Se ha identificado un ataque ciberfísico contra la infraestructura de cajeros automáticos (ATM) realizado por el actor de amenazas UNC2891. Este grupo utilizó una Raspberry Pi equipada con módem 4G como parte de su operación, permitiéndole establecer un acceso remoto a través de datos móviles.
Acceso físico y conexión a red
El ataque implicó que el adversario aprovechara su acceso físico para instalar la Raspberry Pi directamente en el conmutador de red del cajero automático, colocándola dentro de la red del banco objetivo. Aunque se ha confirmado esta conexión, aún no se conoce cómo se obtuvo el acceso inicial.
Uso de Raspberry Pi y TINYSHELL
Según el informe del investigador Nam Le Phuong, la Raspberry Pi permitió al atacante establecer un canal de comando y control (C2) saliente a través de un dominio DNS dinámico. Esta configuración facilitó el acceso externo continuo a la red de cajeros automáticos, evadiendo los firewalls perimetrales y las defensas tradicionales.
Historia del grupo UNC2891
UNC2891 fue documentado por primera vez en marzo de 2022 por Mandiant, propiedad de Google. Se le ha vinculado con ataques dirigidos a redes de cajeros automáticos para realizar retiros no autorizados utilizando tarjetas fraudulentas.
Rootkit CAKETAP
Un elemento central del ataque fue el uso de un rootkit denominado CAKETAP, diseñado para ocultar conexiones de red, procesos y archivos. Además, este rootkit permitió interceptar y falsificar mensajes de verificación de tarjetas y PIN de los módulos de seguridad de hardware (HSM), facilitando el fraude financiero.
Relación con UNC1945
Se estima que el equipo de atacantes comparte tácticas similares con otro actor, UNC1945, también conocido como LightBasin. Este grupo ha sido identificado previamente por comprometer proveedores de servicios gestionados y atacar objetivos en los sectores financiero y de consultoría profesional.
Puertas traseras y montajes de enlace
Group-IB, que describe al actor como poseedor de un amplio conocimiento de sistemas Linux y Unix, afirmó que su análisis descubrió puertas traseras llamadas «lightdm» en el servidor de monitoreo de red de la víctima. Estas puertas traseras permitieron establecer conexiones activas con la Raspberry Pi y el servidor de correo interno.
Impacto del ataque
El ataque es significativo por el uso de montajes de enlace para ocultar la presencia de las puertas traseras en los listados de procesos, lo que permitió evadir la detección.
Interrupción del ataque
El objetivo final de la infección era implementar el rootkit CAKETAP en el servidor de conmutación de cajeros automáticos y facilitar retiros fraudulentos. Sin embargo, la empresa afirmó que la campaña fue interrumpida antes de que se causaran daños graves.
«Incluso después de descubrir y eliminar la Raspberry Pi, el atacante mantuvo el acceso interno a través de una puerta trasera en el servidor de correo», declaró Group-IB. El actor utilizó un dominio DNS dinámico para el comando y control.