Eisenkästen mit Bargeld, die auf den Straßen der Stadt stehen, ziehen unweigerlich die Aufmerksamkeit von Schnäppchenjägern auf sich. Während in der Vergangenheit physische Methoden zur Leerpumpung von Geldautomaten eingesetzt wurden, kommen nun immer raffiniertere Tricks zum Einsatz, die mit Computern verbunden sind. Derzeit ist eine der relevantesten Techniken die Verwendung eines „Black Boxes“, die einen Einplatinencomputer enthält. In diesem Artikel werden wir besprechen, wie sie funktioniert.

– Die Evolution des ATM-Kardings
– Erste Bekanntschaft mit der „Black Box“
– Analyse der ATM-Kommunikation
– Woher kommen die „Black Boxes“?
– Die „letzte Meile“ und das gefälschte Zahlungszentrum

Leiter der Internationalen Vereinigung der Geldautomatenhersteller (ATMIA) hebt hervor „Black Boxes“ als die gefährlichste Bedrohung für Geldautomaten.

Ein typischer Geldautomat ist ein Set aus bereits fertigen elektromechanischen Komponenten, die in einem Gehäuse untergebracht sind. Die Hersteller von Geldautomaten bauen ihre Geräte aus einer Geldscheinausgabe, Kartenlesern und weiteren Komponenten, die bereits von Drittanbietern entwickelt wurden. Es ist wie ein LEGO-Bausatz für Erwachsene. Die fertigen Komponenten werden in das Gehäuse des Geldautomaten eingebaut, das in der Regel aus zwei Fächern besteht: dem oberen Fach („Kiosk“ oder „Serviceraum“) und dem unteren Fach (Tresor). Alle elektromechanischen Komponenten sind über USB- und COM-Ports mit dem Systemblock verbunden, der in diesem Fall als Host fungiert. In älteren Geldautomatenmodellen findet man zudem Verbindungen über den SDC-Bus.

Die Evolution des Geldautomaten-Kardings

Geldautomaten mit riesigen Bargeldbeständen ziehen immer wieder Kartenbetrüger an. Zunächst nutzten die Betrüger lediglich grobe physische Schwächen in der Sicherung von Geldautomaten – sie setzten Skimmer und Shimmer ein, um Daten von Magnetstreifen zu stehlen; verwendeten gefälschte PIN-Pads und Kameras zur Überwachung von PIN-Codes; und mitunter sogar gefälschte Geldautomaten.

Als dann Geldautomaten mit einheitlicher Software ausgestattet wurden, die nach Standards wie XFS (eXtensions for Financial Services) funktionierte, begannen Betrüger, Geldautomaten mit Computer-Viren anzugreifen.

Unter ihnen Trojan.Skimmer, Backdoor.Win32.Skimer, Ploutus, ATMii und zahlreiche andere benannte sowie unbekannte Malware, die die Betrüger entweder über einen bootfähigen USB-Stick oder über einen TCP-Port für die Fernsteuerung in den Geldautomaten einschleusen.

Der Prozess der Infektion eines Geldautomaten

Durch den Zugriff auf das XFS-Subsystem kann Malware Befehle an das Geldscheinausgabegerät ohne Autorisierung senden. Oder sie kann dem Karteleser Befehle geben: die Magnetspur einer Bankkarte zu lesen/schreiben und sogar die Transaktionshistorie, die auf dem EMV-Chip der Karte gespeichert ist, abzurufen. Besonders bemerkenswert ist das EPP (Encrypting PIN Pad; verschlüsseltes PIN-Datum). Man geht davon aus, dass der PIN-Code, der dort eingegeben wird, nicht abgefangen werden kann. Allerdings erlaubt XFS die Verwendung des EPP-PIN-Pads in zwei Modi: 1) offener Modus (für die Eingabe verschiedener numerischer Parameter, wie zum Beispiel den abzuhebenden Betrag); 2) sicherer Modus (in den das EPP wechselt, wenn der PIN-Code oder der Verschlüsselungsschlüssel eingegeben werden muss). Dieses Merkmal von XFS ermöglicht es einem Carder, einen MiTM-Angriff durchzuführen: Den Befehl zur Aktivierung des sicheren Modus abzufangen, der vom Host an das EPP gesendet wird, und dann dem EPP-PIN-Pad mitzuteilen, dass die Arbeit im offenen Modus fortgesetzt werden soll. Als Antwort auf diese Nachricht sendet das EPP die Tasteneingaben im Klartext.

