Carbanak : le groupe de hackers qui espionnait les banques avant de les vider

En février 2015, des chercheurs de Kaspersky annoncent, avec Interpol et Europol, qu’un groupe de cybercriminels a passé près de deux ans à vider discrètement des banques du monde entier. Leur estimation : jusqu’à 100 établissements financiers dans une trentaine de pays, pour des pertes pouvant atteindre un milliard de dollars. Le groupe prend le nom de Carbanak, d’après le logiciel malveillant, ou malware, qu’il utilise pour s’introduire dans les réseaux bancaires. Ce chiffre reste une estimation, pas un bilan confirmé, mais il suffit à faire de Carbanak l’un des braquages bancaires les plus étudiés de la décennie. Ce qui a marqué les esprits, ce n’est pas une faille inédite ou un exploit brillant. C’est la patience des attaquants, capables d’observer pendant des semaines avant de toucher au moindre compte, et c’est cette partie de l’histoire qui reste d’actualité.

Un nom, deux réalités, et un groupe à ne pas confondre

Carbanak désigne deux choses liées. D’abord, une backdoor, une porte dérobée qui permet à un attaquant d’entrer et sortir d’un système sans se faire repérer. Ensuite, par extension, le nom donné au groupe de criminels qui a utilisé cette porte dérobée entre 2013 et 2018 environ. Les premiers rapports parlaient parfois de Carbanak/Anunak, parce que le malware réutilisait des morceaux d’un cheval de Troie bancaire plus ancien, Carberp, conçu au départ pour voler les identifiants bancaires en ligne de particuliers, pas ceux de banques entières.

Le tableau se brouille après 2016. À cette période, une partie de la même infrastructure, et probablement des personnes en partie communes, se retrouve liée à une seconde vague d’attaques utilisant un autre outil, Cobalt Strike, un outil légitime de test d’intrusion que les équipes de sécurité utilisent pour simuler des attaques sur leurs propres réseaux, et que des criminels détournent régulièrement pour de vraies intrusions. Cette seconde campagne est souvent désignée séparément sous le nom de « groupe Cobalt ». Quand Europol annonce une arrestation en 2018, l’agence traite les deux campagnes comme les branches d’une seule organisation criminelle, plutôt que comme deux histoires distinctes qui se recoupent par hasard.

Il vaut aussi la peine d’être précis sur ce que Carbanak n’est pas. Un autre groupe, plus connu, FIN7, a été documenté par les chercheurs de Mandiant et FireEye comme réutilisant des portions de code de la porte dérobée Carbanak originale, et FIN7 a continué d’opérer, sous diverses formes, bien après 2018. C’est un vrai lien technique, pas la preuve qu’il s’agit du même groupe. Le récit ne s’est d’ailleurs jamais stabilisé sur un seul nom : médias et éditeurs de sécurité ont appelé la même activité Carbanak, Anunak ou Cobalt, et certains y intègrent aussi FIN7, ce qui explique pourquoi les résumés grand public mélangent encore les entités. Le plus juste est de dire que FIN7 et Carbanak partagent des outils, sans qu’il soit confirmé qu’il s’agit d’une seule et même organisation sous deux noms, et les traiter comme interchangeables brouillerait deux enquêtes distinctes.

Des semaines à observer avant de toucher au moindre compte

La façon dont Carbanak s’introduisait dans une banque n’avait rien d’exotique. Les employés recevaient des e-mails de spear phishing, des messages taillés pour paraître légitimes et visant une personne précise, avec en pièce jointe des documents Word ou des fichiers CPL (un type de fichier Windows capable d’exécuter du code à l’ouverture). Ces pièces jointes exploitaient des failles de Microsoft Office qui étaient, dans bien des cas, déjà connues et corrigeables au moment de l’attaque. Rien de sophistiqué : un employé ouvrant une pièce jointe qu’il n’avait aucune raison de trouver suspecte, un jour de travail ordinaire, en faisant exactement ce que son poste lui demandait.

C’est ce qui s’est passé ensuite qui a rendu Carbanak différent. Une fois dans le réseau d’une banque, le groupe ne se précipitait pas pour transférer de l’argent. Selon le rapport original de Kaspersky en 2015, les attaquants enregistraient les écrans des administrateurs et du personnel pendant des semaines, parfois plus, pour étudier en détail le fonctionnement des logiciels internes de la banque. Ils apprenaient quels boutons autorisaient un virement, comment les soldes étaient ajustés, à quoi ressemblait une journée normale vue de l’intérieur, jusqu’aux petites habitudes qu’un employé n’aurait même pas conscience d’avoir. Ce n’est qu’après ce travail de fond qu’ils agissaient, et quand ils le faisaient, ils ne pirataient pas vraiment le logiciel : ils l’utilisaient comme l’aurait fait un employé, en soumettant des virements qui, sur le papier, ressemblaient à n’importe quel lot de transactions de routine, ce qui explique précisément pourquoi ils sont passés inaperçus si longtemps.

