten sie, und als sie es taten, hackten sie die Software kaum noch, sie bedienten sie so, wie ein Mitarbeiter es getan hätte, reichten Überweisungen ein, die auf dem Papier wie jede andere Routine-Buchung aussahen. Genau deshalb blieb der Betrug so lange unentdeckt.

Diese Geduld ist die tragende Idee hinter Carbanak, und sie gilt bis heute, weit über das Bankwesen hinaus. Ein System, das nur ungewöhnlichen Code oder unbekannte Login-Orte abwehrt, lässt sich weiterhin durch die Vordertür schleusen, wenn jemand gelernt hat, exakt wie ein normaler Nutzer auszusehen. Der Alarm, auf den die meisten Systeme ausgelegt sind, erkennt einen Fremden, keinen bestens informierten Hochstapler.

Aus Geduld wird Bargeld

Sobald die Angreifer die Arbeitsabläufe einer Bank verstanden hatten, blieben ihnen zwei Wege, dieses Wissen zu Geld zu machen. Der erste war unkompliziert: den Kontostand über die eigenen Überweisungssysteme der Bank aufblähen und die Differenz dann auf ein Konto unter eigener Kontrolle verschieben, während sie das Klickverhalten eines echten Mitarbeiters so genau nachahmten, dass die Transaktion in einer Routine-Prüfung nie auffiel.

Der zweite Weg war theatralischer: ATM-Jackpotting, eine Technik, die einen Geldautomaten zwingt, auf Kommando Bargeld auszuspucken, ohne Karte oder PIN, im Grunde sagt man der Maschine, sie schulde jemandem einen Stapel Scheine, ohne legitimen Grund. Jackpotting wurde nicht von Carbanak erfunden. Der neuseeländische Forscher Barnaby Jack demonstrierte es 2010 erstmals öffentlich auf der Sicherheitskonferenz Black Hat USA, um Banken zu zeigen, wie verwundbar ihre Geldautomaten-Software tatsächlich war. Mehrere kriminelle Gruppen übernahmen danach Varianten der Technik, Carbanak eingeschlossen, und ließen Automaten direkt an Wartende in der Nähe auszahlen, manchmal auf die Minute genau zu einem vorher verabredeten Zeitpunkt.

Keine der beiden Methoden erforderte, neue Kryptografie zu brechen oder eine unbekannte Lücke zu entdecken. Beide beruhten auf demselben Kapital: Zeit, investiert ins Verstehen, wie eine bestimmte Bank tatsächlich arbeitet. Das lässt sich weit schwerer verteidigen als ein einzelner Software-Patch, denn kein Update entfernt das angesammelte Wissen eines Angreifers über die eigene Routine.

Der Coup, der Ermittler auf eine Spur brachte

Ein Fall trug mehr als jeder andere dazu bei, Carbanaks Aktivität mit einer echten Person zu verbinden: der Diebstahl im Juli 2016 bei der First Commercial Bank in Taiwan. Angreifer nutzten die Methoden der Gruppe, um 41 Geldautomaten in 22 Filialen zur Auszahlung zu zwingen, und erbeuteten rund 83,27 Millionen Neue Taiwan-Dollar, damals etwa 2,63 Millionen US-Dollar, in einer koordinierten Aktion, die sich in einem einzigen Zeitfenster über die ganze Insel erstreckte.

Taiwanesische Ermittler identifizierten schließlich 22 Verdächtige aus neun Ländern, doch nur drei sogenannte Finanzagenten, also Personen, die gestohlenes Bargeld physisch abholen und weiterschleusen, wurden vor Ort festgenommen, Berichten zufolge mit lettischer, rumänischer und moldauischer Staatsangehörigkeit. Der Rest des Netzwerks blieb fast zwei weitere Jahre außer Reichweite, eine Lücke, die ebenso viel über die Schwierigkeit grenzüberschreitender Cybercrime-Ermittlungen aussagt wie über die Gruppe selbst.

Das änderte sich am 26. März 2018, als spanische Polizisten, gemeinsam mit Europol, in Alicante einen Mann festnahmen, identifiziert nur als „Denis K.”, ein ukrainischer Staatsbürger, als mutmaßlicher Kopf der Gruppe. Keine offizielle Quelle, weder Europol noch die spanische Polizei, hat seinen vollständigen Namen veröffentlicht, und keiner sollte als Tatsache angenommen oder wiederholt werden. Taiwanesische und spanische Ermittler verknüpften diese Festnahme ausdrücklich mit dem Fall First Commercial Bank, was ihn zu einem der wenigen Carbanak-Vorfälle macht, bei dem sich eine dokumentierte Linie von der Tat zur Festnahme ziehen lässt.

Was „zerschlagen” wirklich bedeutet

Europols Erklärung vom März 2018 bezifferte den Gesamtschaden der Gruppe auf mehr als eine Milliarde Euro, verteilt auf über 100 Banken und andere Finanzunternehmen in mehr als 40 Ländern, eine größere und spätere Zahl als Kasperskys ursprüngliche Schätzung von 2015. Sie spiegelt drei zusätzliche Jahre an Aktivität wider, die Ermittler inzwischen dokumentiert hatten. Die Erklärung beschrieb das Netzwerk nach der Festnahme als zerschlagen.