Funktionsprinzip des „schwarzen Kastens“

In den letzten Jahren, laut den Angaben Europol zufolge haben sich Malware-Angriffe auf Geldautomaten erheblich weiterentwickelt. Betrüger müssen nun nicht mehr physisch auf den Geldautomaten zugreifen, um ihn zu infizieren. Sie können Geldautomaten durch Remote-Netzwerkangriffe über die Unternehmensnetzwerke der Banken kompromittieren. Laut Group IB berichtete, dass im Jahr 2016 in mehr als 10 Ländern Europas Geldautomaten Ziel von Fernangriffen waren.

Angriff auf Geldautomaten über Remotezugang

Antivirussoftware, das Blockieren von Firmware-Updates, das Sperren von USB-Ports und die Verschlüsselung der Festplatte schützen Geldautomaten bis zu einem gewissen Grad vor Virusangriffen durch Betrüger. Aber was, wenn der Betrüger nicht über das Netzwerk angreift, sondern sich direkt an Peripheriegeräte anschließt (über RS232 oder USB) – an den Kartenleser, das PIN-Pad oder das Bargeld-Ausgabegerät?

Erste Begegnung mit dem „schwarzen Kasten“

Heute sind technisch versierte Betrüger genau so unterwegs, unter Verwendung von sogenannten „schwarzen Kisten“ – spezifisch programmierten Einplatinen-Mikrocomputern, ähnlich dem Raspberry Pi. „Schwarze Kisten“ leeren Geldautomaten auf ganz magische (aus der Sicht der Banker) Weise. Carder verbinden ihr magisches Gerät direkt mit dem Geldscheinausgabegerät, um alle verfügbaren Mittel zu extrahieren. Ein solcher Angriff umgeht alle Sicherheitssoftwaremaßnahmen, die auf dem Geldautomaten-Host implementiert sind (Antivirenprogramme, Integritätsprüfungen, vollständige Festplattenverschlüsselung usw.).

„Schwarze Box“ basierend auf Raspberry Pi

Die größten Hersteller von Geldautomaten und staatliche Sicherheitsdienste, die mit mehreren Implementierungen der „schwarzen Box“ konfrontiert sind, Experten von ArchLinux warnen,, dass diese raffinierten Computer die Geldautomaten dazu bringen, alle verfügbaren Bargeldbestände auszuspucken; bis zu 40 Banknoten alle 20 Sekunden. Die Sicherheitsbehörden warnen zudem, dass Carder häufig Geldautomaten in Apotheken und Einkaufszentren ins Visier nehmen; sowie Geldautomaten, die Autofahrern „unterwegs“ dienen.

Um unauffällig zu bleiben, ziehen die vorsichtigsten Carder oft einen wenig wertvollen Partner, einen Mul, zur Hilfe. Um zu verhindern, dass dieser den „schwarzen Kasten“ für sich selbst beansprucht, nutzen sie das folgende Schema. Sie entfernen die Schlüsselkomponenten aus dem „schwarzen Kasten“ und verbinden ein Smartphone, das als Kanal für die Fernübertragung von Befehlen an den reduzierten „schwarzen Kasten“ über das IP-Protokoll dient.

Modifikation des „schwarzen Kastens“, aktiviert über den Fernzugriff

Wie sieht das aus Sicht der Banker aus? Bei den Aufzeichnungen von Überwachungskameras geschieht Folgendes: Eine Person öffnet das obere Fach (Servicebereich), verbindet einen „magischen Kasten“ mit dem Geldautomaten, schließt das obere Fach und verlässt den Ort. Nach einer Weile nähern sich mehrere Personen, die wie normale Kunden aussehen, dem Geldautomaten und heben enorme Geldbeträge ab. Dann kehrt der Angreifer zurück und entfernt sein kleines, magisches Gerät aus dem Geldautomaten. In der Regel wird der Angriff auf den Geldautomaten durch den „schwarzen Kasten“ erst nach einigen Tagen erkannt: Wenn der leere Safe und das Protokoll der Bargeldabhebungen nicht übereinstimmen. In der Folge bleibt den Bankmitarbeitern nur noch den Kopf zu schütteln.

