Gvozdene kutije s novcem koje stoje na ulicama grada ne mogu a da ne privuku pažnju ljubitelja brzog novca. I ako su se ranije za pražnjenje bankomata koristile čisto fizičke metode, sada se koriste sve vještiji trikovi vezani za kompjutere. Sada je najrelevantnija od njih "crna kutija" sa mikrokompjuterom na jednoj ploči unutra. O tome kako to funkcionira, govorit ćemo u ovom članku.
Šef Međunarodnog udruženja proizvođača bankomata (ATMIA) "crne kutije" kao najopasnija prijetnja bankomatima.
Tipičan bankomat je skup gotovih elektromehaničkih komponenti smještenih u jedno kućište. Proizvođači bankomata grade svoje željezne kreacije od dispenzera novčanica, čitača kartica i drugih komponenti koje su već razvili dobavljači trećih strana. Neka vrsta LEGO konstruktora za odrasle. Gotove komponente se stavljaju u kutiju bankomata, koja se obično sastoji od dva pretinca: gornjeg (“ormarić” ili “servisni prostor”) i donjeg odjeljka (sef). Sve elektromehaničke komponente su povezane preko USB i COM portova na sistemsku jedinicu, koja u ovom slučaju djeluje kao host. Na starijim modelima bankomata također možete pronaći veze preko SDC magistrale.
Evolucija kartiranje bankomata
Bankomati s ogromnim količinama u sebi uvijek privlače kartice. U početku, karderi su koristili samo velike fizičke nedostatke u sigurnosti bankomata - koristili su skimere i šimere da ukradu podatke sa magnetnih traka; lažni pin-padovi i kamere za gledanje pin kodova; pa čak i lažne bankomate.
Zatim, kada su bankomati počeli da se opremaju unificiranim softverom koji radi po zajedničkim standardima, kao što je XFS (eXtensions for Financial Services), kartičari su počeli da napadaju bankomate kompjuterskim virusima.
Među njima su Trojan.Skimmer, Backdoor.Win32.Skimer, Ploutus, ATMii, i brojni drugi imenovani i neimenovani malver koji karderi postavljaju na ATM host bilo putem fleš diska za pokretanje ili preko TCP porta za daljinsko upravljanje.
Proces infekcije bankomata
Nakon što je uhvatio XFS podsistem, zlonamjerni softver može izdati komande dispenzeru novčanica bez ovlaštenja. Ili dajte komande čitaču kartica: pročitajte / upišite magnetnu traku bankovne kartice, pa čak i izvucite istoriju transakcija pohranjenu na čipu EMV kartice. EPP (Encrypting PIN Pad; encrypted pinpad) zaslužuje posebnu pažnju. Općenito je prihvaćeno da se PIN kod upisan na njemu ne može presresti. Međutim, XFS vam omogućava da koristite EPP pinpad u dva režima: 1) otvoreni režim (za unos različitih numeričkih parametara, kao što je iznos za isplatu); 2) bezbedni režim (EPP prelazi na njega kada treba da unesete pin kod ili ključ za šifrovanje). Ova karakteristika XFS-a omogućava karderu da izvrši MiTM napad: da presretne komandu za aktivaciju sigurnog režima koja se šalje sa hosta na EPP, a zatim kaže EPP pinpadu da se rad nastavi u otvorenom režimu. Kao odgovor na ovu poruku, EPP šalje tipke u obliku običnog teksta.
Princip rada "crne kutije"
Zadnjih godina, Europol, zlonamjerni softver bankomata značajno je evoluirao. Kartičari više ne moraju imati fizički pristup bankomatu da bi ga zarazili. Oni mogu zaraziti bankomate putem udaljenih mrežnih napada koristeći za to korporativnu mrežu banke. Grupa IB, 2016. godine u više od 10 zemalja u Evropi, bankomati su bili izloženi daljinskom napadu.
Napad na bankomat putem daljinskog pristupa
Antivirusi, blokiranje ažuriranja firmvera, blokiranje USB portova i šifriranje tvrdog diska - u određenoj mjeri štite bankomat od napada virusa od strane kardera. Ali šta ako kartica za kartice ne napada host, već se povezuje direktno na periferiju (preko RS232 ili USB-a) - na čitač kartica, pin pad ili bankomat?
