Một ngày các nhân viên ngân hàng phát hiện ra một máy ATM rỗng: không có tiền,ộiphạmmạngchỉmấtvàigiâyđểlấysạchtiềntrongcộbóng đá net không có dấu vết tương tác vật lý với máy, và không mã độc. Sau khi các chuyên gia của Kaspersky Lab dành thời gian để giải quyết trường hợp bí ẩn này, họ phát hiện các công cụ tội phạm mạng sử dụng trong vụ cướp và tái tạo lại cuộc tấn công.

Vào tháng 2/2017 Kaspersky Lab công bố kết quả điều tra vụ tấn công bí mật vào các ngân hàng.

Sau khi tiền được rút sạch từ máy ATM, toàn bộ dữ liệu và quá trình tấn công bị hacker xóa dấu vết, tuy nhiên các chuyên gia của ngân hàng khôi phục được các bản ghi nhật ký từ ổ cứng của máy ATM (kl.txt và logfile.txt) và chia sẻ với Kaspersky Lab. Đây là các tệp duy nhất còn sót lại sau cuộc tấn công: không thể khôi phục các tệp nguy hiểm vì tội phạm mạng đã quét sạch mã độc. Nhưng những dữ liệu ít ỏi này cũng đủ để Kaspersky Lab tiến hành điều tra thành công.

Trong các file nhật ký, các chuyên gia từ hãng bảo mật Nga đã tìm, nhóm và phân loại các mẫu mã độc có liên quan và thu thập các kết nối giữa chúng.

Sau một ngày chờ đợi, các chuyên gia đã tìm thấy mẫu phần mềm độc hại mong muốn - "tv.dll", sau đó được đặt tên là ‘ATMitch’