logo

史上最秀黑客:搶美國銀行讓ATM狂吐百億換成比特幣

瀏覽數

99+

 

他們的故事全球幾乎無人知曉,但他們的名字卻是世界所有銀行共同銘記的噩夢。

“Carbanak”,這個名稱無法直譯成中文的黑客組織,在5年時間內,橫掃全球銀行,攫取至少10億歐元。

他們創造的木馬病毒,可以讓銀行ATM自動吐錢,然後分流換成比特幣,隱匿在虛擬貨幣世界中。

他們聲稱,自己是在“劫富濟貧”。

 銀行的財富幽靈 

儘管在電影、小說中看過很多飛天大盜,但搶銀行在現實中真的可行嗎?

“搶銀行效率很低,一來現在的銀行沒有金庫,短時間內根本搶不了多少;二來現金很重,每張百元大鈔重量1.15克,一百萬大約是11.5公斤,所以即便搶劫成功,要想攜款潛逃也是一個絕對的力氣活”。

這是知乎專欄,關於搶銀行話題中,一位前銀行員工的回答。

事實上,按照美國對搶銀行事件的統計,2010年全年,在美國發生了5546起銀行搶劫案,但一共才損失4301萬6099美元零7美分。

所以,世界各地的監獄中從來不缺少因為搶銀行而鋃鐺入獄的犯罪分子,但卻鮮有通過武力搶銀行來成功致富的典範。

不過,“銀行”作為當今世界財富的代名詞,盯著這個金庫的人可不止莽夫。

2013年,世界各國的銀行系統中出現了一個令他們提名色變的黑客組織——Carbanak(又名Cobalt)。

這個黑客組織不用搶銀行,因為他們可以讓銀行ATM機自動吐錢。

據俄羅斯網絡安全公司卡巴斯基(Kaspersky)估計,從2013年第一次對銀行系統攻擊,這個打劫國家財富的黑客組織Carbanak,在2015年之前,就已經通過ATM機在全球40多個國家和銀行中,成功獲取超過10億美元的財富。

按照美國2010年的搶銀行數據計算,這一數字,相當於美國在2年內被犯罪分子搶劫了15萬次,平均每天被搶205次。

在搶劫完成後,Carbanak會通過遍布全球的僱傭軍,將現金換成比特幣,並將這些比特幣發送到一個神秘的比特幣賬戶上面。

如此牛X的組織,你沒聽過?

沒聽過也很正常,因為作為當今銀行系統中依然存在的幽靈劫匪和最大醜聞,沒有哪家銀行願意主動對外承認,“我們曾被Carbanak洗劫過”。

但它卻是真實的存在的一個網絡幽靈。

今年3月,隨著這個幽靈組織的創始人​​被捕,我們得以揭開它神秘面紗的一角,去窺見這個史上最強黑客的世界。

 成名的首秀 

“Carbanak”並非這個組織自己的命名,它是第一次作案後,銀行給他們的代號。

對於這個黑客組織而言,只要“搶銀行”,取名字的事情留給銀行就好。

Carbanak組織的第一次作案選擇了烏克蘭的一家銀行。

2013年12月, 沒有任何徵兆,烏克蘭的一家銀行的ATM瘋狂吐錢。面對突如其來的“ATM機故障”,這家銀行起初並未在ATM機的系統中發現任何病毒,甚至他們一度懷疑這是ATM機製造商的產品問題。

但在這家銀行束手無策的時候,世界上第二起ATM機搶劫案的發生,讓烏克蘭政府決定向國際網絡安全組織申請外部援助,直到幾個月後,一名計算機專家才在一個電子郵件中發現了異常。

而此時,Carbanak已經悄悄地獲利上千萬美元。

據這名技術專家介紹:這個黑客組織利用了Word文檔的漏洞。

在銀行電腦打開Word文檔後,銀行的系統就會被安裝上基於Carberp的後門程序,因為它基於Carberp,配置文件的名稱是“anak.cfg”所以我們將這一程序稱為Carbanak或Carbanp。

這也成為這批黑客的代號。

只是,讓這家銀行未曾想到的是:這個最初被命名為Carbanak的組織,會在未來幾年成為所有銀行噩夢的代名詞。

 調查與對抗 

2014年,隨著Carbanak組織對美國、俄羅斯以及歐洲其他國家銀行系統的攻擊,在美國的主導下,國際上開始出現一支專門針對Carbanak組織的調查隊伍。

國際知名的電腦病毒研究機構kaspersky(卡巴斯基)在2015年發布資料顯示:考慮到Carbanak組織發動攻擊過程的規律性和復雜性,該運營很可能得到某個國家的支持,並且組織人數超過100人。

