Железни кутии с пари, стоящи по улиците на града, не могат да привлекат вниманието на любителите на бързите пари. И ако в миналото за изпразване на банкомати се използваха чисто физически методи, сега се използват все по-изкусни трикове, свързани с компютрите. Сега най-актуалната от тях е "черната кутия" с едноплатков микрокомпютър вътре. Ще говорим за това как работи в тази статия.

– Еволюцията на картирането на банкомати
– Първо запознаване с „черната кутия“
– Анализ на ATM комуникациите
Откъде идват черните кутии?
– „Последна миля“ и център за обработка на фалшиви данни

Ръководител на Международната асоциация на производителите на банкомати (ATMIA) отделен „черни кутии“ като най-опасната заплаха за банкоматите.

Типичният банкомат е набор от готови електромеханични компоненти, поставени в един корпус. Производителите на банкомати изграждат своите железни творения от устройство за банкноти, четец на карти и други компоненти, които вече са разработени от доставчици трети страни. Нещо като LEGO конструктор за възрастни. Готовите компоненти се поставят в кутията на банкомата, която обикновено се състои от две отделения: горното отделение („шкаф“ или „обслужваща зона“) и долното отделение (сейф). Всички електромеханични компоненти са свързани чрез USB и COM портове към системния модул, който в този случай действа като хост. При по-старите модели банкомати можете да намерите връзки и чрез SDC шина.

Еволюцията на картирането на банкомати

Банкоматите с огромни суми вътре неизменно привличат към тях картодържатели. Първоначално кардерите използваха само груби физически пропуски в сигурността на банкоматите - те използваха скимери и блещукащи устройства, за да откраднат данни от магнитни ленти; фалшиви пин-падове и камери за гледане на пин-кодове; и дори фалшиви банкомати.

След това, когато банкоматите започнаха да се оборудват с унифициран софтуер, който работи по общи стандарти, като XFS (eXtensions for Financial Services), кардърите започнаха да атакуват банкоматите с компютърни вируси.

Сред тях са Trojan.Skimmer, Backdoor.Win32.Skimer, Ploutus, ATMii и множество други наименувани и ненаименувани злонамерени програми, които картите поставят на хоста на банкомата или чрез стартиращо флаш устройство, или през TCP порта за дистанционно управление.

Процес на заразяване на банкомат

След като е уловил подсистемата XFS, злонамереният софтуер може да издава команди към устройството за банкноти без разрешение. Или дайте команди на четеца на карти: четете / записвайте магнитната лента на банкова карта и дори извличайте историята на транзакциите, съхранена в чипа на EMV картата. EPP (Encrypting PIN Pad; encrypted pinpad) заслужава специално внимание. Общоприето е, че въведеният на него ПИН код не може да бъде прихванат. XFS обаче ви позволява да използвате EPP pinpad в два режима: 1) отворен режим (за въвеждане на различни цифрови параметри, като например сумата за теглене); 2) безопасен режим (EPP превключва към него, когато трябва да въведете пинкод или ключ за криптиране). Тази функция на XFS позволява на кардера да извърши MiTM атака: да прихване командата за активиране на безопасен режим, която е изпратена от хоста към EPP, и след това да каже на EPP pinpad, че работата трябва да продължи в отворен режим. В отговор на това съобщение EPP изпраща натискания на клавиши в обикновен текст.

Принципът на действие на "черната кутия"

В последните години, според Европол, зловреден софтуер за банкомати се разви значително. Кардерите вече не трябва да имат физически достъп до банкомат, за да го заразят. Те могат да заразят банкомати чрез отдалечени мрежови атаки, използвайки за това корпоративната мрежа на банката. Според Група IB, през 2016 г. в повече от 10 държави в Европа банкоматите са били обект на дистанционна атака.

ATM атака чрез отдалечен достъп

Антивируси, блокиране на актуализации на фърмуера, блокиране на USB портове и криптиране на твърдия диск - до известна степен предпазват банкомата от вирусни атаки от кардери. Но какво ще стане, ако кардерът не атакува хоста, а се свърже директно към периферията (през RS232 или USB) - към четец на карти, пин пад или банкомат?

