Linnatänavatel seisvad rauast rahaautomaatide kastid tõmbavad kindlasti tähelepanu kiire kasumi otsijatele. Ja kui varasemalt kasutati sularahaautomaatide tühjendamiseks ainult füüsilisi meetodeid, siis nüüd kasutatakse üha oskuslikumaid trikke, mis on seotud arvutitega. Praegu on kõige aktuaalsem neist - „must kast“ üheplaadise mikroarvutiga sees. Räägime selles artiklis, kuidas see töötab.

– Sularahaautomaadi kaardistamise evolutsioon
– Esimene tutvumine „mustaga kastiga“
– Sularahaautomaatide kommunikatsioonide analüüs
– Kust tulevad „mustad kastid“?
– „Viimane miil“ ja vale töötlemiskeskus

Rahvusvaheline sularahaautomaatide tootjate assotsiatsiooni (ATMIA) juht tõi esile „mustad kastid“ kui kõige ohtlikum oht sularahaautomaatidele.

Tüüpiline sularahaautomaat on komplekt juba olemasolevatest elektromehaanilistest komponentidest, mis on paigutatud ühte korpusesse. Sularahaautomaatide tootjad ehitavad oma terasest loomingud rahatootmise seadme, kaardilugeja ja teiste komponentide põhjal, mis on juba väljatöötatud kolmandate osapoolte tarnijate poolt. Selleks on nagu LEGO komplekt täiskasvanutele. Valmis komponendid paigutatakse sularahaautomaadi korpusesse, mis koosneb tavaliselt kahest kambrist: ülemisest kambrist („kabinett” või „teenindusala”) ja alumisest kambrist (seif). Kõik elektromehaanilised komponendid on ühendatud USB ja COM-portide kaudu arvutiboksi, mis toimib sel juhul hostina. Vanemates sularahaautomaatide mudelites võib leida ühendusi ka SDC-bussi kaudu.

Sularahaautomaatide kaardivarguste evolutsioon

Sularahaautomaatides, kus on tohutud summad sees, ahvatlevad nad pidevalt kaardivargusi enda poole. Algselt kasutasid kaardivargad vaid sularahaautomaatide füüsilisi turvaauke – kasutasid sskimereid ja shimmer'eid andmete varastamiseks magnetlintidelt; vale PIN-pad'e ja kaameraid PIN-koodide jälgimiseks; ning isegi vale sularahaautomaatide koopiaid.

Kui automatiseeritud pangateenused hakkasid kasutama ühtset tarkvara, mis töötab vastavalt ühtsetele standarditele, nagu XFS (eXtensions for Financial Services), alustasid kaardivargad automaatide ründamist arvutiviirustega.

Nende hulgas on Trojan.Skimmer, Backdoor.Win32.Skimer, Ploutus, ATMii ja palju teisi nimega ja nimetud pahavarasid, mida kaardivargad installeerivad automaadi hostile kas käivitatava flash-mälupulga või kaugjuhtimise TCP-porti kaudu.

Automaatide nakatamise protsess

XFS-alamuse haarates, võib pahavara anda käske sularahaseadmest ilma autoriseerimiseta. Või anda käske kaardilugejale: lugeda/kirjutada pangakaardi magnetlinti ja isegi välja võtta EMV-kaardi kiibil säilitatud tehinguajalugu. Eriti tähelepanu väärib EPP (šifreeritud PIN-pad). Arvatakse, et sinna sisestatud PIN-koodi ei saa pealt kuulata. Kuid XFS võimaldab kasutada EPP PIN-padi kahes režiimis: 1) avatud režiim (erinevate arvuliste parameetrite, näiteks sularaha summa tippimiseks); 2) turvarežiim (EPP lülitub sellesse, kui tuleb sisestada PIN-kood või šifreerimisvõti). See omadus lubab XFS-il karderil teostada MiTM-rünnakut: tabada turvarežiimi aktiveerimise käsku, mis saadetakse hostilt EPP-le, ja seejärel teavitada EPP PIN-padi, et tööd tuleks jätkata avatud režiimis. Vastuseks sellele sõnumile saadab EPP klahvivajutused avatud tekstina.