這一猜測,也曾得到歐洲刑警網絡犯罪部門負責人Fernando Ruiz的肯定。Fernando Ruiz聲稱: “他們是國際背景下的領導者,而且不只是一個私人組織”。

因為Carbanak組織不僅僅只是將現金取回後單純的放入比特幣賬戶中,根據EUROPOL的研究,Carbanak在得到現金後還會通過購買豪華汽車和高端消費品,對所得資金進行洗白,然後才會通過比特幣進行分散式回款。

Carbana k的行為的嚴密性和目前已知的朝鮮黑客組織Lazarus十分相似。

據31QU了解,Lazarus是世界上最著名的國家政府的黑客組織,它的成立是為金正恩竊取其國外貨幣,並在今天成為朝鮮最重要​​的外匯創收渠道之一。

網絡安全公司Group-IB發布的《2018年高科技網絡犯罪趨勢報告》顯示,從2017年至2018年9月,Lazarus通過攻擊加密貨幣的交易所,已經拿走5.71億美元,這讓Lazarus成為了和Carbana k比肩的世界頂級黑客組織之一。

只是,隨著Carbana k創始人在2018年3月的落網,讓Carbana k是國家黑客組織的猜測被徹底否決,至此,Carbana k的傳奇也為我們揭開了一個關於天才的人生一角。

而Carbana k創始人落網的關鍵,始於發生在台北市的“第一銀行”最大搶劫案。

 台北市銀行搶劫案 

2015年7月9日,夏天的烈日正炙烤著台北市的街區,此時一個多達19人的摩托車車隊,正在這個安詳的下午急速奔向第一銀行22家分行的41台ATM機。

他們不是第一銀行的客戶,但他們知道,再過一小時零二十分,第一銀行的22家分行的41台ATM機將為他們送上8327万巨款,而這將一舉創造台北市銀行犯罪的最高紀錄。

▲ 在一份報告中的搶劫案現場

因為Carbanak是一個只有少數人的網絡組織,所以他們需要找到一些線下組織進行合作,2015年之前,他們的合作對像一直是一家俄羅斯的黑手黨,2016年以後,他們又將合作組織換成了摩洛哥人。

在此之前,Carbana k已經通過這種僱傭軍的手段,洗了很多次錢。

在所有騎手全部準備就位後,台北市第一銀行22家分行的41台ATM機隨著北歐一台電腦的操作,開始如同洩洪的閘口,向等侯在機器前的騎手瘋狂吐錢。

2015年7月14日,在事情發生5天后一家媒體對這次事故進行了報導,在這次不明原因引發的故障中,第一銀行共計損失了8327萬。

而這些騎手們,已經想好了逃脫追捕方式。

Carbana k組織故意讓一台ATM機器在普通民眾面前發生了吐錢事故,他們的想法是,一旦普通人“撿走”這些錢後,警察就會先調查普通人,僱傭軍們就能乘機逃跑。

一切進行的非常順利,只是,被飛舞的現金震撼的老伯,默默地將錢撿起來,然後交給了警察局。

因此,警方對這個簡單的對這位老伯的所有親人進行了調查後,迅速回到正軌,開始追踪這群騎手“僱傭軍”們。

這是Carbana k的第一個失誤,第一塊多米諾骨牌倒下,整個計劃開始崩塌。

在ATM機出現故障的第一時間,第一銀行被盜賬戶的另一頭,也收到了來自第一銀行取款異常的電話報警。

正是這一警報,讓台北市警方通過異常賬戶所有關聯人的通話記錄,鎖定了這只僱傭軍的個人信息。

2015年7月15日,摩托車車隊的領頭人Babii收到了來自北歐老闆的警告,在警告中那個匿名老闆讓Babii快速離開台灣。

這並非Carbana k第一次遇到帶有電話報警系統的銀行,但Carbana k低估了中國人的跨部門辦事效率,以及當地攝像頭的數量。

雖然當時Babii手中還有6000萬現金等待洗白,但出於安全考慮,Babii最終決定,在警方進一步行動前棄款潛逃。

但另Babii沒想到的是,這19位車手行動前,已有熱心的民眾對這些行為奇怪的人進行了報案。而台北市用於記錄交通信息的攝像頭,還原了19個車手的逃跑路線。

▲ 被抓的騎手

在歐洲和美國,受到一些私人隱私的製約,政府在街頭安裝攝像頭的行為基本是不可想像的。

台灣警方通過清查飯店住宿紀錄,在7月15日晚上突襲了這支僱傭軍的臨時住所,並在當天的行動中抓獲了3個騎手,而頭目Babii成功逃脫。

第二天上午,警察在媒體上用頭版頭條發佈公告:我們追回了6000萬的損失。

根據歐盟在2015年所做的一份專門針對Carbanak犯罪的研究報告顯示:Carbanak平均每兩到四個月發動一次攻擊,每次攻擊的洗劫金額都在1000萬歐元以上。

