Dat bleek uit een presentatie van twee beveiligingsonderzoekers tijdens het hackerscongres 30C3.

De experts werden door de getroffen bank gevraagd de zaak te onderzoeken. Ze hielden hun identiteit geheim om de anonimiteit van de bank te garanderen. Uit afbeeldingen en munteenheden blijkt alleen dat het gaat om een Braziliaanse bank. 

Criminelen kraakten de geldautomaten door er een uitgeklede versie van Windows op te zetten met behulp van een usb-stick. Na het verwijderen van de plastic bescherming van de machine, kon de usb-stick aangesloten worden. 

De uitgeklede versie van Windows XP bevatte ook malware. Na een paar dagen werd de malware via een twaalf-cijferige code geactiveerd, door iemand die het geld op ging halen. Vaak gebeurde dat vlak nadat de automaat was bijgevuld.

De malware werkte zo dat er eerst een controlegetal moest worden ingegeven. De persoon die het geld op ging halen kreeg dat van een van zijn handlangers. Na toestemming kon de automaat met een druk op de knop worden leeggehaald.

De zaak kwam aan het rollen toen een bank - die niet bij naam werd genoemd - ontdekte dat een geldautomaat meer geld uitgaf dan volgens de administratie zou kunnen. Daarbij viel het op dat de machine vaak niet beschikbaar was geweest.

Uit het onderzoek bleek dat de software erg geavanceerd was. Logboeken en andere informatie waren eenvoudig te verwijderen door de hackers.