Cyberresilience @ MKB

Cyber resilience @ MKB
Weerstand bieden aan cybercriminaliteit
Paul Samwel, Jan 2016
Paul Samwel
Agenda
Cybercrime @ Rabobank
Cybercrime Kill Chain
Cybercrime resilience approach
Lessons 4 MKB
movie
Cybercrime @ Rabobank
Cybercrime developments
Skimming Europe  Africa, Asia & US
Banking trojans  Ransomware
Massa aanvallen  Gerichte aanvallen (APT=Advanced
Persistant Threat / Targetted Attacks)
Particulieren  MKB
Online banking  Boekhoudpakketten
Attacking clients  Attacking banks (Carbanac)
Persistant attacks:
The Kill Chain
Aanval op banken:
Carbanac
Verkenning via social media
Spearphishing medewerkers via mail
Ophalen Carbanac malware
Install Remote Access Tool (RDP, AMMY, VNC)
“Training on the job” (several weeks)
Infect ATM’s with malware
Modify online banking webservers
Modify backend server online banking.
Insert fraudulent SWIFT transactions.
Cashing via ATM, moneymules en SWIFT
Aanvallen op MBK:
RAT fraude
Verkenning Easyflex boekhoud software
Besmetting via Spamruns
RAT malware op Easyflex boekhoud PC
“Training on the job”
Manipulatie bestemmingsrekeningen in
salarisbatch binnen Easyflex
Cashing via moneymules
Cybercrime Resilience Approach
1.
1.
2.
3.
4.
2.
1.
3.
1.
Know Your Enemy
State Actors
Criminal organizations
Hacktivists
Other Actors
Identify the “Crown Jewels”
Boekhoudsysteem, Internet bankieren, …
Intelligence
Branchegenoten, vergelijkbare technologie
4. Analysis
1.
Welke modus operandi  welke maatregelen
5. Implementation
6. Monitoring
Lessons 4 MKB 1:
Factuurfraude
Fake facturen sturen uit naam van bedrijf.
Vaak: “incasso is mislukt. Betaal bedrag x graag op navolgende IBAN.”
Resultaat:
Financiële strop voor consument
Imagoschade voor bedrijf
Advies:
• Controleer alle wijzigingen van IBAN nummers
• http://www.betaalvereniging.nl/nieuws/verkeerde-overboekingen/
Lessons 4 MKB 2:
Diefstal van factuurinformatie
Diefstal van zakelijke facturen.
Sturen van fake zakelijke facturen naar MKB klanten.
Factuur wordt verwacht door MKB omdat er dienst geleverd is  grotere
slagingskans.
Zakelijke factuur  hogere bedragen
Advies:
• Behandel factuurinformatie als “kroonjuweel”.
• Direct alle klanten informeren als er meldingen komen.
Lessons 4 MKB 3:
Malware aanval op internetbankieren
Bancaire trojan of generieke RAT (Remote Access Trojan) voor manipulatie
Internet PC.
Doel: manipulatie Internet bankieren sessie
Advies:
• Gebruik “whitelisting” desktop virusscanner om Remote Access Trojan te
detecteren
• Gebruik netwerk monitoring om verdacht verkeer naar internet te
stoppen.
• Gebruik 4 ogen principe / Dubbele procuratie
Lessons 4 MKB 4:
Hacking van boekhoudsystemen
Aanval via RAT (Remote Access Trojan) op werkplek
Doel = Manipulatie van betaalbatches
Advies:
• Gebruik whitelisting” desktop virusscanner om Remote Access
Trojan te detecteren
• Gebruik netwerk monitoring om verdacht verkeer naar internet
te stoppen.
• Controleer betaalbatches na upload
Lessons 4 MKB 5:
Diefstal van intellectueel eigendom
Sterk afhankelijk van aard van het bedrijf en welke actoren relevant zijn.
Aanval kan zeer lang duren. (maanden)
Lastig te detecteren (misschien zijn ze al binnen)
Advies:
• Gebruik “whitelisting” desktop virusscanner om Remote Access Trojan te
detecteren
• Gebruik netwerk monitoring om verdacht verkeer naar internet te stoppen.
• Onderbreek SSL/HTTPS encryptie om ook encrypte netwerkstromen te
controleren.
Lessons 4 MKB 6:
Bankpas opstuurfraude
Diverse bedrijven worden gevraagd om bankpas op te sturen om
verschillende redenen.
Vaak voorafgegaan door mail met verzoek voor kiezen van “nieuwe pincode”
Na opsturen rekening geleegd via geldautomaat, betaalautomaat en internet
bankieren.
Advies:
• Geef nooit een pincode in op een website.
• Stuur nooit een bankpas op. Oude bankpassen doorknippen.
Lessons 4 MKB 7:
CxO fraude
Social Media (LinkedIn) om structuur van organisatie te achterhalen.
Mail schijnbaar afkomstig van “C-level” manager om geld over te maken in
verband met “geheime deal”
Advies:
• Awareness, train mensen door te vragen bij verdachte situaties.
• Wees alert op mail die van buiten de organisatie komt.
Final remarks Cyber resillence
Denk vanuit de aanvaller.  Kill Chain
Focus op generieke aanvalsstappen  Beveiliging tegen veel en
nog nieuwe Modus Operandi
Focus on voor aanvallers interessante systemen  zoek jouw
kroon juwelen
Kijk op https://www.veiligbankieren.nl/nieuws/mkb-nederlandmeer-aandacht-nodig-voor-cybersecurity-in-bedrijfsleven/
Samenvatting Lessons Learned
• Controleer alle wijzigingen van IBAN nummers.
http://www.betaalvereniging.nl/nieuws/verkeerde-overboekingen/
• Behandel factuurinformatie als “kroonjuweel”.
• Direct alle klanten informeren als er meldingen komen.
• Gebruik “whitelisting” desktop virusscanner om Remote Access Trojan te
detecteren
• Gebruik netwerk monitoring om verdacht verkeer naar internet te stoppen.
• Gebruik 4 ogen principe / Dubbele procuratie
• Controleer betaalbatches na upload
• Onderbreek SSL/HTTPS encryptie om ook encrypte netwerkstromen te
controleren.
• Geef nooit een pincode in op een website.
• Stuur nooit een bankpas op. Oude bankpassen doorknippen.
• Awareness, train mensen door te vragen bij verdachte situaties.
• Wees alert op mail die van buiten de organisatie komt.