Cyber resilience @ MKB Weerstand bieden aan cybercriminaliteit Paul Samwel, Jan 2016
Paul Samwel
Agenda Cybercrime @ Rabobank Cybercrime Kill Chain Cybercrime resilience approach Lessons 4 MKB
movie
Cybercrime @ Rabobank
Cybercrime developments Skimming Europe Africa, Asia & US Banking trojans Ransomware Massa aanvallen Gerichte aanvallen (APT=Advanced Persistant Threat / Targetted Attacks) Particulieren MKB Online banking Boekhoudpakketten Attacking clients Attacking banks (Carbanac)
Persistant attacks: The Kill Chain
Aanval op banken: Carbanac Verkenning via social media Spearphishing medewerkers via mail Ophalen Carbanac malware Install Remote Access Tool (RDP, AMMY, VNC) “Training on the job” (several weeks) Infect ATM’s with malware Modify online banking webservers Modify backend server online banking. Insert fraudulent SWIFT transactions.
Cashing via ATM, moneymules en SWIFT
Aanvallen op MBK: RAT fraude Verkenning Easyflex boekhoud software
Besmetting via Spamruns RAT malware op Easyflex boekhoud PC “Training on the job” Manipulatie bestemmingsrekeningen in salarisbatch binnen Easyflex Cashing via moneymules
Cybercrime Resilience Approach 1. 1. 2. 3. 4.
2. 1.
3. 1.
Know Your Enemy State Actors Criminal organizations Hacktivists Other Actors
Identify the “Crown Jewels” Boekhoudsysteem, Internet bankieren, …
Intelligence Branchegenoten, vergelijkbare technologie
4. Analysis 1.
Welke modus operandi welke maatregelen
5. Implementation 6. Monitoring
Lessons 4 MKB 1: Factuurfraude Fake facturen sturen uit naam van bedrijf. Vaak: “incasso is mislukt. Betaal bedrag x graag op navolgende IBAN.” Resultaat: Financiële strop voor consument Imagoschade voor bedrijf
Advies: • Controleer alle wijzigingen van IBAN nummers • http://www.betaalvereniging.nl/nieuws/verkeerde-overboekingen/
Lessons 4 MKB 2: Diefstal van factuurinformatie Diefstal van zakelijke facturen. Sturen van fake zakelijke facturen naar MKB klanten. Factuur wordt verwacht door MKB omdat er dienst geleverd is grotere slagingskans. Zakelijke factuur hogere bedragen
Advies: • Behandel factuurinformatie als “kroonjuweel”. • Direct alle klanten informeren als er meldingen komen.
Lessons 4 MKB 3: Malware aanval op internetbankieren Bancaire trojan of generieke RAT (Remote Access Trojan) voor manipulatie Internet PC. Doel: manipulatie Internet bankieren sessie
Advies: • Gebruik “whitelisting” desktop virusscanner om Remote Access Trojan te detecteren • Gebruik netwerk monitoring om verdacht verkeer naar internet te stoppen. • Gebruik 4 ogen principe / Dubbele procuratie
Lessons 4 MKB 4: Hacking van boekhoudsystemen Aanval via RAT (Remote Access Trojan) op werkplek Doel = Manipulatie van betaalbatches
Advies: • Gebruik whitelisting” desktop virusscanner om Remote Access Trojan te detecteren • Gebruik netwerk monitoring om verdacht verkeer naar internet te stoppen. • Controleer betaalbatches na upload
Lessons 4 MKB 5: Diefstal van intellectueel eigendom Sterk afhankelijk van aard van het bedrijf en welke actoren relevant zijn. Aanval kan zeer lang duren. (maanden) Lastig te detecteren (misschien zijn ze al binnen)
Advies: • Gebruik “whitelisting” desktop virusscanner om Remote Access Trojan te detecteren • Gebruik netwerk monitoring om verdacht verkeer naar internet te stoppen. • Onderbreek SSL/HTTPS encryptie om ook encrypte netwerkstromen te controleren.
Lessons 4 MKB 6: Bankpas opstuurfraude Diverse bedrijven worden gevraagd om bankpas op te sturen om verschillende redenen. Vaak voorafgegaan door mail met verzoek voor kiezen van “nieuwe pincode” Na opsturen rekening geleegd via geldautomaat, betaalautomaat en internet bankieren.
Advies: • Geef nooit een pincode in op een website. • Stuur nooit een bankpas op. Oude bankpassen doorknippen.
Lessons 4 MKB 7: CxO fraude Social Media (LinkedIn) om structuur van organisatie te achterhalen. Mail schijnbaar afkomstig van “C-level” manager om geld over te maken in verband met “geheime deal” Advies: • Awareness, train mensen door te vragen bij verdachte situaties. • Wees alert op mail die van buiten de organisatie komt.
Final remarks Cyber resillence Denk vanuit de aanvaller. Kill Chain Focus op generieke aanvalsstappen Beveiliging tegen veel en nog nieuwe Modus Operandi Focus on voor aanvallers interessante systemen zoek jouw kroon juwelen Kijk op https://www.veiligbankieren.nl/nieuws/mkb-nederlandmeer-aandacht-nodig-voor-cybersecurity-in-bedrijfsleven/
Samenvatting Lessons Learned • Controleer alle wijzigingen van IBAN nummers. http://www.betaalvereniging.nl/nieuws/verkeerde-overboekingen/ • Behandel factuurinformatie als “kroonjuweel”. • Direct alle klanten informeren als er meldingen komen. • Gebruik “whitelisting” desktop virusscanner om Remote Access Trojan te detecteren • Gebruik netwerk monitoring om verdacht verkeer naar internet te stoppen. • Gebruik 4 ogen principe / Dubbele procuratie • Controleer betaalbatches na upload • Onderbreek SSL/HTTPS encryptie om ook encrypte netwerkstromen te controleren. • Geef nooit een pincode in op een website. • Stuur nooit een bankpas op. Oude bankpassen doorknippen. • Awareness, train mensen door te vragen bij verdachte situaties. • Wees alert op mail die van buiten de organisatie komt.
