Linnas asuvad metallkarbid rahaahnuse rahaga ei saa jätta mõjutamata kiire kasumi otsijate tähelepanu. Ja kui varem kasutati automaatide tühjendamiseks puhtalt füüsilisi meetodeid, siis nüüd kasutavad nad järjest leidlikumaid trikke, mis on seotud arvutitega. Praegu on kõige aktuaalsem neist - "must kast", kus sees on ühte platvormi microkompuuter. Kuidas see töötab, sellest me selles artiklis räägime.

– Automaatide karteerimise evolutsioon
– Esimene kokkupuude "mustaga kastiga"
– Automaatide kommunikatsioonide analüüs
– Kust tulevad "mustad kastid"?
– "Viimane miil" ja vale töötlemiskeskus

Rahvusvahelise automaatide tootjate assotsiatsiooni (ATMIA) juht toetab "Mustad kastid" kui kõige ohtlikum oht automaatidele.

Tüüpiline automaat on kogum juba valmis elektromehaanilistest komponentidest, mis on paigutatud ühte korpusesse. Automaatide tootjad ehitavad oma metallist loomingu väljaandme seadme, kaardilugeja ja teiste komponentide põhjal, mis on juba väljatöötatud kolmandate osapoolte tarnijate poolt. Just nagu LEGO ehitussüsteem täiskasvanuile. Valmis komponendid paigutatakse automaadi korpusesse, mis koosneb tavaliselt kahest kambrist: ülemisest kambrist ("kontor" või "teenindusala") ja alumisest kambrist (seif). Kõik elektromehaanilised komponendid on ühendatud USB ja COM portide kaudu süsteemiplokiga, mis toimib antud juhul hostina. Vanemates automaatide mudelites võib samuti leida ühendusi SDC bussiga.

Automaatide karteerimise evolutsioon

Suurte summaautomaatidega automaadid meelitavad pidevalt kaarditöötlejaid. Alguses kasutasid kaarditöötlejad vaid automaatide kaitses esinevaid suuri füüsilisi puudusi - kasutasid andmete varastamiseks sükleme ja sünkromakke; vale PIN-pad'i ja kaameraid PIN-koodide vaatamiseks; ning isegi valeautomaatide valmistamise.

Seejärel, kui automaadid hakkasid olema varustatud ühtse tarkvaraga, mis töötas ühtsete standardite, nagu XFS (eXtensions for Financial Services) alusel, hakkasid kaarditöötlejad ründama automate arvutiviirustega.

Nende seas on Trojan.Skimmer, Backdoor.Win32.Skimer, Ploutus, ATMii ja teised arvukad nimetatud ja nimetud pahavara, mida kaarditöötlejad panevad automaadi hostisse kas buutimisflashi või kaugjuhtimisse TCP-pordi kaudu.

Automaatide nakatamise protsess

XFS-alamsüsteemi haarates saab pahavaraga saata käsklusi sularaha väljastamise seadmele ilma autoriseerimiseta. Või saata käske kaardilugejale: lugeda/kirjutada pangakaardi magnetlinti ning isegi hankida ametlikku teavet tehingute kohta, mis on talletatud EMV-kaardi kiibis. Eriti tähelepanuväärne on EPP (Encrypting PIN Pad; krüpteeritud PIN-pad). Usutakse, et sellel sisestatud PIN-koodi ei saa pealetungija läbi näha. Kuid XFS võimaldab kasutada EPP-pinnpada kahes režiimis: 1) avatud režiim (erinevate numbriliste parameetrite, nagu välja makstav summa, sisestamiseks); 2) turvarežiim (sellesse EPP lülitub, kui tuleb sisestada PIN-kood või krüpteerimise võti). See XFS omadus võimaldab ründajal teostada MiTM-rünnakut: püüdes kinni turvarežiimi aktiveerimise käsu, mis saadetakse hostilt EPP-le, ning seejärel teatada EPP-le, et tööd tuleks jätkata avatud režiimis. Vastuseks sellele teatele saadab EPP klahvivajutuste andmed selges tekstis.

Must kasti toimimise põhimõte

Viimastel aastatel, Europol'i andmetel on automaatide pahavara oluliselt arenenud. Ründajatel ei ole enam tingimata vaja automaadile füüsiliselt juurde pääseda, et seda nakatada. Nad saavad automaatide nakatamiseks kasutada kaugvõrgu rünnakuid, kasutades selleks panga ettevõtte võrku. Group IB teatas, et 2016. aastal oli üle 10 Euroopa riigi automaatidele tehtud kaugloomingulisi rünnakuid. Andmete kohaselt Automaatide kaugjuurdepääsu rünnak

Viirusetõrje, tarkvara värskendamise blokeerimine, USB-portide blokeerimine ja kõvakettate krüpteerimine – kaitsevad automaati karjääri rünnakute eest teatud määral. Aga mis juhtub, kui ründaja ei rünnata hosti, vaid ühendab otse periferia seadmetega (RS232 või USB kaudu) – kaardilugeja, PIN-pad või sularaha väljastamise seadmega?