Prvo upoznavanje sa "crnom kutijom"
Danas, tehnički potkovani karderi , koristeći za krađu gotovine sa bankomata tzv. "crne kutije" su posebno programirani mikroračunari sa jednom pločom, poput Raspberry Pi. "Crne kutije" prazne bankomate na čist, potpuno magičan (iz ugla bankara) način. Kartičari povezuju svoj magični uređaj direktno na dispenzer novčanica; da iz njega izvuče sav raspoloživi novac. Takav napad zaobilazi sav zaštitni softver postavljen na ATM hostu (antivirusi, kontrola integriteta, potpuna enkripcija diska, itd.).
"Crna kutija" zasnovana na Raspberry Pi
Najveći proizvođači bankomata i vladine obavještajne agencije, suočeni s nekoliko implementacija "crne kutije", da ovi genijalni kompjuteri navode bankomate da ispljunu svu raspoloživu gotovinu; 40 novčanica svakih 20 sekundi. Takođe, specijalne službe upozoravaju da kartičari najčešće ciljaju na bankomate u apotekama, tržnim centrima; kao i na bankomatima koji služe vozačima u pokretu.
Istovremeno, da ne bi zablistali pred kamerama, najoprezniji karderi pribjegavaju u pomoć nekom ne baš vrijednom partneru, mazgi. I da ne bi mogao sebi prisvojiti "crnu kutiju", koriste se . Iz "crne kutije" se uklanja ključna funkcionalnost i na nju se povezuje pametni telefon koji se koristi kao kanal za daljinski prijenos komandi skraćenoj "crnoj kutiji" putem IP protokola.
Modifikacija "crne kutije", sa aktivacijom putem daljinskog pristupa
Kako to izgleda iz ugla bankara? Na snimcima sa video kamera-fiksatora dešava se nešto poput sledećeg: određena osoba otvara gornji pretinac (servisni prostor), povezuje „magičnu kutiju“ sa bankomatom, zatvara gornji pretinac i odlazi. Nešto kasnije, nekoliko ljudi, naizgled običnih kupaca, prilazi bankomatu i podiže ogromne količine novca. Kartičar se zatim vraća i uzima svoj mali magični uređaj s bankomata. Obično se činjenica napada na bankomat sa "crnom kutijom" otkrije tek nakon nekoliko dana: kada se prazan sef i dnevnik podizanja gotovine ne poklapaju. Kao rezultat toga, ostaju samo zaposleni u banci .
Analiza ATM komunikacija
Kao što je gore navedeno, interakcija između sistemske jedinice i perifernih uređaja vrši se preko USB-a, RS232 ili SDC-a. Karder se povezuje direktno na port perifernog uređaja i šalje mu komande - zaobilazeći host. Ovo je prilično jednostavno jer standardna sučelja ne zahtijevaju nikakve posebne drajvere. A vlasnički protokoli, prema kojima periferni uređaji i domaćin komuniciraju, ne zahtijevaju autorizaciju (na kraju krajeva, uređaj se nalazi unutar pouzdane zone); i stoga, ovi nesigurni protokoli, preko kojih komuniciraju periferni uređaj i domaćin, lako se prisluškuju i lako podložni napadu ponavljanja.
To. kartičari mogu koristiti softverski ili hardverski analizator prometa, povezujući ga direktno na port određenog perifernog uređaja (na primjer, na čitač kartica) za prikupljanje prenesenih podataka. Koristeći analizator prometa, karder uči sve tehničke detalje rada bankomata, uključujući nedokumentirane funkcije njegove periferije (na primjer, funkciju promjene firmvera perifernog uređaja). Kao rezultat toga, kartica ima potpunu kontrolu nad bankomatom. Istovremeno, prilično je teško otkriti prisustvo analizatora saobraćaja.
Direktna kontrola nad dispenzerom novčanica znači da se kasete bankomata mogu isprazniti bez ikakvog fiksiranja u evidencijama koje obično pravi softver postavljen na hostu. Za one koji nisu upoznati sa hardverskom i softverskom arhitekturom bankomata, ovako zaista može izgledati magija.
Odakle dolaze crne kutije?
Prodavci i podizvođači bankomata razvijaju alate za otklanjanje grešaka za dijagnosticiranje hardvera bankomata, uključujući elektromehanike odgovorne za podizanje gotovine. Ovi uslužni programi uključuju: , . Slika ispod prikazuje još nekoliko ovih dijagnostičkih alata.