Must boxi tööpõhimõte

Viimastel aastatel, andmete kohaselt Euroopas on automaatide ründajad oluliselt arenenud. Kaardiröövli jaoks ei ole enam vajalik automaadile füüsiliselt ligipääs, et seda nakatada. Nad saavad automaate nakatada kaugjuhtimisega rünnakute kaudu, kasutades selleks panga ettevõtte nõrku võrguühendusi. Portworxi ja Aqua Security uuringu andmetel Group IB andmetel toimusid 2016. aastal enam kui 10 Euroopa riigis automaatide kaugjuhtimise rünnakud.

Rünnak automaadile kaugjuhtimise kaudu

Antiviirused, pühendatud tarkvarauuenduste blokeerimine, USB-portide blokeerimine ja kõvaketta krüpteerimine kaitsevad automaati teatud määral kaardiröövlite viirusrünnakute eest. Kuid mis juhtub, kui kaardiröövel ei ründa kaugelt, vaid ühendub otse perifeeriaga (kasutades RS232 või USB-d) — kaardilugejaga, PIN-koodide sisestamisseadmest või raha väljastamise seadmetest?

Esimene kohtumine „mustaga kastiga“

Täna on tehniliselt osavad kaardiröövlid leiavad tee just selliselt, kasutades sularahaautomaatide raiskamiseks nn „mustade karbikeste” - spetsiaalselt programmeeritud ühesilmuslikke mikrokontrollerite, sarnaseid Raspberry Pi-le. „Mustad karbikesed” tühjendavad sularahaautosid täielikult, täiesti maagilisel (pangandustöötajate seisukohalt) viisil. Kooderid ühendavad oma maagilise seadme otse sularahaautomaatide sularaha väljastamise seadmega, et välja võtta kõiki seal olevaid raha. Selline rünnak toimib mööda kõigist tarkvaralistest kaitsemeetmetest, mis on sularahaautomaatide hostis paigaldatud (antiviirused, terviklikkuse kontroll, täielik kettakrüpteerimine jne).

Raspberry Pi-põhine „must karbike”

Suurimad sularahaautomaatide tootjad ja valitsuse eriteenistused, seistes silmitsi mitmete „mustade karbikeste” rakendustega, hoiatasid, et need osavad arvutid sunnivad sularahaautosid kõiki saadaolevaid sularahi välja viskama; 40 pangatäit iga 20 sekundi järel. Samuti hoiatavad eriteenistused, et kooderid sihtivad kõige sagedamini sularahaautosid apteekides, kaubanduskeskustes; samuti ka sularahaautosid, mis teenindavad autojuhte „liikumisel”.

Selleks, et mitte kaamerate ees silma paista, võtavad ettevaatlikumad kaardid endale abiks mõne mitte liiga väärtusliku partneri, mulla. Ja et see ei saaks "mustat kasti" endale omaks, kasutatakse järgmist skeemi. Eemaldatakse "mustast kastist" olulised funktsioonid ja ühendatakse selle külge nutitelefon, mida kasutatakse kaugjuhtimiskanalina kärbitud "mustale kastile" IP-protokolli kaudu.

Muudetud "must kast", mille aktiveerimine toimub kaugjuhtimise teel

Kuidas see panganduse seisukohalt välja näeb? Kaamerad jäädvustavad järgmist: keegi avab ülemise sektsiooni (teenindusala), ühendab automaadiga "maagia kasti", sulgeb ülemise sektsiooni ja lahkub. Mõne aja pärast läheneb kümneid inimesi, kes näevad välja nagu tavalised kliendid, automaadile ning võtavad välja suuri rahasummasid. Seejärel naaseb kaardihacker ja eemaldab automaadist oma väikese maagilise seadme. Tavaliselt avastatakse automaadi "must kasti" rünnaku fakt alles paar päeva hiljem: kui tühi seif ja sularahajournal ei kattu. Tulemusena jääb pangatöötajatele ainult pead sügada.