Cette patience est l’idée durable derrière Carbanak, et elle dépasse largement le secteur bancaire. Un système conçu pour repérer du code inhabituel ou une connexion depuis un lieu inconnu peut très bien laisser entrer, par la porte principale, quelqu’un qui a appris à se comporter exactement comme un utilisateur normal, parce que l’alarme que la plupart des systèmes savent déclencher vise un inconnu, pas un imposteur parfaitement renseigné.

Transformer la patience en argent

Une fois qu’ils maîtrisaient le fonctionnement interne d’une banque, les attaquants avaient deux façons principales de transformer ce savoir en argent. La première était directe : gonfler le solde d’un compte via les propres systèmes de virement de la banque, puis transférer la différence vers un compte qu’ils contrôlaient, tout en imitant d’assez près le comportement clic par clic d’un vrai employé pour que la transaction ne ressorte jamais lors d’un audit de routine.

La seconde était plus spectaculaire : le jackpotting de distributeurs automatiques, une technique qui force un DAB à cracher de l’argent sur commande, sans carte ni code, en expliquant en somme à la machine qu’elle doit une liasse de billets à quelqu’un sans raison légitime. Carbanak n’a pas inventé le jackpotting. La technique a été démontrée publiquement pour la première fois par le chercheur néo-zélandais Barnaby Jack, à la conférence de sécurité Black Hat USA en 2010, pour montrer aux banques à quel point le logiciel de leurs distributeurs était exposé. Plusieurs groupes criminels ont ensuite repris des variantes de la technique, Carbanak parmi eux, pour faire cracher de l’argent aux machines directement à des complices qui attendaient à proximité, parfois à un moment convenu à la minute près.

Aucune des deux méthodes n’exigeait de casser une cryptographie ou de découvrir une faille inédite. Toutes deux reposaient sur le même actif : le temps passé à apprendre le fonctionnement réel d’une banque précise, bien plus difficile à contrer qu’un simple correctif logiciel, puisqu’aucune mise à jour ne peut effacer la connaissance accumulée par un attaquant sur vos propres habitudes.

Le casse qui a mené les enquêteurs jusqu’à un suspect

Un cas a fait plus que tous les autres pour relier l’activité de Carbanak à une personne réelle : le vol de juillet 2016 à la First Commercial Bank, à Taïwan. Les attaquants ont utilisé les méthodes du groupe pour forcer 41 distributeurs automatiques répartis dans 22 agences à cracher de l’argent, repartant avec environ 83,27 millions de dollars taïwanais, soit près de 2,63 millions de dollars à l’époque, lors d’une opération coordonnée menée sur l’île dans une seule fenêtre de temps.

Les enquêteurs taïwanais ont fini par identifier 22 suspects venus de neuf pays, mais seuls trois « mules financières », des personnes chargées de récupérer et transporter physiquement l’argent volé, ont été arrêtées sur place, de nationalité letton, roumaine et moldave selon les informations disponibles. Le reste du réseau est resté hors d’atteinte pendant près de deux ans encore, un délai qui en dit autant sur la difficulté à boucler des dossiers de cybercriminalité transfrontalière que sur le groupe lui-même.

Les choses ont changé le 26 mars 2018, quand la police espagnole, en coopération avec Europol, a arrêté à Alicante un homme identifié seulement comme « Denis K. », de nationalité ukrainienne, présenté comme le chef présumé du groupe. Aucune source officielle, ni Europol ni la police espagnole, n’a publié son nom complet, et rien ne permet de l’affirmer ni de le répéter comme un fait établi. Les enquêteurs taïwanais et espagnols ont explicitement relié cette arrestation au dossier First Commercial Bank, faisant de ce cas l’un des rares épisodes de Carbanak avec une ligne documentée entre le crime et l’arrestation.

