Железните кутии с пари, стоящи по улиците на града, не могат да не привлекат вниманието на любителите на бързата печалба. И ако по-рано опустошаването на банкомати се извършваше с чисто физически методи, сега се използват все по-изкусни трикове, свързани с компютри. В момента най-актуалният от тях е „черната кутия“ с еденична платка с микрокомпютър вътре. За това как работи, ще говорим в тази статия.

– Еволюция на банкоматния картинг
– Първо запознаване с „черната кутия“
– Анализ на банкоматните комуникации
– Откъде идват „черните кутии“?
– „Последната миля“ и фалшив процесинг център

Началникът на международната асоциация на производителите на банкомати (ATMIA) отбеляза „черните кутии“ като най-сериозна заплаха за банкоматите.

Типичният банкомат е комплект от предварително готови електромеханични компоненти, разположени в един корпус. Производителите на банкомати изграждат желязото си от устройства за разпределение на банкноти, четец на карти и други компоненти, – вече разработени от външни доставчици. Нещо като LEGO конструктор за възрастни. Готовите компоненти са разположени в корпуса на банкомата, който обикновено се състои от два отделения: горно отделение („кабинет“ или „обслужваща зона“) и долно отделение (сейф). Всички електромеханични компоненти са свързани чрез USB и COM портове с системния блок, който в този случай изпълнява роля на хост. При старите модели на банкомати също могат да се срещнат връзки чрез SDC шина.

Еволюция на банкоматния картинг

Банкоматите с огромни суми вътре неизменно привлекат вниманието на картелите. Първоначално картелите експлоатирали само груби физически недостатъци в защитата на банкоматите – използвали скимъри и шимъри за кражба на данни от магнитни ленти; фалшиви PIN-падове и камери за следене на PIN кодове; и дори фалшиви банкомати.

След това, когато банкоматите започнали да се оборудват с унифициран софтуер, работещ по единни стандарти, като XFS (eXtensions for Financial Services), картелите започнали да атакуват банкоматите с компютърни вируси.

Сред тях Trojan.Skimmer, Backdoor.Win32.Skimer, Ploutus, ATMii и много други именувани и безименни зловредни софтуери, които картелите инсталират на хоста на банкомата чрез бутежна флашка или през TCP порт за дистанционно управление.

Процес на заразяване на банкомата

След като е завладяла XFS подсистемата, злонамереният софтуер може да издава команди на устройството за издаване на банкноти без разрешение. Или да издава команди на картридера: да чете/пише магнитната лента на банковата карта и дори да извлича историята на транзакциите, съхранявана на чипа на EMV картата. Особено внимание заслужава EPP (Encrypting PIN Pad; шифрован пинпад). Счита се, че введените на него PIN код не може да бъде прихванат. Въпреки това, XFS позволява използването на EPP пинпад в два режима: 1) отворен режим (за въвеждане на различни числови параметри, като сума за теглене); 2) безопасен режим (в него EPP се превключва, когато е необходимо да се въведе PIN код или ключ за шифроване). Тази особеност на XFS позволява на кардерите да извършват MiTM атака: да прихванат командата за активиране на безопасния режим, която се изпраща от хоста към EPP, и след това да съобщят на EPP пинпада, че работата трябва да продължи в отворен режим. В отговор на това съобщение, EPP изпраща натисканията на клавишите в ясен текст.

Принцип на действие на "черната кутия"

През последните години, според данни на Европол, злонамерен софтуер за банкомати забележимо еволюира. На кардерите вече не е необходимо да имат физически достъп до банкомата, за да го заразят. Те могат да заразят банкоматите чрез отдалечени мрежови атаки, използвайки корпоративната мрежа на банката. Според данни Group IB, през 2016 година в над 10 страни в Европа, банкомати бяха подложени на дистанционни нападения.

Атака на банкомат чрез отдалечен достъп

Антивируси, блокиране на обновления на фърмуер, блокиране на USB портовете и шифроване на твърдия диск – до известна степен защитават банкомата от вирусни атаки от страна на кардерите. Но какво ако кардерът не атакува от хоста, а направо се свърже с периферията (през RS232 или USB) – с картовия четец, пинпада или устройството за издаване на кеш?