Automaatide suhtluse analüüs

Nagu juba eespool mainitud, toimub süsteemibloki ja perifeersete seadmete vahel suhtlemine USB, RS232 või SDC kaudu. Kaardilugeja on otse ühendatud perifeerse seadme pordiga ja saadab sellele käske – mööda hosti. See on üsna lihtne, kuna standardliidesed ei nõua erilisi draivereid. Proprieetari protokollid, mille alusel perifeeria ja host suhtlevad, ei vaja autoriseerimist (sest seade asub usaldusväärses tsoonis); seetõttu on need kaitsmata protokollid, mille alusel perifeeria ja host suhtlevad, kergesti jälgitavad ja kergesti allutatavad kordusrünnakutele.

Seega saavad kaardilugejad kasutada kas tarkvara- või riistvaralise võrguanalüsaatorit, ühendades selle otse konkreetse perifeerse seadme (nt kaardilugeja) pordiga, et koguda edastatavaid andmeid. Kasutades võrguanalüsaatorit, saab kaardilugeja teada kõik tehnilised üksikasjad automaadist, sealhulgas dokumenteerimata perifeerse seadme funktsioonid (näiteks perifeerse seadme püsivara muutmise funktsioon). Tulemuseks on, et kaardilugejal on automatiseeritud seadme täielik kontroll. Samuti on võrguanalüsaatori kohaloleku tuvastamine üsna keeruline.

Otsene kontroll sularahaautomaatide seadmete üle tähendab, et automaatide kassette saab tühjendada ilma igasuguste logide salvestamiseta, mida tavaliselt salvestab hostitud tarkvara. See võib tõeliselt tunduda nagu maagia neile, kes ei ole tuttavad automaadi tarkvara- ja riistvaraarhitektuuriga.

Kust tulevad "mustad kastid"?

ATM-i tarnijad ja alltöövõtjad arendavad seadmete tõrkeotsingu tööriistu, et diagnoosida sularahaautomaatide riistvara, sealhulgas mehhaanika, mis vastutab sularaha väljastamise eest. Nende tööriistade hulka kuuluvad: ATMDesk, RapidFire ATM XFS. Alloleval joonisel on kujutatud veel mitmeid selliseid diagnostikatööriistu.

ATMDesk töölaud

RapidFire ATM XFS töölaud

Mitmete diagnostikatööriistade võrdlusnäitajad

Sellistele tööriistadele juurdepääs on tavaliselt piiratud isikustatud tokenitega; lisaks töötavad need ainult siis, kui sularahaautomaadi seif on avatud. Siiski, vahetades binaarkoodis tööriistas paar bitti, saavad kaardiröövlid „katsetada“ sularaha väljastamist – vältides tootja ettenähtud kontrolle. Kaardiröövlid installivad sellised muudetud tööriistad oma sülearvutisse või ühesilindrilisse mikrokontrollerisse, mille nad seejärel ühendavad otse sularaha väljastamise seadmega, et ebaseaduslikult raha välja võtta. «test» sularaha väljavõttmiseks – tootja ette nähtud kontrollide möödauplamiseks. Kaardihaldurid installivad sellised muudetud utiliidid oma sülearvutisse või ühearvutisse, misjärel ühendavad need otse rahatootmise seadmega, et mitteautorisatsiooni korras sularaha välja võtta.

„Viimane miil“ ja valeprotsesside keskus

Otsene suhtlemine periferiaalsete seadmetega, ilma hostiga suhtlemiseta, on vaid üks tõhus karteerimise meetoditest. Teised meetodid tuginevad sellele, et meil on lai valik võrguliideseid, mille kaudu automaat teller suhtleb välismaailmaga. Alates X.25-st kuni Etherneti ja mobiilsidega. Paljusid automaat tellerite saab tuvastada ja lokaliseerida Shodani teenuse kaudu (selle kasutamise kõige lühem juhend on esitatud siit), – millele järgneb rünnak, mis eksisteerib haavatava turvakonfiguratsiooni, administraatori laiskuse ja pankade erinevate osakondade vaheliste haavatavate kommunikatsioonide peal.