Ce que « démantelé » veut vraiment dire

Le communiqué d’Europol de mars 2018 chiffre les dégâts cumulés du groupe à plus d’un milliard d’euros, répartis sur plus de 100 banques et sociétés financières dans plus de 40 pays, un total plus élevé et plus tardif que l’estimation initiale de Kaspersky en 2015, qui reflète trois années d’activité supplémentaires documentées entre-temps par les enquêteurs. Le communiqué décrit le réseau comme démantelé à la suite de l’arrestation.

Démantelé ne veut pas dire que la technique a disparu avec lui. La même enquête a relié une partie de l’infrastructure de Carbanak à cette campagne distincte utilisant Cobalt Strike, et des groupes imitateurs continuent depuis d’appliquer la même recette, reconnaissance patiente suivie d’une imitation discrète, sur de nouvelles cibles. Ce schéma se retrouve aujourd’hui dans d’autres formes de compromission silencieuse, y compris les attaques sur la chaîne logicielle, qui font passer une mise à jour de confiance dans un réseau bien avant que quiconque ne remarque un problème. Le nom Carbanak désigne une affaire précise, close en 2018. La méthode qu’il a popularisée, elle, ne s’est pas arrêtée là.

Questions fréquentes

Le groupe Carbanak est-il toujours actif aujourd’hui ?

Europol a présenté le groupe comme démantelé après l’arrestation de 2018 en Espagne. Pour autant, la technique qu’il employait, la surveillance patiente d’un réseau suivie de l’imitation du comportement d’un employé, a depuis été reprise par d’autres groupes criminels : la méthode a survécu à l’organisation d’origine, même si celle-ci n’existe plus.

Combien d’argent Carbanak a-t-il réellement volé ?

Le chiffre confirmé vient du communiqué d’Europol de 2018 : plus d’un milliard d’euros, répartis sur plus de 100 établissements dans plus de 40 pays. L’estimation antérieure de Kaspersky en 2015, jusqu’à un milliard de dollars pour une centaine d’établissements dans 30 pays, était un chiffre préliminaire correspondant à une étape plus précoce de l’enquête. Les deux restent des estimations liées à une affaire en cours, pas un bilan audité unique, et aucune ne doit être prise pour une comptabilité exacte.

Carbanak et FIN7 sont-ils le même groupe ?

Non, pas selon les chercheurs qui ont étudié les deux. Mandiant et FireEye ont documenté le fait que FIN7 réutilise du code conçu à l’origine pour la porte dérobée Carbanak, ce qui montre un lien technique entre les deux, pas la preuve qu’il s’agit de la même organisation sous des noms différents. Il faut se méfier de toute affirmation qui les présente comme strictement identiques.

Une attaque façon Carbanak pourrait-elle encore réussir aujourd’hui ?

En théorie, oui. Le malware précis et les leurres de phishing utilisés à l’époque sont dépassés et seraient probablement bloqués par les filtres e-mail actuels, mais la méthode de fond, étudier patiemment le travail réel des employés avant d’agir comme l’un d’eux, n’a jamais dépendu d’un logiciel particulier. Tout système qui accorde sa confiance à un comportement qui a l’air familier, plutôt que de le vérifier, reste exposé à la même patience. C’est le même angle mort que les cadres structurés comme les référentiels OWASP, MITRE et NIST sur le risque de sécurité cherchent à formaliser : traiter le comportement, pas seulement le code, comme quelque chose à vérifier plutôt qu’à présumer.

Que doit vraiment retenir une entreprise du cas Carbanak ?

Le malware précis et les e-mails de phishing utilisés sont datés, mais la leçon de fond ne l’est pas : tout système qui suppose qu’un comportement familier est automatiquement un comportement sûr a un angle mort. La méthode entière de Carbanak reposait sur l’exploitation patiente de cette hypothèse, pendant des semaines, avant même de toucher à l’argent.

Ce qu’on retient

On se souvient de Carbanak comme d’un chiffre spectaculaire, un braquage bancaire à un milliard de dollars, mais ce chiffre n’a jamais vraiment été l’essentiel. La vraie innovation du groupe a été de faire de l’observation son outil principal, avec assez de patience pour apprendre la routine d’une banque au point que son vol ressemble à une activité ordinaire. C’est un problème plus difficile à résoudre qu’une simple faille à corriger, parce que le danger n’est pas toujours du code inconnu qui se glisse dans le système. C’est en partie pour cela que les équipes de sécurité se tournent de plus en plus vers la logique du zero trust, qui part du principe qu’aucun comportement utilisateur, aussi familier paraisse-t-il, ne doit être digne de confiance par défaut. Parfois, le danger est quelqu’un qui a déjà appris à se fondre parfaitement dans le décor.