Analyse der Geldautomatkommunikationen

Wie bereits erwähnt, erfolgt die Interaktion zwischen dem System und den Peripheriegeräten über USB, RS232 oder SDC. Der Carder wird direkt an den Port des Peripheriegeräts angeschlossen und sendet ihm Befehle – um den Host herum. Das ist ziemlich einfach, da die Standardinterfaces keine speziellen Treiber benötigen. Proprietäre Protokolle, über die das Peripheriegerät und der Host kommunizieren, erfordern keine Autorisierung (da sich das Gerät innerhalb einer vertrauenswürdigen Zone befindet); deshalb sind diese ungeschützten Protokolle, über die Peripheriegerät und Host interagieren, leicht abhörbar und anfällig für Replay-Angriffe.

So können Kartenbetrüger einen Software- oder Hardware-Traffic-Analyzer verwenden, indem sie ihn direkt an den Anschluss eines bestimmten Peripheriegeräts (z. B. an einen Kartenleser) anschließen, um die übertragenen Daten zu sammeln. Mit einem Traffic-Analyzer erfährt der Betrüger alle technischen Details der Funktionsweise eines Geldautomaten, einschließlich undocumented Funktionen der Peripherie (zum Beispiel die Funktion, die Firmware des Peripheriegeräts zu ändern). Infolgedessen erhält der Betrüger die vollständige Kontrolle über den Geldautomaten. Dabei ist es ziemlich schwierig, das Vorhandensein eines Traffic-Analyzers zu erkennen.

Direkte Kontrolle über das Geldautomatenausgabegerät bedeutet, dass die Geldautomatenkartuschen ohne jegliche Protokollierung in den Logs, die normalerweise von der auf dem Host installierten Software erstellt werden, entleert werden können. Für diejenigen, die mit der Software-Hardware-Architektur eines Geldautomaten nicht vertraut sind, kann das wirklich wie Magie erscheinen.

Wo kommen die "schwarzen Kisten" her?

Geldautomatensystemanbieter und Auftragnehmer entwickeln Debugging-Tools zur Diagnose der Hardware von Geldautomaten, einschließlich der elektromechanischen Komponenten, die für die Bargeldabhebung verantwortlich sind. Zu diesen Tools gehören: ATMDesk, RapidFire ATM XFS. Im folgenden Bild sind einige weitere dieser diagnostischen Tools dargestellt.

Steuerungspanel ATMDesk

Steuerungspanel RapidFire ATM XFS

Vergleichsdaten mehrerer diagnostischer Tools

Der Zugang zu solchen Tools ist in der Regel durch personalisierte Tokens eingeschränkt und sie funktionieren nur bei geöffnetem Geldautomatenschrank. Durch die einfache Änderung einiger Bytes im Binärcode des Tools können jedoch Kartenleser „testen“ die Bargeldabhebung – und damit die vom Hersteller vorgesehenen Prüfungen umgehen. Diese Kartenleser installieren solche modifizierten Tools auf ihrem Laptop oder Einplatinen-Computern, die dann direkt mit dem Geldscheinausgabe-Gerät verbunden werden, um unbefugtes Bargeld abzuheben.

„Letzte Meile“ und gefälschte Verarbeitungseinheit

Direkter Kontakt zu Peripheriegeräten, ohne mit dem Host zu kommunizieren, ist nur eine der effektiven Methoden des Carding. Andere Techniken basieren darauf, dass wir eine Vielzahl von Netzwerkschnittstellen haben, über die der Geldautomat mit der Außenwelt verbunden ist. Von X.25 bis Ethernet und Mobilfunk. Viele Geldautomaten können über den Shodan-Dienst identifiziert und lokalisiert werden (eine prägnante Anleitung zu seiner Verwendung finden Sie hier), – gefolgt von einem Angriff, der auf einer anfälligen Sicherheitskonfiguration, der Nachlässigkeit des Administrators und anfälligen Kommunikationen zwischen verschiedenen Abteilungen der Bank beruht.

