Железните кутии с пари, които стоят по улиците на града, не могат да не привлекат вниманието на любителите на бързата печалба. И ако преди за източване на банкоматите се прилагаха чисто физически методи, то сега в ход влизат все по-изкусни трикове, свързани с компютри. Най-актуалният от тях в момента е „черната кутия“ с едноплатен микрокомпютър вътре. За това как работи, ще говорим в тази статия.

– Еволюцията на банкоматния кардинг
– Първи стъпки с „черната кутия“
– Анализ на комуникациите на банкоматите
– Откъде идват „черните кутии“?
– „Последната миля“ и фалшивият процесинг център

Началник на Международната асоциация на производителите на банкомати (ATMIA) изтъкна „черните кутии“ като най-опасната заплаха за банкоматите.

Типичният банкомат е комплект от готови електромеханични компоненти, поставени в един корпус. Производителите на банкомати изграждат своите метални творения от устройство за разпределение на банкноти, четец на карти и други компоненти, вече разработени от трети страни. Нещо като LEGO за възрастни. Готовите компоненти се поставят в корпуса на банкомата, който обикновено има два отсека: горен отсек („кабинет“ или „зона за обслужване“) и долен отсек (сейф). Всички електромеханични компоненти са свързани чрез USB и COM портове към системния блок, който в този случай изпълнява ролята на хост. На старите модели на банкомати също могат да се срещнат връзки чрез SDC шина.

Еволюцията на банкоматния кардинг

Банкоматите с огромни суми вътре неизменно привлекат внимание на кардерите. Първоначално кардерите експлоатираха само груби физически недостатъци на защита на банкоматите – използваха скимери и шимери за кражба на данни от магнитни ленти; фалшиви пин-падове и камери за наблюдение на ПИН кодовете; и дори фалшиви банкомати.

След това, когато банкоматите започнаха да се оборудват с унифициран софтуер, работещ според единни стандарти, като XFS (eXtensions for Financial Services), кардерите започнаха да атакуват банкоматите с компютърни вируси.

Сред тях са Trojan.Skimmer, Backdoor.Win32.Skimer, Ploutus, ATMii и множество други именувани и безименни зловредни софтуери, които кардерите инсталират на хоста на банкомата или чрез зареждаща флашка, или чрез TCP порт за дистанционно управление.

Процесът на заразяване на банкомати

Когато малварът завладее XFS подсистемата, той може да отдава команди на устройството за раздаване на банкноти без авторизация. Или да управлява картридера: да чете/пише магнитната лента на банковата карта и дори да извлича историята на транзакциите, съхранявана на EMV чипа. Особено внимание заслужава EPP (Encrypting PIN Pad; криптирана клавиатура за ПИН). Счита се, че въвежданият на нея ПИН код не може да бъде прихванат. Въпреки това, XFS позволява използването на EPP клавиатура в два режима: 1) отворен режим (за въвеждане на различни числови параметри, като сума за обналичаване); 2) защитен режим (EPP преминава в него, когато е необходимо да се въведе ПИН код или ключ за криптиране). Тази особеност на XFS позволява на кардерите да извършват MiTM атака: да прихванат командата за активиране на защитения режим, която се изпраща от хоста към EPP, и след това да информират EPP клавиатурата, че работата трябва да продължи в отворен режим. В отговор на това съобщение, EPP изпраща натисканията на клавишите в открит текст.

Принцип на действие на «черната кутия»

В последните години, според данни на Европол, вредоносните атаки срещу банкомати значително са еволюирали. Кардерите вече не е необходимо да имат физически достъп до банкомата, за да го заразят. Те могат да заразяват банкомати чрез отдалечени мрежови атаки, използвайки за целта корпоративната мрежа на банката. Според Group IB, през 2016 година в повече от 10 европейски страни, банкоматите бяха подложени на дистанционни атаки.

Атака на банкомат чрез отдалечен достъп

Антивируси, блокиране на обновления на фърмуера, блокиране на USB портове и криптиране на твърдия диск – до известна степен, защитават банкомата от вирусни атаки на кардерите. Но какво ако кардерът не атакува хоста, а директно се свързва с периферията (чрез RS232 или USB) – с картовия четец, PIN-пада или устройството за раздаване на пари?