Първото запознанство с "черната кутия"

Днес, технологично ориентирани кардери те правят точно това, използвайки за кражба на пари в брой от банкомат т.нар. "черни кутии" са специално програмирани едноплаткови микрокомпютри, като Raspberry Pi. „Черните каси“ изпразват банкоматите по чист, напълно магически (от гледна точка на банкерите) начин. Кардерите свързват магическото си устройство директно към автомата за банкноти; да извлече от него всички налични пари. Такава атака заобикаля целия софтуер за защита, разположен на хоста на ATM (антивируси, контрол на целостта, криптиране на целия диск и т.н.).

"Черна кутия" базирана на Raspberry Pi

Най-големите производители на банкомати и правителствените разузнавателни агенции, изправени пред няколко приложения на "черната кутия", предупреждавамче тези гениални компютри карат банкоматите да изплюват всички налични пари; 40 банкноти на всеки 20 секунди. Също така специалните служби предупреждават, че кардерите най-често се насочват към банкомати в аптеки, търговски центрове; а също и към банкомати, които обслужват шофьорите в движение.

В същото време, за да не блеснат пред камерите, най-предпазливите кардьори привличат на помощ някой не особено ценен партньор - муле. И за да не може да присвои "черната кутия" за себе си, те използват следната схема. Ключовата функционалност е премахната от „черната кутия“ и към нея е свързан смартфон, който се използва като канал за дистанционно предаване на команди към съкратената „черна кутия“ по IP протокола.

Модификация на "черната кутия", с активиране чрез отдалечен достъп

Как изглежда от гледна точка на банкерите? На записите от видеокамери-фиксатори се случва следното: определено лице отваря горното отделение (сервизна зона), свързва „магическата кутия” с банкомата, затваря горното отделение и си тръгва. Малко по-късно няколко души, на пръв поглед обикновени клиенти, се приближават до банкомата и теглят огромни суми пари. След това кардерът се връща и взема своето малко магическо устройство от банкомата. Обикновено фактът на атака на банкомат с "черна кутия" се открива само след няколко дни: когато празният сейф и дневникът за теглене на пари не съвпадат. В резултат на това банковите служители остават само почешете се по главата.

Анализ на ATM комуникациите

Както беше отбелязано по-горе, взаимодействието между системния блок и периферните устройства се осъществява чрез USB, RS232 или SDC. Кардерът се свързва директно към порта на периферното устройство и изпраща команди към него - заобикаляйки хоста. Това е доста просто, защото стандартните интерфейси не изискват специфични драйвери. И собствените протоколи, според които периферните устройства и хостът взаимодействат, не изискват разрешение (в края на краищата устройството се намира в доверената зона); и следователно тези несигурни протоколи, по които комуникират периферното устройство и хостът, лесно се подслушват и лесно се поддават на повторна атака.

Че. кардерите могат да използват софтуерен или хардуерен анализатор на трафика, като го свързват директно към порта на конкретно периферно устройство (например към четец на карти), за да събират предавани данни. С помощта на анализатора на трафика кардерът научава всички технически подробности за работата на банкомата, включително недокументираните функции на неговата периферия (например функцията за промяна на фърмуера на периферно устройство). В резултат на това кардерът има пълен контрол върху банкомата. В същото време е доста трудно да се открие наличието на анализатор на трафика.

Директният контрол над устройството за банкноти означава, че касетите на банкомата могат да бъдат изпразнени без никаква фиксация в регистрационните файлове, които софтуерът, инсталиран на хоста, обикновено прави. За тези, които не са запознати с хардуерната и софтуерната архитектура на банкоматите, ето как наистина може да изглежда магията.

Откъде идват черните кутии?

Доставчиците на банкомати и подизпълнителите разработват инструменти за отстраняване на грешки за диагностициране на хардуера на банкоматите, включително електромеханиката, отговорна за тегленето на пари в брой. Тези помощни програми включват: Банкомат, RapidFire ATM XFS. Фигурата по-долу показва още няколко от тези помощни програми за диагностика.