Esimene kohtumine musta kastiga

Täna on tehniliselt teadlikud ründajad

kasu saavad just sellisest lähenemisest tulevad just nii, kasutades sularaha võtmiseks ATM-idest nn «mustade karpide» abil, - spetsiifiliselt programmeeritud üheplaadiga arvutid, sarnased Raspberry Pi-le. «Mustad karbid» tühjendavad ATM-id täielikult, täiesti maagilisel (panganduse vaatepunktist) viisil. Kaardid ühendavad oma maagilise seadme otse sularaha väljastamise seadmega, et välja võtta kõik seal olev raha. Selline rünnak toimib kõigi ATM-i hostis rakendatud tarkvarakaitsemeetmete (viirusetõrje, terviklikkuse kontroll, täielik seadme krüptimine jne) mööda.

«Must karp» Raspberry Pi baasil

Suuremad ATM-i tootjad ja valitsuse eriteenistused, silmitsi seistes mitmete «mustade karpide» teostustega, hoiatatakse, et need nutikad arvutid sunnivad ATM-e välja andma kogu kergesti kätte saadavat sularaha; 40 rahatähte iga 20 sekundi jooksul. Samuti hoiatavad asutused, et kaardid sihivad kõige sagedamini apteekides, kaubanduskeskustes asuvaid ATM-e; samuti ATM-e, mis teenindavad autode kasutajaid «liikvel olles».

Samuti, et mitte kaamerate ees silma paista, võtavad kõige ettevaatlikumad kaardid appi mõne mitte liiga väärtusliku partneri, muuli. Ja et viimane ei saaks «mustat karpi» endale võtta, kasutatakse järgmist skeemi. Eemaldavad «mustast karbist» võtmefunktsionaalsuse ja ühendavad sellega nutitelefoni, mida kasutatakse vähendatud «musta karbi» kaugjuhtimise käsu edastamise kanalina IP-protokolli kaudu.

Muudetud «must karp», mis aktiveeritakse kaug juurdepääsu kaudu

Kuidas see panganduse vaatepunktist välja näeb? Videokaamerate talletatud salvestustes toimub järgmist: isik avab ülemise sektsiooni (teenindusala), ühendab ATM-iga «maagilise karbi», sulgeb ülemise sektsiooni ja lahkub. Veidi aja pärast läheneb rikka summa raha võtmiseks mitu inimest, kes näivad olevat tavalised kliendid. Seejärel naaseb kaart ja eemaldab ATM-ist oma väikese maagilise seadme. Tavaliselt avastatakse ATM-i rünnakud «mustade karpidega» alles pärast paari päeva: kui tühi seif ja sularaha eemaldamise ajakiri ei kattu. Tulemuseks on, et pangatöötajatel jääb vaid pead kratsida.

ATM-i kommunikatsioonide analüüs

Nagu mainitud, toimub suhtlus süsteemiüksuse ja välisseadmete vahel läbi USB, RS232 või SDC. Kaardilugeja on otse ühendatud välisseadmepordiga ja saadab sellele käsklusi – hosti vältides. See on üsna lihtne, sest standardliidesed ei vaja spetsiifilisi draivereid. Omaniku protokollid, mille kaudu välisseade ja host suhtlevad, ei nõua autoriseerimist (lõppude lõpuks asub seade usaldusväärses tsoonis); seega, neid kaitsmata protokolle, mille kaudu välisseade ja host suhtlevad, on kerge pealt kuulata ja need on kaitsetud taaskasutamise rünnakute vastu.

Seega saavad kaardilugejad kasutada tarkvara- või riistvaralisi liiklusanalyte, ühendades selle otse konkreetse välisseadmepordi (näiteks kaardilugeja) külge – andmete kogumiseks. Liiklusanalyti kasutades saab kaardilugeja teada kõik tehnilised detailid pangatähtede automaadi töö kohta, sealhulgas dokumenteerimata funktsioonid selle välisseadmetes (nt välisseadmepäritolu tarkvara muutmine). Tulemusena saadakse täielik kontroll pangatähtede automaadi üle. Samas on avastada liiklusanalyti olemasolu üsna keeruline.

Otsene kontroll sularaha väljastamise seadme üle tähendab, et pangatähtede automaadi kassette – saab tühjendada ilma logiraamatutesse märke tegemata, mille tavapäraselt teeb hosti peal töötav tarkvara. Neile, kes pole tuttavad pangatähtede automaatide tarkvara- ja riistvaraarhitektuuriga, võib see tõesti välja näha nagu maagia.

Kust tulevad "mustad kastid"?

Pangatähtede automaatide ja alltöövõtjate tootjad töötavad välja tõrkeotsingu tööriistu pangatähtede automaadi riistvarakomponentide diagnoosimiseks, – sealhulgas elektromehaanika, mis vastutab sularaha väljastamise eest. Selliste tööriistade seas on: ATMDesk, RapidFire ATM XFS. Alloleval joonisel on esitatud veel mõned sellised diagnostilised tööriistad.

