قرص الصراف لا يفسّر السحب
استدعى بنك أوكراني محققي Kaspersky بعد اختفاء أموال من أحد أجهزة الصراف. فُحص القرص، ولم يظهر ما يفسر السحب؛ برز إعداد غير مألوف لاتصال VPN، الشبكة الخاصة التي تربط الأجهزة عن بُعد، دون أن يحل اللغز. ثم جاءت واقعة أخرى في بنك روسي: جهاز مسؤول عن إدارة حسابات الشبكة يرسل بيانات إلى خارج المؤسسة. أُزيلت برمجيات ضارة، لكنها عادت. حين جمع الباحثون العينات والوقائع، اتضح أن موضع السرقة أوسع من الصراف نفسه. كان عليهم تتبع من وصل إلى أجهزة الموظفين، وما تعلّمه أثناء إقامته داخل البنك.
أشهر لمراقبة عمل الموظفين
وصلت Carbanak برسائل ومرفقات خبيثة، ثم انتقلت بين الأجهزة باستخدام الحسابات التي استولت عليها. استغرقت بعض العمليات شهرين إلى أربعة أشهر قبل تحويل المال. خلال هذه المدة سجّلت العصابة ضغطات المفاتيح وصوّرت شاشات العاملين؛ فشاهدت البرامج والإجراءات التي يستخدمها البنك يوميًا. بعد ذلك أمكنها ترتيب تحويلات أو تغيير أرصدة، أو إصدار أوامر تجعل الصراف يصرف النقد لشخص ينتظر عنده. فسّر هذا التأخير لماذا لم يكن العثور على ملف ضار في الصراف كافيًا. لقد جرى إعداد السرقة في أماكن أخرى، باستخدام معرفة تراكمت من مراقبة عمل المؤسسة الحقيقي.
التلاعب بسجل الملكية
بحلول نهاية 2015 كانت القصة تتسع خارج البنوك. أكدت Kaspersky نشاطًا جديدًا طال جهة اتصالات ومؤسسات مالية، مع تركيز على إدارات الميزانية والمحاسبة. وفي واقعة لافتة، عُدّلت بيانات ملكية شركة كبيرة بحيث ظهر شخص يُستخدم لنقل الأموال مالكًا لها في السجل المتأثر. لم يوضح التحقيق المنشور كيف كان المهاجمون سيستثمرون هذا التغيير لاحقًا، لكن الواقعة كشفت نوعًا آخر من الخطر: يستطيع من يسيطر على السجل أن يغيّر ما تقوله المؤسسة عن المال والملكية. صار المحاسب وقاعدة بياناته هدفًا يستدعي المراقبة التي خصصتها العصابة سابقًا على فهم الصراف والحوالات.
اعتقال في أليكانتي
في مارس 2018 أعلنت Europol اعتقال من وصفته بقائد الشبكة في أليكانتي الإسبانية. جاء الاعتقال بعد تعاون الشرطة الإسبانية مع جهات تحقيق دولية، وتتبع شبكة امتدت عبر هجمات Carbanak و Cobalt. ووفق البيان، طالت العمليات أكثر من مئة مؤسسة مالية في أربعين دولة، وتجاوزت الخسائر المجمعة مليار يورو. تضمنت مرحلة إخراج العائدات أشخاصًا يسحبون النقد، وتحويلات إلى عملات مشفرة، ثم مشتريات. وهكذا اكتملت أمام المحققين سلسلة بدأت بمرفق وانتهت بأموال تُسحب وتُنقل ثم تُستخدم في الشراء. أبرز الاعتقال أن فهم الجريمة احتاج تتبع من كتب البرمجية ومن نقل العائدات، إلى جانب فهم ما جرى على شاشة موظف البنك.