所以,台北市總計8327萬的犯罪只是他們的一次小型活動,但這次小活動卻因為Babii的暴露,而為組織的淪陷埋下了重要的伏筆。

2015年7月,在對被抓的3名騎手進行審問後,警方依然一無所獲。因為這3人地位較低,只是聽從於Babii的命令安排,並不了解背後的“Carbanak”組織。

8月,第一銀行向美國聯邦調查局和歐洲刑警組織上報了這支僱傭軍領頭人Babii的個人影像信息,儘管警察並不知道Babii是否握有Carbanak組織的一些關鍵資料,但作為讓世界兩大政治勢力尋找2年未果的重要突破口,各國警方都給與了Babii足夠重視。

這種重視,最終在2017年獲得果實

 尋找Car banak的領頭羊 

2015年以後,Carbanak組織因為在烏克蘭、美國、俄羅斯和歐洲各大國家屢屢作案,而受到了來自美國聯邦調查局和歐洲刑警組織的共同調查。

甚至,羅馬尼亞、摩爾多瓦、白俄羅斯和俄羅斯的諸多私人網絡安全公司,為了證明自身的技術實力,也都參與其中。

但這個以搶銀行為利益來源的黑客組織,將自己的信息做的十分隱蔽。

線上調查的無法推動,讓警方漸漸將調查的重點放在了Carbanak組織的僱傭軍身上,而在2015年台北市作案的僱傭軍領頭人(騎手)Babii則是當時所有警察的重點關注對象。

2017年3月,憑藉台北市有限的影像資料,一個和Babii酷似的度假者在白俄羅斯被發現。此時,距離台北市第一銀行的搶劫案以及過去一年零八個月的時間。

2017年4月,正在白俄羅斯度假的Babii被當地警方抓獲。作為Carbanak組織的僱傭軍領頭人之一,Babii的被抓沒有引起任何媒體的報導,甚至他的名字也只存於一份關於Carbanak組織的政府報告中。

但審訊中,Babii稱並不知道誰是Carbanak組織的神秘老闆。儘管他曾多次為Carbanak組織辦事,但所有的聯繫也僅僅只是通過一個特殊加密的郵件系統進行的對話。

美國聯邦調查局將這套加密郵件系統交給專業的網絡安全團隊,Babii與Carbanak組織老闆的聊天紀錄中被挖出了兩支病毒的原代碼信息。

此後,網絡安全部隊通過不斷追查這兩隻病毒原代碼的所有聯繫和出處,最終鎖定了身在西班牙的一名電腦技術達人——丹尼斯K(Denis K)。

追踪了幾年的黑客突然出現在警方面前,但大家卻開始懷疑調查結果的真實性。

因為按照Carbanak組織的盜竊記錄顯示,丹尼斯K最少擁有數億美元的資產。但據西班牙的知名媒體elmundo報導:丹尼斯K是一名34歲的烏克蘭人,他和他的妻子以及女兒匿名居住在西班牙的一幢價值一百萬歐元的公寓內,除此之外,沒有任何奢華的地方。

