As caixas de ferro con cartos de pé nas rúas da cidade non poden deixar de atraer a atención dos amantes do diñeiro rápido. E se antes se utilizaban métodos puramente físicos para baleirar os caixeiros automáticos, agora utilízanse cada vez máis habilidosos trucos relacionados coa informática. Agora o máis relevante deles é unha "caixa negra" cun microordenador dunha placa no seu interior. Falaremos de como funciona neste artigo.
Xefe da Asociación Internacional de Fabricantes de ATM (ATMIA) "caixas negras" como a ameaza máis perigosa para os caixeiros automáticos.
Un caixeiro automático típico é un conxunto de compoñentes electromecánicos preparados aloxados nunha soa carcasa. Os fabricantes de caixeiros automáticos constrúen as súas creacións de hardware a partir do dispensador de facturas, o lector de tarxetas e outros compoñentes xa desenvolvidos por provedores de terceiros. Unha especie de construtor LEGO para adultos. Os compoñentes acabados colócanse no corpo do caixeiro automático, que normalmente consta de dous compartimentos: un compartimento superior ("armario" ou "área de servizo") e un compartimento inferior (seguro). Todos os compoñentes electromecánicos están conectados mediante portos USB e COM á unidade do sistema, que neste caso actúa como host. Nos modelos de caixeiros automáticos máis antigos tamén podes atopar conexións a través do autobús SDC.
A evolución da tarxeta ATM
Os caixeiros automáticos con cantidades enormes no seu interior atraen invariablemente aos tarxetas. Nun primeiro momento, os carders só explotaban as graves deficiencias físicas da protección dos caixeiros automáticos: usaban skimmers e shimmers para roubar datos das bandas magnéticas; almofadas e cámaras falsas para ver códigos de pin; e mesmo caixeiros automáticos falsos.
Entón, cando os caixeiros automáticos comezaron a equiparse cun software unificado que funcionaba segundo estándares comúns, como XFS (eXtensions for Financial Services), os carders comezaron a atacar os caixeiros automáticos con virus informáticos.
Entre eles atópanse Trojan.Skimmer, Backdoor.Win32.Skimer, Ploutus, ATMii e outros numerosos programas maliciosos con nome e sen nome, que os cardadores plantan no host do caixeiro automático a través dunha unidade flash USB de arranque ou a través dun porto de control remoto TCP.
Proceso de infección ATM
Despois de capturar o subsistema XFS, o malware pode emitir comandos ao dispensador de billetes sen autorización. Ou dálle ordes ao lector de tarxetas: le/escribe a banda magnética dunha tarxeta bancaria e mesmo recupera o historial de transaccións almacenado no chip da tarxeta EMV. EPP (Encrypting PIN Pad) merece especial atención. En xeral, acéptase que o código PIN introducido nel non se pode interceptar. Non obstante, XFS permítelle utilizar o pinpad EPP en dous modos: 1) modo aberto (para introducir varios parámetros numéricos, como o importe que se vai cobrar); 2) modo seguro (EPP cambia a el cando precisa introducir un código PIN ou unha clave de cifrado). Esta característica de XFS permítelle ao cardador levar a cabo un ataque MiTM: intercepte o comando de activación do modo seguro que se envía desde o host ao EPP e, a continuación, infórmalle ao pinpad do EPP de que debe seguir traballando en modo aberto. En resposta a esta mensaxe, EPP envía teclas en texto claro.
Principio de funcionamento dunha "caixa negra"
En anos recentes, Europol, o malware ATM evolucionou significativamente. Os tarxetas xa non precisan ter acceso físico a un caixeiro automático para infectalo. Poden infectar caixeiros automáticos mediante ataques remotos á rede mediante a rede corporativa do banco. Grupo IB, en 2016 en máis de 10 países europeos, os caixeiros automáticos foron obxecto de ataques remotos.
Ataque a un caixeiro automático mediante acceso remoto
Antivirus, bloqueo de actualizacións de firmware, bloqueo de portos USB e cifrado do disco duro, protexen ata certo punto o caixeiro automático dos ataques de virus dos carders. Pero que pasa se a tarxeta non ataca o host, senón que se conecta directamente á periferia (a través de RS232 ou USB) - a un lector de tarxetas, unha almofada ou un dispensador de diñeiro?