Първа среща с «черната кутия»

Днес технически напредналите кардери действат именно така, използвайки т.н. «черни кутии» за кражба на пари от банкомати – специфично програмирани едноплаткови микрокомпютри, подобни на Raspberry Pi. «Черните кутии» изчистват банкоматите до сухо, по магически (от гледна точка на банките) начин. Кардерите свързват своето магично устройство директно към устройството за издаване на банкноти, за да извлекат всичките налични средства. Тази атака заобикаля всички софтуерни средства за защита, разположени на хоста на банкомата (антивируси, контрол на целостта, пълно шифроване на диска и т.н.).

«Черна кутия» на базата на Raspberry Pi

Най-големите производители на банкомати и правителствените служби за сигурност, сблъсквайки се с няколко реализации на «черната кутия», предупреждават, че тези хитроумни компютри подбуждат банкоматите да изхвърлят всичките налични пари; по 40 банкноти на всеки 20 секунди. Също така службите за сигурност предупреждават, че кардерите най-често целят банкомати в аптеки, търговски центрове; както и банкомати, които обслужват шофьори «в движение».

В същото време, за да не се излагат пред камерите, най-предпазливите кардери вземат в помощ някой не особено ценен партньор, мула. И за да не може той да присвои «черната кутия», използват следната схема. Премахват ключовата функционалност от «черната кутия» и я свързват към смартфон, който използват като канал за дистанционно предаване на команди на ограничената «черна кутия», по IP-протокол.

Модификация на «черната кутия», с активация чрез дистанционен достъп

Как изглежда това от гледна точка на банкерите? На записите от видеокамерите се случва горе-долу следното: една личност отваря горния отсек (зоната за обслужване), свързва «магическия ящик» с банкомата, затваря горния отсек и си тръгва. След известно време няколко души, които изглеждат като обикновени клиенти, се приближават до банкомата и теглят огромни суми пари. След това кардерът се връща и извлича своето малко магично устройство от банкомата. Обикновено фактът за атака на банкомата с «черната кутия» се открива само след няколко дни: когато празният сейф и журналът за тегления не съвпадат. В резултат на това на служителите на банката не остава нищо друго освен да се чудят.

Анализ на комуникациите на банкомати

Както беше споменато по-горе, взаимодействието между системния блок и периферийните устройства се осъществява чрез USB, RS232 или SDC. Кардърът се свързва директно към порта на периферийните устройства и изпраща команди – заобикаляйки хоста. Това е доста просто, тъй като стандартните интерфейси не изискват специфични драйвери. А пропритарни протоколи, по които периферията и хостът взаимодействат, не изискват удостоверяване (все пак устройството се намира в доверена зона); затова тези незащитени протоколи, по които периферията и хостът взаимодействат, са лесно подлежащи на подслушване и атаки за възпроизвеждане.

Така кардърите могат да използват софтуерен или хардуерен анализатор на трафика, свързвайки го директно към порта на конкретно периферийно устройство (например, към четец на карти) – за събиране на предаваните данни. Чрез анализа на трафика, кардърът научава всички технически подробности за работата на банкомата, включително недокументирани функции на неговата периферия (например, функция за промяна на фърмуера на периферийните устройства). В резултат на това кардърът получава пълен контрол над банкомата. При това, открития на наличието на анализатор на трафика е доста трудно.

Придобиването на пряк контрол над устройството за издаване на банкноти означава, че касетите на банкомата могат да бъдат опустошени без да има запис в логовете, които в нормален режим се записват от софтуера, инсталиран на хоста. За тези, които не са запознати с архитектурата на банкомати, това наистина може да изглежда като магия.

От къде идват "черните кутии"?

Доставчиците на банкомати и подизпълнителите разработват отладъчни утилити за диагностика на хардуерната част на банкомата, – включително електромеханики, отговорни за изтегляне на наличности. Сред такива утилити са: ATMDesk, RapidFire ATM XFS. На изображението по-долу са представени още няколко такива диагностични утилити.