甚至,丹尼斯K低調的消費行為一度讓抓捕的警察懷疑,他是否真的是Carbanak組織創辦者。

但隨著警察在丹尼斯K的電腦中發現了15000枚比特幣後,但這一懷疑得以消除。

 神秘的竊取者 

2018年3月6日,在西班牙18℃的一個溫暖日子裡,約20名執法人員對海邊的一所房子破門而入。

面對突如其來的警察,丹尼斯K顯得格外冷靜。

歐洲刑警組織歐洲網絡犯罪中心(EC3)負責人魯伊斯參與了這次抓捕,並在丹尼斯K房間的電腦中發現了他在編寫的新型病毒程序。

後來,魯伊斯對媒體稱:丹尼斯K在技術上非常出色,他能夠識別漏洞並編寫惡意軟件來利用這些漏洞,有這種知識的犯罪分子全球都屈指可數。

而此前外界一直對Carbanak組織是國家資助的、200人的黑客團伙的猜測,也水落石出——這個讓世界40多個國家尋找了近5之久的黑客組織,其核心人物只有4個人。

據歐洲網絡犯罪中心的報告顯示,這個4人的分工是:丹尼斯K負責病毒代碼的編寫,第二個成員,負責利用郵件將病毒進行惡意傳播;第三個成員負責感染銀行的計算機系統,並讓僱傭軍作案時使銀行的監控失效;第四個成員則控制所有摩爾達維亞國籍的“僱傭軍”成員。

在丹尼斯K被抓後不久,就被歐洲法院以控犯有陰謀罪、電信欺詐罪、計算機黑客罪、訪問設備欺詐罪、嚴重身份盜竊罪等26項罪名進行了起訴。

網絡黑客作為技術性的犯罪者,在世界各國很少有被處死的案例。

畢竟,讓黑客為社會做貢獻的價值,遠遠高於殺死他,而他們也確實並非傳統意義上的壞人,所以,許多黑客被抓後一般都會在監獄中用另一種方​​式進行工作。

而對於他們而言,一台電腦便足以滿足他們的精神世界。

事實上,根據丹尼斯K的才華他完全可以通過合法途徑來進行盈利,因為此前丹尼斯K曾利用自己編寫的自動駕駛程序,前往僱傭軍手中收取現金。而為了開發可靠的自動駕駛,此前世界各大汽車廠商以及為此投入了上百億美元的研發經費。

而丹尼斯K在法庭上透漏了這樣做的原因:我並不是不為了賺錢,而是為打敗全球最安全的銀行系統,因為那樣可以證明我的技術。

對於一些罪名指控,丹尼斯K辯解道:“我從未偷取任何人的財富,我只是打劫了一些國家的集權者”

在歐洲警方後來的調查中,他們還發現:丹尼斯K曾試圖為俄羅斯的一個黑手黨建立一個合法洗錢的加密貨幣系統,而俄羅斯警方對這個黑手黨的多次打壓,也反應了Carbanak組織為何總是攻擊俄羅斯銀行的原因。

 仍未結束的謎團 

 

2018年8月2日,據cnbeta報導:Carbanak組織的另外三名技術成員Dmytro Fedorov、Fedir Hladyr和Andrii Kolpakov分別在德國、波蘭以及烏克蘭被抓,因為針對這次行動的信息過少,所以對於這三個人的身份我們無法判定是否屬於Carbanak組織的另外三名高層人員。

隨著丹尼斯K的被抓,Carbanak組織的犯罪活動並未停止,今天依然在活躍。

2016年以後,國際各大銀行面對Carbanak組織的攻擊,選擇了用沉默的方式息事寧人。所以,目前新聞機構對Carbanak組織的盜取金額,也依然只停留在2015年十億歐元的印像中。

事實上,Carbanak組織的所有盜竊金額全部通過比特幣進行回款,而2013年12月到2015年12月時的比特幣僅僅只有300美元左右,面對2018年比特幣上萬美元的價格,這種比特幣的儲存背後,最少給Carbanak組織帶來過30倍的資產升值。

所以,Carbanak組織究竟有多少錢?

可能是一個隱藏在銀行沉默和比特幣升值背後的一個永恆謎題。不過不能改變的事實是:Carbanak組織依然是目前世界上最富有的黑客組織之一。

而2015年以前,對於用10億歐元購買比特幣的Carbanak組織來說,也許比特幣價值的來源還有另一個我們無法證明的假設——Carbanak。

 

維基百科:https://en.wikipedia.org/wiki/Carbanak

各個國家的官方調查資料:

1、file:///C:/Users/sishi/Desktop/carbanakcobalt.pdf

2、file:///C:/Users/sishi/Desktop/10APRC_Busan_P2_Anchen_Chang.pdf

3、file:///C:/Users/sishi/Desktop/Carbanak_APT_eng.pdf

西班牙媒體的報導:https://www.elmundo.es/espana/2018/03/26/5ab8bdeb268e3ed01d8b4636.html

台灣媒體的報導:https://www.cw.com.tw/article/article.action?id=5090741

彭博社報導:https://www.cw.com.tw/article/article.action?id=5090741

技術分析:https://www.fireeye.com/blog/threat-research/2017/06/behind-the-carbanak-backdoor.html