ATMDesk kontrolna tabla
RapidFire ATM XFS kontrolni panel
Komparativne karakteristike nekoliko dijagnostičkih alata
Pristup takvim uslužnim programima je obično ograničen na personalizirane tokene; i rade samo kada su vrata sefa bankomata otvorena. Međutim, jednostavnom zamjenom nekoliko bajtova u binarnom kodu uslužnog programa, carders "testno" podizanje gotovine - zaobilazeći čekove koje daje proizvođač komunalnih usluga. Kartičari instaliraju ove modifikovane uslužne programe na svoj laptop ili mikrokompjuter sa jednom pločom, koji zatim direktno priključe na dispenzer za novčanice kako bi ukrali gotovinu.
Posljednja milja i centar za obradu lažnih podataka
Direktna interakcija sa perifernim uređajima, bez komunikacije sa domaćinom, samo je jedan od efikasnih metoda kardiranja. Ostali trikovi se oslanjaju na činjenicu da imamo širok izbor mrežnih interfejsa preko kojih bankomat komunicira sa spoljnim svetom. Od X.25 do Etherneta i Cellular. Mnogi bankomati mogu se identificirati i locirati korištenjem Shodan servisa (predstavljene su najsažetije upute za korištenje ), praćen napadom koji parazitira na ranjivoj sigurnosnoj konfiguraciji, lijenosti administratora i ranjivoj komunikaciji između različitih odjela banke.
"Posljednja milja" komunikacije između bankomata i procesnog centra bogata je širokim spektrom tehnologija koje mogu poslužiti kao ulazna tačka za kartice. Interakcija se može vršiti putem žičane (telefonske linije ili Ethernet) ili bežične (Wi-Fi, mobilne: CDMA, GSM, UMTS, LTE) komunikacione metode. Sigurnosni mehanizmi mogu uključivati: 1) hardver ili softver za podršku VPN-a (i standardne, ugrađene u OS, i treće strane); 2) SSL/TLS (i specifični za određeni model bankomata i od trećih proizvođača); 3) šifrovanje; 4) autentifikaciju poruke.
Međutim, da su za banke navedene tehnologije vrlo složene, te se stoga ne zamaraju posebnom zaštitom mreže; ili ga implementirati sa greškama. U najboljem slučaju, bankomat se povezuje na VPN server, a već unutar privatne mreže povezuje se sa procesnim centrom. Osim toga, čak i ako banke uspiju implementirati gore navedene odbrambene mehanizme, karder već ima učinkovite napade na njih. To. čak i ako je sigurnost u skladu sa PCI DSS standardom, bankomati su i dalje ranjivi.
Jedan od glavnih zahtjeva PCI DSS-a je da svi osjetljivi podaci, kada se prenose preko javne mreže, moraju biti šifrirani. I mi imamo mreže koje su prvobitno dizajnirane na takav način da su podaci u njima potpuno šifrirani! Stoga je primamljivo reći: "Naši podaci su šifrirani jer koristimo Wi-Fi i GSM." Međutim, mnoge od ovih mreža ne pružaju dovoljnu zaštitu. Ćelijske mreže svih generacija odavno su hakovane. Konačan i neopoziv. Čak postoje i dobavljači koji nude uređaje za presretanje podataka koji se prenose preko njih.
Stoga, bilo u nesigurnoj komunikaciji, bilo u "privatnoj" mreži, gdje svaki bankomat emituje o sebi drugim bankomatima, može se pokrenuti MiTM napad "lažnog centra za obradu" - koji će dovesti do toga da operater preuzima kontrolu nad tokovima podataka koji se prenose između bankomata i procesnog centra.
Hiljade bankomata su potencijalno pogođene. Na putu do pravog centra za obradu - karder ubacuje svoj, lažni. Ovaj lažni procesni centar daje instrukcije bankomatu da izda novčanice. Istovremeno, kartičar postavlja svoj procesni centar na način da se podizanje gotovine dešava bez obzira na to koja je kartica ubačena u bankomat – čak i ako je istekla ili ima nulto stanje. Glavna stvar je da ga lažni centar za obradu "prepozna". Lažni procesni centar može biti ili rukotvorina ili simulator centra za obradu, originalno dizajniran za otklanjanje grešaka u mrežnim postavkama (još jedan poklon od „proizvođača“ kartičarima).
Sljedeća slika dump komandi za izdavanje 40 novčanica sa četvrte kasete - poslane iz lažnog procesnog centra i pohranjene u evidenciji softvera bankomata. Izgledaju skoro stvarno.
Izbacite komande lažnog centra za obradu
izvor: www.habr.com