Първо запознаване с "черната кутия"

Днес технически подготвените кардери постъпват точно така, използвайки за кражба на налични средства от банкомата т.н. «черни кутии» – специфично програмирани едноплатни микрокомпютри, подобни на Raspberry Pi. «Черните кутии» изпразват банкоматите напълно, по напълно вълшебен (от гледна точка на банкерите) начин. Кардерите свързват своето вълшебно устройство директно с устройството за раздаване на банкноти, за да извлекат наличните средства. Тази атака заобикаля всички софтуерни средства за защита, разположени на хост-системата на банкомата (антивируси, контрол на целостта, пълно криптиране на диска и т.н.).

«Черна кутия» на база Raspberry Pi

Най-големите производители на банкомати и правителствени специални служби, изправени пред няколко реализации на «черната кутия», предупреждават, че тези изобретателни компютри заставят банкоматите да изплюват всичките налични пари; по 40 банкноти на всеки 20 секунди. Също така специалните служби предупреждават, че кардерите най-често целят банкомати в аптеки, търговски центрове; както и банкомати, които обслужват шофьори «в движение».

В същото време, за да не бъдат видими пред камерите, най-внимателните кардери вземат на помощ някой не много ценен партньор, муле. А за да не може той да присвои «черната кутия», използват следната схема. Премахват от «черната кутия» ключова функционалност и свързват към нея смартфон, който използват като канал за дистанционно предаване на команди на ограничената «черна кутия» по IP протокол.

Модификация на «черната кутия», с активиране чрез дистанционен достъп

Как изглежда това от гледна точка на банкерите? На записите от видеокамерите се наблюдава следното: някаква личност отваря горния отсек (зоната за обслужване), свързва към банкомата «вълшебния ящик», затваря горния отсек и си тръгва. Малко по-късно няколко човека, на вид обикновени клиенти, се приближават до банкомата и изтеглят огромни суми пари. След това кардерът се връща и извлича от банкомата своето малко вълшебно устройство. Обикновено фактът за атака на банкомата с «черната кутия» се установява едва след няколко дни: когато празната каса и журналът за теглене на налични средства не съвпадат. В резултат на това на служителите на банката остава само да си чешат главите.

Анализ на комуникациите на банкомати

Както вече беше споменато по-горе, взаимодействието между системния блок и периферийните устройства се осъществява чрез USB, RS232 или SDC. Кардерът се свързва директно към порта на периферийното устройство и му изпраща команди - заобикаляйки хоста. Това е доста просто, тъй като стандартните интерфейси не изискват специфични драйвери. А проприетарните протоколи, по които периферията и хостът взаимодействат, не изискват удостоверяване (всъщност, устройството се намира в доверена зона); следователно тези незашитени протоколи, по които периферията и хостът взаимодействат, лесно се подслушват и могат да бъдат атакувани чрез възпроизвеждане.

Така кардерите могат да използват софтуерен или хардуерен анализатор на трафика, свързвайки го директно към порта на конкретното периферийно устройство (например, към четец на карти) - за събиране на предаваните данни. Използвайки анализатора на трафика, кардерът научава всички технически подробности за работата на банкомата, включително недокументираните функции на неговата периферия (например, функцията за промяна на фърмуера на периферийното устройство). В резултат на това кардерът получава пълен контрол над банкомата. При това, откритията на наличието на анализатор на трафика са доста трудни.

Пряк контрол над устройството за разплащане означава, че касетите на банкомата могат да бъдат опустошени без никаква регистрация в логовете, които софтуерът, разположен на хоста, извършва в нормален режим. За тези, които не са запознати с софтуерно-хардуерната архитектура на банкомата, това наистина може да изглежда като магия.

Откъде идват "черните кутии"?

Доставчиците на банкомати и подизпълнителите разработват отладъчни инструменти за диагностика на хардуера на банкомата, включително и електромеханика, отговорна за изтеглянето на пари. Сред тези инструменти са: ATMDesk, RapidFire ATM XFS. На следващата рисунка са представени още няколко от тези диагностични инструменти.