ATMDesk juhtpaneel

RapidFire ATM XFS juhtpaneel

Mitme diagnostilise tööriista võrdlused

Sarnaste tööriistade juurdepääs on tavaliselt piiratud personaliseeritud tokenitega; ja nad töötavad ainult avatud pankade automaadi seifi uuega. Kuid lihtsalt asendades tööriistade binaarsetes koodides mõned baitid, saavad kaardilugejad kasutada sama nime Kätevas withdrawali testimine – tootja töötlustarkvara ettenähtud kontrollidest mööda minnes. Kardiid paigaldavad sellised modifitseeritud töötlustarkvarad oma sülearvutisse või üheplaadi minikomputerisse, mis seejärel ühendatakse otse sularahaautomaatidega, et mittenähtavalt raha välja võtta.

„Viimane miil” ja valeprotsesside keskus

Otsene suhtlemine periferiaalsete seadmete kaudu, ilma hostiga suhtlemata – see on vaid üks tõhus kardi reeglitest. Teised meetodid tuginevad sellele, et olemas on mitmesugused võrguliidesed, mille kaudu sularahaautomaat suhtleb välismaailmaga. Alates X.25-st kuni Ethernet'i ja mobiilside. Paljusid sularahaautomaate saab identifitseerida ja lokaliseerida Shodan teenuse kaudu (lihtsaim kasutusjuhend leiate siin), – järgnev rünnak, mis suunab haavatava turvakonfiguratsiooni, administraatori laiskuse ja erinevate pangaosakondade vahelise haavatava suhtluse.

„Viimane miil” sularahaautomaatide ja protsesside keskuse vahel on täis mitmesuguseid tehnoloogiaid, mis võivad olla kardi sisestamise punktiks. Suhtlemine võib toimuda kas juhtmega (telefoniliin või Ethernet) või juhtmevabalt (Wi-Fi, mobiilside: CDMA, GSM, UMTS, LTE). Turvameetmed võivad sisaldada: 1) riistvaralisi või tarkvaralisi lahendusi VPN-i toetamiseks (nii standardseid kui ka kolmandate osapoolte lahendusi); 2) SSL/TLS (nii konkreetsete sularahaautomaadi mudelite kui ka kolmandate osapoolte lahenduste jaoks); 3) krüptimine; 4) sõnumite autentimine.

analüüs tundub, et pankade jaoks tunduvad loetletud tehnoloogiad väga keerulised ja seetõttu nad ei pinguta spetsiaalse võrgu turvalisuse saavutamise nimel; või rakendavad selle valesti. Parimal juhul suudab sularahaautomaat luua ühenduse VPN-serveriga ja juba privaatvõrgus - siseneda protsesside keskusse. Lisaks, isegi kui pangad suudavad eeltoodud turvameetmeid rakendada, on kardiil juba olemas tõhusad rünnakud nende vastu. Seega, isegi kui turvalisus vastab PCI DSS standardile, jäävad sularahaautomaadid siiski haavatavaks.

Üks PCI DSS-i põhitingimustest on, et kõik konfidentsiaalsed andmed, kui need edastatakse avaliku võrgu kaudu, peavad olema krüpteeritud. Ja tõepoolest on meil võrke, mis on algselt loodud nii, et andmed on täielikult krüpteeritud! Seega on ahvatlev öelda: "Meie andmed on krüpteeritud, kuna kasutame Wi-Fi ja GSM-i." Kuid paljud neist võrkudest ei paku piisavat kaitset. Kõikide põlvkondade mobiilivõrgud on juba ammu häkitud. Lõplikult ja pöördumatult. Ja isegi on olemas teenusepakkujad, kes pakuvad seadmeid edastatavate andmete pealtkuulamiseks.

Seega võib kas ebaturvalises kommunikatsioonis või „privaatvõrgus“, kus iga sularahaautomaat nende vahel omavahel infot jagab, alustada MiTM-rünnakut „vale töötlemiskeskus“, – mis viib selleni, et ründaja saab kontrolli sularahaautomaadi ja töötlemiskeskuse vahel edastatavate andmete üle.

Sellised MiTM-rünnakud on potentsiaalselt ohustatud tuhanded sularahaautomaadid. Tõelise töötlemiskeskuse teele lisab ründaja oma vale. See vale töötlemiskeskus annab sularahaautomaadile käsklusi sularaha väljastamiseks. Ründaja seadistab oma töötlemiskeskuse nii, et sularaha väljastatakse sõltumata sellest, milline kaart on sularahaautomaati sisestatud – isegi kui selle kehtivusaeg on lõppenud või saldo on null. Peamine on, et vale töötlemiskeskus "teaks" seda. Vale töötlemiskeskus võib olla kas käsitsi valmistatud seade või töötlemiskeskuse simulaator, mis on algselt välja töötatud võrgu seadete tõrkeotsimiseks (veel üks "tootja" kingitus ründajatele).

Järgmises joonises on viidud on 40 pangatähe väljastamise käskude dump neljandast kassettist, – saadetud vale töötlemiskeskusest ja salvestatud sularahaautomaatide tarkvaralistes päevikutes. Need näevad välja peaaegu nagu ehtsad.

Vale töötlemiskeskuse käskude dump

Allikas: habr.com