Panga olemasolevat pilti bankomaatide ja töötlemiskeskuste vahel, mis hõlmavad mitmesuguseid tehnoloogiaid, mis võivad olla sissetungi punktiks kaardilugejale. Koostöö võib toimuda juhtmega (telefoniliin või Ethernet) või traadita (Wi-Fi, mobiilside: CDMA, GSM, UMTS, LTE) ühenduse kaudu. Turvamehhanismid võivad sisaldada: 1) riistvaralisi või tarkvaralisi vahendeid VPN-i toetamiseks (nii standardseid, operatsioonisüsteemidesse sisseehitatud kui ka kolmanda osapoole tarnijaid); 2) SSL/TLS (nii konkreetsete pangakettide mudelite jaoks kui ka kolmandate osapoolte tootjate jaoks); 3) krüpteerimist; 4) sõnumite autentimist.

Kuid tundub, et pangand jääb mulje, nagu oleksid nimetatud tehnoloogiad pankade jaoks ülimalt keerulised, mistõttu ei panusta nad nendele spetsiaalsele võrgu kaitsele; kas nad rakendavad seda vigadega. Parimal juhul suhtleb automaat VPN-serveriga ja seejärel ühendub privaatvõrgus töötades maksekeskusega. Lisaks, isegi kui pankadel õnnestub rakendada eelpool nimetatud kaitsemehhanisme, siis kardijal on nende vastu juba tõhusad rünnakud. Seetõttu, isegi kui turvalisus vastab PCI DSS standardile, jäävad automaadid endiselt haavatavaks.

Üks peamisi PCI DSS nõudeid: kõik konfidentsiaalsed andmed, kui need edastatakse avaliku võrgu kaudu, peavad olema krüpteeritud. Ja meil on tõepoolest võrke, mis on algselt loodud nii, et andmed on täielikult krüpteeritud! Seetõttu on kiusatus öelda: 'Meie andmed on krüpteeritud, kuna kasutame Wi-Fi ja GSM-i'. Siiski ei paku paljud neist võrkudest piisavat kaitset. Kõikide põlvkondade mobiilivõrgud on juba ammu häkitud. Lõplikult ja pöördumatult. On isegi teenusepakkujaid, kes pakuvad seadmeid nende kaudu edastatavate andmete pealtkuulamiseks.

Seetõttu võib MiTM-rünnak 'vale töötlemiskeskus' aset leida kas ebaturvalises suhtluses või 'privaatvõrgus', kus iga sularahaautomaadi kohta teavitavad teised sularahaautomaadid, mis toob kaasa selle, et ründaja haarab kontrolli andmevoogude üle, mis liiguvad sularahaautomaadi ja töötlemiskeskuse vahel.

Selliste MiTM-rünnakute potentsiaalselt on ohus tuhanded automaadid. Tee tõelise töötlemiskeskuse poole – kaardihacker sisESTAB oma vale. See vale töötlemiskeskus annab automaadile käsku rahade väljaandmiseks. Samal ajal seadistab kaardihacker oma töötlemiskeskuse nii, et sularaha väljastatakse sõltumata sellest, millisest kaardist automaadis on – isegi kui see on aegunud või sellel on nullsaldo. Peaasi on, et vale töötlemiskeskus "tunneb" selle ära. Vale töötlemiskeskus võib olla kas käsitöötoode või töötlemiskeskuse simulaator, mis on algselt loodud võrgukonfiguratsioonide testimiseks (veel üks "tootja" kingitus kaardihackeritele).

Järgmisel joonisel on esitatud 40 pangatähe väljastamise käsu dump neljandast kassettist, – saadetud vale töötlemiskeskusest ja salvestatud ATM-tarkvara logides. Need näevad välja peaaegu nagu ehtsad.

Vale töötlemiskeskuse käsu dump

Allikas: habr.com