Контролен панел на ATMDesk

Контролен панел на RapidFire ATM XFS

Сравнителни характеристики на няколко диагностични утилити

Достъпът до подобни утилити обикновено е ограничен с персонализирани токени; и те работят само при отворена вратичка на банкоматното сейф. могат „Тестиране“ на изтегляне на пари – заобикаляне на проверките, предвидени от производителя на утилитата. Кардерите инсталират такива модифицирани утилити на своите лаптопи или одноплатни микрокомпютри, които след това свързват директно с устройството за раздаване на банкноти, за незаконно изтегляне на пари в брой.

„Последната миля“ и фалшив процесингов център

Пряк контакт с периферията, без комуникация с хоста – това е само един от ефективните трикове на кардера. Други трикове се основават на факта, че имаме широка гама от мрежови интерфейси, чрез които банкоматът се свързва с външния свят. От X.25 до Ethernet и мобилни мрежи. Много банкомати могат да бъдат идентифицирани и локализирани чрез услугата Shodan (най-кратката инструкция за нейното използване е представена тук.), – с последваща атака, паразитираща на уязвимата конфигурация за сигурност, леността на администратора и уязвимите комуникации между различни подразделения на банката.

„Последната миля“ на връзката между банкомата и процесинговия център е богата на най-разнообразни технологии, които могат да служат като входна точка за кардера. Взаимодействието може да се осъществява чрез проводен (телефонна линия или Ethernet) или безжичен (Wi-Fi, мобилна мрежа: CDMA, GSM, UMTS, LTE) начин на комуникация. Механизмите за сигурност могат да включват: 1) хардуерни или софтуерни средства за поддръжка на VPN (както стандартни, вградени в ОС, така и от трети производители); 2) SSL/TLS (както специфични за конкретния модел на банкомата, така и от трети производители); 3) криптиране; 4) удостоверяване на съобщения.

Обаче изглежда, че за банките изброените технологии представляват много сложни и затова те не се занимават със специална мрежова защита; или я реализират с грешки. В най-добрия случай, банкоматът се свързва с VPN сървър, и вече вътре в частната мрежа – се свързва с процесинговия център. Освен това, дори ако банките успеят да реализират гореспоменатите механизми за защита, кардера вече има ефективни атаки срещу тях. Така че дори ако безопасността отговаря на стандарта PCI DSS, банкоматите все още остават уязвими.

Едно от основните изисквания на PCI DSS: всички конфиденциални данни, когато се предават през публична мрежа, трябва да бъдат криптирани. И наистина, имаме мрежи, които са проектирани така, че данните да са напълно криптирани! Затова понякога може да се каже: „Нашите данни са криптирани, защото използваме Wi-Fi и GSM“. Въпреки това много от тези мрежи не осигуряват достатъчна защита. Мобилните мрежи от всички поколения отдавна са хакнати. Безвъзвратно. И дори има доставчици, които предлагат устройства за прихващане на предавани данни.

Затова в небезопасна комуникация или в „частна“ мрежа, където всеки банкомат съобщава за себе си на други банкомати, може да се инициира MiTM-атака „фалшив обработващ център“, - което ще доведе до това, че хакерът ще завладее контрола над потоците данни, предавани между банкомата и обработващия център.

Такава MiTM-атака е потенциално уязвима за хиляди банкомати. По пътя към истинския обработващ център хакерът вмъква свой, фалшив. Този фалшив обработващ център дава на банкомата команди за раздаване на банкноти. В същото време хакерът конфигурира своя обработващ център така, че раздаването на готови пари да става независимо от това коя карта е поставена в банкомата – дори ако срокът ѝ е изтекъл, или балансът ѝ е нулев. Важното е, че фалшивият обработващ център „да знае“ за нея. Фалшивият обработващ център може да бъде или самоделка, или симулатор на обработващ център, първоначално проектиран за отстраняване на проблеми с мрежови настройки (още един подарък от „производителя“ – за хакерите).

На следващата рисунка е приведен дамп команди за раздаване на 40 банкноти от четвъртата касета, – изпратени от фалшивия обработващ център и съхранявани в журналите на софтуера на банкомата. Те изглеждат почти като истински.

Дамп команди на фалшивия обработващ център

Източник: habr.com