Die „letzte Meile“ der Verbindung zwischen einem Geldautomaten und dem Rechenzentrum ist reich an unterschiedlichsten Technologien, die als Einstiegspunkt für Kartendiebe dienen können. Die Interaktion kann über kabelgebundene (Telefonleitung oder Ethernet) oder drahtlose (Wi-Fi, Mobilfunk: CDMA, GSM, UMTS, LTE) Kommunikationswege erfolgen. Sicherheitsmechanismen können Folgendes umfassen: 1) Hardware- oder Softwaremittel zur Unterstützung von VPN (sowohl standardisierte integrierte Lösungen des Betriebssystems als auch von Drittanbietern); 2) SSL/TLS (sowohl spezifisch für bestimmte Geldautomatenmodelle als auch von Drittanbietern); 3) Verschlüsselung; 4) Nachrichten-Authentifizierung.

Allerdings ähnlich, dass die genannten Technologien für Banken sehr komplex erscheinen und sie sich daher nicht die Mühe einer speziellen Netzwerksicherheit machen; oder diese fehlerhaft umsetzen. Im besten Fall stellt der Geldautomat eine Verbindung zu einem VPN-Server her und verbindet sich dann innerhalb des privaten Netzwerks mit dem Zahlungsdienstleister. Darüber hinaus, selbst wenn es den Banken gelingt, die oben genannten Sicherheitsmechanismen umzusetzen, hat ein Carder bereits effektive Angriffe gegen diese. Daher bleiben Geldautomaten selbst dann anfällig, wenn die Sicherheit den PCI DSS-Standards entspricht.

Eine der grundlegenden Anforderungen der PCI DSS: Alle sensiblen Daten, die über ein öffentliches Netzwerk übertragen werden, müssen verschlüsselt werden. Und wir verfügen tatsächlich über Netzwerke, die von vornherein so konzipiert sind, dass die Daten vollständig verschlüsselt sind! Daher gibt es den Anreiz zu sagen: 'Unsere Daten sind verschlüsselt, weil wir Wi-Fi und GSM nutzen'. Allerdings bieten viele dieser Netzwerke nicht den notwendigen Schutz. Mobilfunknetze aller Generationen sind bereits seit langem gehackt. Endgültig und unwiderruflich. Und es gibt sogar Anbieter, die Geräte zur Abfangung der über sie übertragenen Daten anbieten.

Deshalb kann entweder in unsicheren Kommunikationen oder in einem 'privaten' Netzwerk, in dem jeder Geldautomat über sich selbst an andere Geldautomaten informiert, ein MiTM-Angriff 'falsches Verarbeitungszentrum' initiiert werden, bei dem der Kriminelle die Kontrolle über die Datenströme übernimmt, die zwischen dem Geldautomaten und dem Verarbeitungszentrum übertragen werden.

Solche MiTM-Angriffe Potenziell sind Tausende von Geldautomaten betroffen. Auf dem Weg zu einem echten Zahlungsabwicklungszentrum setzt ein Skimmer seine gefälschte Software ein. Dieses gefälschte Zahlungsabwicklungszentrum gibt dem Geldautomaten die Anweisungen zur Ausgabe von Banknoten. Dabei konfiguriert der Skimmer sein Zahlungsabwicklungszentrum so, dass die Bargeldausgabe unabhängig davon erfolgt, welche Karte in den Geldautomaten gesteckt wird – selbst wenn sie abgelaufen ist oder ein Nullsaldo aufweist. Das Hauptaugenmerk liegt darauf, dass das gefälschte Zahlungsabwicklungszentrum die Karte „erkennst“. Als gefälschtes Zahlungsabwicklungszentrum kann entweder eine grobe Nachahmung oder ein Simulationsprogramm gelten, das ursprünglich zur Fehlersuche in Netzwerkeinstellungen entwickelt wurde (ein weiteres Geschenk des „Herstellers“ an Skimmer).

Im nächsten Abbildung angegeben Dump der Befehle zur Ausgabe von 40 Banknoten aus dem vierten Fach – gesendet von dem gefälschten Zahlungsabwicklungszentrum und in den Protokollen der ATM-Software gespeichert. Sie sehen fast wie echte aus.

Dump der Befehle des gefälschten Zahlungsabwicklungszentrums

Quelle: habr.com