Primeiro coñecemento da "caixa negra"
Carders de hoxe expertos en tecnoloxía , utilizando o chamado para roubar diñeiro nun caixeiro automático. As "caixas negras" son microcomputadoras dunha placa única programadas especificamente, como o Raspberry Pi. As “caixas negras” baleiran os caixeiros automáticos por completo, dun xeito completamente máxico (desde o punto de vista dos banqueiros). Os carders conectan o seu dispositivo máxico directamente ao dispensador de facturas; para extraer todo o diñeiro dispoñible del. Este ataque evita todo o software de seguridade despregado no servidor ATM (antivirus, vixilancia da integridade, cifrado completo do disco, etc.).
"Caixa negra" baseada en Raspberry Pi
Os maiores fabricantes de caixeiros automáticos e axencias de intelixencia gobernamentais, enfrontados a varias implementacións da "caixa negra", que estes intelixentes ordenadores inducen aos caixeiros automáticos a cuspir todo o diñeiro dispoñible; 40 billetes cada 20 segundos. Os servizos de seguridade tamén advirten de que as tarxetas máis frecuentemente apuntan aos caixeiros automáticos das farmacias e dos centros comerciais; e tamén aos caixeiros automáticos que dan servizo aos condutores en movemento.
Ao mesmo tempo, para non aparecer diante das cámaras, os cardadores máis precavidos collen a axuda dalgún compañeiro pouco valioso, unha mula. E para que non poida apropiarse da "caixa negra" para si, usan . Eliminan a funcionalidade clave da "caixa negra" e conéctanlle un teléfono intelixente, que se usa como canle para transmitir comandos remotamente á "caixa negra" eliminada a través do protocolo IP.
Modificación da “caixa negra”, con activación mediante acceso remoto
Como é isto dende o punto de vista dos banqueiros? Nas gravacións das cámaras de vídeo ocorre algo así: unha determinada persoa abre o compartimento superior (área de servizo), conecta unha "caixa máxica" ao caixeiro automático, pecha o compartimento superior e sae. Un pouco máis tarde, varias persoas, aparentemente clientes comúns, achéganse ao caixeiro automático e retiran enormes cantidades de diñeiro. O carder volve entón e recupera o seu pequeno dispositivo máxico do caixeiro automático. Normalmente, o feito dun ataque ao caixeiro automático por parte dunha "caixa negra" só se descobre despois duns días: cando a caixa forte baleira e o rexistro de retirada de diñeiro non coinciden. Como resultado, os empregados do banco só poden .
Análise das comunicacións ATM
Como se indicou anteriormente, a interacción entre a unidade do sistema e os dispositivos periféricos realízase a través de USB, RS232 ou SDC. A tarxeta conéctase directamente ao porto do dispositivo periférico e envíalle comandos, evitando o host. Isto é bastante sinxelo, porque as interfaces estándar non requiren ningún controlador específico. E os protocolos propietarios polos que interactúan o periférico e o host non precisan de autorización (a fin de contas, o dispositivo está situado dentro dunha zona de confianza); e, polo tanto, estes protocolos inseguros, a través dos cales se comunican o periférico e o host, son facilmente escoitados e susceptibles a ataques de repetición.
Iso. Os carders poden usar un analizador de tráfico de software ou hardware, conectándoo directamente ao porto dun dispositivo periférico específico (por exemplo, un lector de tarxetas) para recoller os datos transmitidos. Usando un analizador de tráfico, a tarxeta aprende todos os detalles técnicos do funcionamento do caixeiro automático, incluídas as funcións non documentadas dos seus periféricos (por exemplo, a función de cambiar o firmware dun dispositivo periférico). Como resultado, a tarxeta obtén o control total sobre o caixeiro automático. Ao mesmo tempo, é bastante difícil detectar a presenza dun analizador de tráfico.
O control directo sobre o dispensador de billetes significa que os casetes do caixeiro automático poden baleirarse sen ningunha gravación nos rexistros, que normalmente son introducidos polo software despregado no host. Para aqueles que non están familiarizados coa arquitectura de hardware e software de ATM, realmente pode parecer maxia.
De onde veñen as caixas negras?
Os provedores e subcontratistas de caixeiros automáticos están a desenvolver utilidades de depuración para diagnosticar o hardware do caixeiro automático, incluídos os mecánicos eléctricos responsables das retiradas de efectivo. Entre estas utilidades: , . A seguinte figura mostra varias outras utilidades de diagnóstico deste tipo.