Zerschlagen heißt nicht, dass jede Technik mit der Gruppe starb. Dieselbe Ermittlung verband einen Teil von Carbanaks Infrastruktur mit jener separaten Cobalt-Strike-Kampagne, und Nachahmergruppen setzen dasselbe Muster, geduldige Aufklärung gefolgt von stiller Tarnung als normaler Nutzer, seither auf immer neuen Zielen fort. Dasselbe Muster taucht heute auch in anderen Formen stiller Kompromittierung auf, etwa bei Software-Lieferketten-Angriffen, die ein vertrauenswürdiges Update nutzen, um lange unbemerkt in ein Netzwerk zu gelangen, bevor irgendjemand merkt, dass etwas nicht stimmt. Der Name Carbanak beschreibt einen konkreten Fall, der 2018 endete. Die Methode, die er populär machte, endete nicht mit ihm.

Häufige Fragen

Ist die Carbanak-Hackergruppe heute noch aktiv?

Europol beschrieb die Gruppe nach der Festnahme 2018 in Spanien als zerschlagen. Trotzdem haben andere kriminelle Gruppen seither die Technik übernommen, geduldige Netzwerküberwachung gefolgt von der Nachahmung von Mitarbeiterverhalten, sodass die Methode die ursprüngliche Organisation überlebt hat, auch wenn diese selbst es nicht getan hat.

Wie viel Geld hat Carbanak tatsächlich gestohlen?

Die bestätigte Zahl stammt aus Europols Erklärung von 2018: mehr als eine Milliarde Euro bei über 100 Instituten in mehr als 40 Ländern. Kasperskys frühere Schätzung von 2015, bis zu einer Milliarde Dollar von rund 100 Instituten in 30 Ländern, war eine vorläufige Zahl aus einer früheren Phase der Ermittlung. Beide sind Schätzungen zu einem laufenden Fall, keine einzelne geprüfte Gesamtsumme, und keine sollte als exakte Abrechnung gelesen werden.

Ist Carbanak dieselbe Gruppe wie FIN7?

Nein, jedenfalls nicht laut den Forschern, die beide untersucht haben. Mandiant und FireEye haben dokumentiert, dass FIN7 Code wiederverwendet, der ursprünglich für den Carbanak-Backdoor gebaut wurde. Das zeigt eine technische Verbindung zwischen beiden, aber keinen Beweis, dass es sich um dieselbe Organisation unter verschiedenen Namen handelt. Jede Behauptung, die beide einfach gleichsetzt, sollte man mit Vorsicht behandeln.

Könnte ein Angriff im Carbanak-Stil heute noch gelingen?

Im Prinzip ja. Die konkrete Malware und die Phishing-Köder von damals sind veraltet und würden von moderner E-Mail-Filterung wahrscheinlich abgefangen. Aber die zugrunde liegende Methode, geduldig zu studieren, wie Mitarbeiter tatsächlich arbeiten, bevor man sich wie einer von ihnen verhält, hing nie von einer bestimmten Software ab. Jedes System, das Vertrauen aufgrund vertraut wirkenden Verhaltens gewährt, statt es zu prüfen, bleibt für dieselbe Geduld angreifbar. Es ist genau die blinde Stelle, die strukturierte Ansätze wie die Leitlinien von OWASP, MITRE und NIST zu Sicherheitsrisiken zu formalisieren versuchen: Verhalten, nicht nur Code, als etwas zu behandeln, das man prüfen muss, statt es einfach anzunehmen.

Was sollte ein Unternehmen aus dem Fall Carbanak tatsächlich mitnehmen?

Die konkrete Malware und die Phishing-Mails sind von gestern, aber die Lehre dahinter ist es nicht: Jedes System, das vertraut wirkendes Verhalten automatisch für sicheres Verhalten hält, hat eine blinde Stelle. Carbanaks gesamte Methode war darauf aufgebaut, genau diese Annahme auszunutzen, geduldig, über Wochen, bevor jemals Geld bewegt wurde.

Was bleibt

Carbanak bleibt vor allem als Schlagzeilenzahl in Erinnerung, ein Bankraub in Milliardenhöhe, aber die Zahl war nie wirklich der Punkt. Die eigentliche Innovation der Gruppe war, Beobachtung zum Hauptwerkzeug zu machen, geduldig genug, um die Routine einer Bank so gründlich zu lernen, dass der Diebstahl wie normaler Geschäftsbetrieb aussah. Das ist ein härteres Problem, als eine Sicherheitslücke zu patchen, denn es bedeutet, dass die Gefahr nicht immer unbekannter Code ist, der durchrutscht. Es ist mit ein Grund, warum Sicherheitsteams zunehmend auf Zero-Trust-Denken setzen, das von der Annahme ausgeht, dass keinem Nutzerverhalten automatisch vertraut werden sollte, egal wie vertraut es wirkt. Manchmal ist die Gefahr jemand, der bereits gelernt hat, genau so auszusehen, als gehöre er dazu.