Контролен панел на ATMDesk

Контролен панел на RapidFire ATM XFS

Сравнителни характеристики на няколко диагностични инструменти

Достъпът до подобни инструменти обикновено е ограничен с персонализирани токени и те работят само при отворен капак на сейфа на банкомата. Все пак, просто като замените няколко байта в бинарния код на инструментите, кардърите могат може да «тестят» изтеглянето на пари в брой, заобикаляйки проверките, предвидени от производителя на инструмента. Кардърите инсталират такива модифицирани инструменти на своя лаптоп или одноплатен компютър, които след това свързват директно към устройството за раздаване на банкноти, за неразрешено изтегляне на пари в брой.

«Последната миля» и фалшивият процесинг център

Пряката работа с периферията, без комуникация с хоста, е само един от ефективните методи на кардърите. Други методи разчитат на факта, че имаме широк спектър от мрежови интерфейси, чрез които банкоматът се свързва с външния свят. От X.25 до Ethernet и мобилна комуникация. Много банкомати могат да бъдат идентифицирани и локализирани чрез услугата Shodan (най-сбита инструкция за използването ѝ е представена тук), – с последваща атака, паразитираща на уязвимата конфигурация на сигурността, леността на администратора и уязвимите комуникации между различните звена на банката.

«Последната миля» на връзката между банкомата и процесинг центъра е богата на най-разнообразни технологии, които могат да служат като входна точка за кардъра. Взаимодействието може да се осъществява чрез проводимен (телефонна линия или Ethernet) или безжичен (Wi-Fi, мобилна комуникация: CDMA, GSM, UMTS, LTE) начин на свързване. Механизмите за сигурност могат да включват: 1) хардуерни или софтуерни средства за поддръжка на VPN (както стандартни, вградени в ОС, така и от трети производители); 2) SSL/TLS (както специфични за конкретната модел на банкомата, така и от трети производители); 3) криптиране; 4) автентикация на съобщения.

Но изглежда, че за банките изброените технологии представляват много сложни, и затова те не се натоварват със специална мрежова защита; или я реализират с грешки. В най-добрия случай банкоматът се свързва с VPN-сървър и вече в приватната мрежа – се свързва с обработващия център. Освен това, дори ако банките успеят да реализират горепосочените защитни механизми, - у кардера вече има ефективни атаки срещу тях. Т.о. дори ако безопасността отговаря на стандарта PCI DSS, банкоматите все още остават уязвими.

Едно от основните изисквания на PCI DSS: всички конфиденциални данни, когато се предават през обществена мрежа, трябва да бъдат криптирани. И наистина имаме мрежи, които първоначално са проектирани така, че в тях данните са напълно криптирани! Затова има изкушение да се каже: "Ние имаме данни криптирани, защото използваме Wi-Fi и GSM". Въпреки това много от тези мрежи не осигуряват достатъчна защита. Мобилните мрежи на всички поколения отдавна са хакнати. Безвъзвратно. И дори има доставчици, които предлагат устройства за прихващане на предаваните чрез тях данни.

Следователно или в небезопасна комуникация, или в "приватна" мрежа, в която всеки банкомат обявява за себе си на другите банкомати, може да бъде инициирана MiTM-атака "фалшив обработващ център", – която ще доведе до това, че кардера ще завладее контрола над потоците данни, предавани между банкомата и обработващия център.

Такъв MiTM-атакам потенциално са подложени хиляди банкомати. На пътя към истинския обработващ център – кардера вмъква своя, фалшив. Този фалшив обработващ център дава на банкомата команди за отпускане на банкноти. При това кардера настройва своя обработващ център по такъв начин, че отпускането на кеш да се случва независимо от това коя карта се вмъква в банкомата – дори ако срокът й на действие е изтекъл или на нея има нулев баланс. Важно е само фалшивият обработващ център да "разпознае" нея. Като фалшив обработващ център може да бъде или самоделка, или симулатор на обработващ център, първоначално разработен за отстраняване на грешки в мрежовите настройки (още един подарък от "производителя" – на кардера).

На следващата рисунка представен дамп на командите за издаване на 40 банкноти от четвъртия касетен модул, изпратени от фалшивия процесингов център и съхранявани в журналите на софтуера за ATM. Те изглеждат почти като истински.

Дамп на командите на фалшивия процесингов център

Източник: habr.com