Panel de control ATMDesk
Panel de control RapidFire ATM XFS
Características comparativas de varias utilidades de diagnóstico
O acceso a tales utilidades normalmente está limitado a tokens personalizados; e só funcionan cando a porta da caixa forte do caixeiro automático está aberta. Non obstante, simplemente substituíndo algúns bytes no código binario da utilidade, carders "Proba" de retirada de efectivo: evitando os cheques proporcionados polo fabricante da utilidade. Os carders instalan tales utilidades modificadas no seu portátil ou microordenador de placa única, que despois se conectan directamente ao dispensador de billetes para facer retiradas de efectivo non autorizadas.
"Última milla" e centro de procesamento falso
A interacción directa coa periferia, sen comunicación co anfitrión, é só unha das técnicas de cardado eficaces. Outras técnicas dependen do feito de que dispoñemos dunha gran variedade de interfaces de rede a través das cales o caixeiro automático se comunica co mundo exterior. Desde X.25 ata Ethernet e móbil. Moitos caixeiros automáticos pódense identificar e localizar mediante o servizo Shodan (preséntanse as instrucións máis concisas para o seu uso ), – cun ataque posterior que explota unha configuración de seguridade vulnerable, a preguiza do administrador e as comunicacións vulnerables entre varios departamentos do banco.
A "última milla" de comunicación entre o caixeiro automático e o centro de procesamento é rica nunha gran variedade de tecnoloxías que poden servir de punto de entrada para o cardador. A interacción pódese realizar mediante un método de comunicación por cable (liña telefónica ou Ethernet) ou sen fíos (Wi-Fi, móbil: CDMA, GSM, UMTS, LTE). Os mecanismos de seguridade poden incluír: 1) hardware ou software para admitir VPN (ambos estándar, integrados no SO e de terceiros); 2) SSL/TLS (ambos específicos para un determinado modelo de caixeiro automático e de fabricantes de terceiros); 3) cifrado; 4) autenticación de mensaxes.
Pero que para os bancos as tecnoloxías enumeradas parecen moi complexas e, polo tanto, non se preocupan dunha protección especial da rede; ou o implementan con erros. No mellor dos casos, o caixeiro automático comunícase co servidor VPN, e xa dentro da rede privada conéctase ao centro de procesamento. Ademais, aínda que os bancos consigan implementar os mecanismos de protección enumerados anteriormente, o cardador xa ten ataques efectivos contra eles. Iso. Aínda que a seguridade cumpre co estándar PCI DSS, os caixeiros automáticos seguen sendo vulnerables.
Un dos requisitos fundamentais de PCI DSS é que todos os datos sensibles deben estar cifrados cando se transmiten a través dunha rede pública. E realmente temos redes que foron deseñadas orixinalmente de tal xeito que os datos nelas están completamente cifrados. Polo tanto, é tentador dicir: "Os nosos datos están cifrados porque usamos Wi-Fi e GSM". Non obstante, moitas destas redes non ofrecen a seguridade suficiente. As redes móbiles de todas as xeracións foron pirateadas durante moito tempo. Finalmente e irrevocablemente. E incluso hai provedores que ofrecen dispositivos para interceptar os datos transmitidos por eles.
Polo tanto, xa sexa nunha comunicación insegura ou nunha rede "privada", onde cada caixeiro automático se transmite a outros caixeiros automáticos, pódese iniciar un ataque de "centro de procesamento falso" de MiTM, que levará a que o cardador tome o control dos fluxos de datos transmitidos entre ATM e centro de procesamento.
Miles de caixeiros automáticos están potencialmente afectados. De camiño ao centro de procesamento xenuíno, o cardr insire o seu propio, falso. Este centro de procesamento falso envía ordes ao caixeiro automático para dispensar billetes. Neste caso, o cartón configura o seu centro de procesamento de forma que se emita diñeiro en efectivo independentemente da tarxeta que se insira no caixeiro automático, aínda que este caducou ou teña un saldo cero. O principal é que o centro de procesamento falso o "recoñece". Un centro de procesamento falso pode ser un produto caseiro ou un simulador de centro de procesamento, orixinalmente deseñado para depurar a configuración da rede (outro agasallo do "fabricante" aos carders).
Na seguinte imaxe vertedoiro de comandos para emitir billetes de 40 do cuarto casete - enviados desde un centro de procesamento falso e almacenados en rexistros de software de ATM. Parecen case reais.
Volcado de comandos dun centro de procesamento falso
Fonte: www.habr.com