Контролен панел ATMDesk

Контролен панел RapidFire ATM XFS

Сравнителни характеристики на няколко диагностични програми

Достъпът до такива помощни програми обикновено е ограничен до персонализирани токени; и работят само когато вратата на сейфа на банкомата е отворена. Въпреки това, просто чрез замяна на няколко байта в двоичния код на помощната програма, carders мога "тестово" теглене на пари в брой - заобикаляне на проверките, предоставени от производителя на комуналните услуги. Картърите инсталират тези модифицирани помощни програми на своя лаптоп или едноплатков микрокомпютър, който след това включват директно в автомат за банкноти, за да откраднат пари в брой.

Последната миля и центърът за обработка на фалшификати

Директното взаимодействие с периферните устройства, без комуникация с хоста, е само един от ефективните методи за картиране. Други трикове разчитат на факта, че имаме голямо разнообразие от мрежови интерфейси, чрез които банкоматът комуникира с външния свят. От X.25 до Ethernet и Cellular. Много банкомати могат да бъдат идентифицирани и локализирани с помощта на услугата Shodan (представени са най-кратките инструкции за използването й тук), последвано от атака, която паразитира върху уязвима конфигурация за сигурност, мързел на администратора и уязвими комуникации между различните отдели на банката.

„Последната миля“ на комуникация между банкомата и обработващия център е богата на голямо разнообразие от технологии, които могат да служат като входна точка за кардера. Взаимодействието може да се осъществи чрез кабелен (телефонна линия или Ethernet) или безжичен (Wi-Fi, клетъчен: CDMA, GSM, UMTS, LTE) комуникационен метод. Механизмите за сигурност могат да включват: 1) хардуер или софтуер за поддръжка на VPN (както стандартни, вградени в операционната система, така и на трети страни); 2) SSL/TLS (както специфични за конкретен модел банкомат, така и от производители на трети страни); 3) криптиране; 4) удостоверяване на съобщението.

Но изглеждаче за банките изброените технологии са много сложни и затова те не се занимават със специална мрежова защита; или да го внедрите с грешки. В най-добрия случай банкоматът се свързва с VPN сървъра и вече в частната мрежа се свързва с центъра за обработка. Освен това, дори ако банките успеят да внедрят горните защитни механизми, кардерът вече има ефективни атаки срещу тях. Че. дори ако сигурността отговаря на стандарта PCI DSS, банкоматите все още са уязвими.

Едно от основните изисквания на PCI DSS е, че всички чувствителни данни, когато се предават през обществена мрежа, трябва да бъдат криптирани. И наистина имаме мрежи, които първоначално са проектирани по такъв начин, че данните в тях са напълно криптирани! Ето защо е изкушаващо да се каже: „Нашите данни са криптирани, защото използваме Wi-Fi и GSM.“ Много от тези мрежи обаче не осигуряват достатъчна защита. Клетъчните мрежи от всички поколения отдавна са хакнати. Окончателно и неотменимо. И дори има доставчици, които предлагат устройства за прихващане на данните, предавани през тях.

Следователно, или при несигурна комуникация, или в "частна" мрежа, където всеки банкомат излъчва за себе си към други банкомати, може да бъде инициирана MiTM атака на "фалшив център за обработка" - което ще доведе до поемане на контрола върху предаваните потоци данни от кардъра. между банкомат и център за обработка.

Такива MiTM атаки Хиляди банкомати са потенциално засегнати. На път за истински процесинг център - картодържателят вкарва своя, фалшива. Този фалшив център за обработка инструктира банкомата да раздава банкноти. В същото време картодържателят настройва своя център за обработка по такъв начин, че тегленето на пари в брой да става независимо от това коя карта е поставена в банкомата - дори ако е с изтекъл срок на валидност или има нулево салдо. Основното е, че фалшивият център за обработка го „разпознава“. Фалшив център за обработка може да бъде или занаятчийски, или симулатор на център за обработка, първоначално предназначен за отстраняване на грешки в мрежовите настройки (още един подарък от „производителя“ за кардерите).

Следната фигура донесе дъмп на команди за издаване на 40 банкноти от четвърта касета - изпратени от фалшив процесинг център и съхранени в логовете на софтуера на банкомат. Изглеждат почти истински.

Изхвърляне на команди на фалшив център за обработка

Източник: www.habr.com