Քաղաքի փողոցներում փողերով երկաթե արկղերը չեն կարող չգրավել արագ փողի սիրահարների ուշադրությունը։ Եվ եթե նախկինում բանկոմատները դատարկելու համար օգտագործվում էին զուտ ֆիզիկական մեթոդներ, ապա այժմ ավելի ու ավելի շատ հմուտ հնարքներ են կիրառվում համակարգչի հետ կապված։ Այժմ դրանցից ամենաարդիականը «սև արկղն» է՝ ներսում մեկ տախտակով միկրոհամակարգիչով։ Այն մասին, թե ինչպես է այն աշխատում, մենք կխոսենք այս հոդվածում:
Բանկոմատների արտադրողների միջազգային ասոցիացիայի (ATMIA) ղեկավար «սև արկղերը»՝ որպես բանկոմատների ամենավտանգավոր սպառնալիք.
Տիպիկ բանկոմատը պատրաստի էլեկտրամեխանիկական բաղադրիչների մի շարք է, որոնք տեղակայված են մեկ բնակարանում: Բանկոմատների արտադրողներն իրենց ապարատային ստեղծագործությունները կառուցում են հաշիվների դիսպենսերներից, քարտերի ընթերցողներից և այլ բաղադրիչներից, որոնք արդեն մշակվել են երրորդ կողմի մատակարարների կողմից: Մի տեսակ LEGO կոնստրուկտոր մեծահասակների համար: Պատրաստի բաղադրիչները տեղադրվում են բանկոմատի մարմնի մեջ, որը սովորաբար բաղկացած է երկու խցիկից՝ վերին խցիկից («կաբինետ» կամ «սպասարկման տարածք») և ստորին խցիկից (անվտանգ): Բոլոր էլեկտրամեխանիկական բաղադրիչները միացված են USB և COM պորտերի միջոցով համակարգի միավորին, որն այս դեպքում հանդես է գալիս որպես հոսթ: Հին բանկոմատների մոդելներում դուք կարող եք նաև կապեր գտնել SDC ավտոբուսի միջոցով:
Բանկոմատների քարտավորման էվոլյուցիան
Ներսում հսկայական գումարներ ունեցող բանկոմատներն անընդհատ գրավում են քարտատիրոջը: Սկզբում քարտերներն օգտագործում էին բանկոմատների պաշտպանության միայն կոպիտ ֆիզիկական թերությունները. նրանք օգտագործում էին skimmers և shimmers՝ մագնիսական շերտերից տվյալներ գողանալու համար. կեղծ փին բարձիկներ և տեսախցիկներ՝ փին կոդերը դիտելու համար; և նույնիսկ կեղծ բանկոմատներ:
Այնուհետև, երբ բանկոմատները սկսեցին համալրվել ընդհանուր ստանդարտներով գործող միասնական ծրագրային ապահովմամբ, ինչպիսին է XFS-ը (EXtensions for Financial Services), քարտերը սկսեցին հարձակվել բանկոմատների վրա համակարգչային վիրուսներով:
Դրանցից են Trojan.Skimmer, Backdoor.Win32.Skimer, Ploutus, ATMii և այլ բազմաթիվ անանուն և անանուն չարամիտ ծրագրեր, որոնք քարտերները տեղադրում են բանկոմատների հոսթի վրա կամ bootable USB ֆլեշ կրիչի կամ TCP հեռակառավարման պորտի միջոցով:
Բանկոմատների վարակման գործընթաց
Գրավելով XFS ենթահամակարգը՝ չարամիտ ծրագիրը կարող է հրամաններ տալ թղթադրամների դիսպենսերին՝ առանց թույլտվության: Կամ հրամաններ տվեք քարտի ընթերցողին. կարդալ/գրել բանկային քարտի մագնիսական շերտը և նույնիսկ առբերել EMV քարտի չիպի վրա պահված գործարքների պատմությունը: EPP (Encrypting PIN Pad) հատուկ ուշադրության է արժանի: Ընդհանրապես ընդունված է, որ դրա վրա մուտքագրված PIN կոդը չի կարող գաղտնալսվել: Այնուամենայնիվ, XFS-ը թույլ է տալիս օգտագործել EPP pinpad-ը երկու ռեժիմով. 1) բաց ռեժիմ (տարբեր թվային պարամետրեր մուտքագրելու համար, օրինակ՝ կանխիկացման գումարը); 2) անվտանգ ռեժիմ (EPP-ն անցնում է դրան, երբ անհրաժեշտ է մուտքագրել PIN կոդը կամ գաղտնագրման բանալի): XFS-ի այս հատկությունը թույլ է տալիս քարտատիրոջը իրականացնել MiTM գրոհ. ընդհատել անվտանգ ռեժիմի ակտիվացման հրամանը, որն ուղարկվում է հոսթից դեպի EPP, այնուհետև տեղեկացնել EPP pinpad-ին, որ այն պետք է շարունակի աշխատել բաց ռեժիմում: Ի պատասխան այս հաղորդագրության՝ ԵԺԿ-ն ստեղնաշարի կոճակներ է ուղարկում հստակ տեքստով:
«Սև արկղի» գործառնական սկզբունքը
Վերջին տարիներին, Europol, ATM չարամիտ ծրագիրը զգալիորեն զարգացել է: Քարտերն այլևս կարիք չունեն բանկոմատի ֆիզիկական հասանելիության՝ այն վարակելու համար: Նրանք կարող են վարակել բանկոմատները հեռակա ցանցի հարձակումների միջոցով՝ օգտագործելով բանկի կորպորատիվ ցանցը: IB խումբ, 2016 թվականին ավելի քան 10 եվրոպական երկրներում բանկոմատները ենթարկվել են հեռահար հարձակումների։
Հարձակում բանկոմատի վրա հեռավոր մուտքի միջոցով
Հակավիրուսները, որոնվածի թարմացումների արգելափակումը, USB պորտերի արգելափակումը և կոշտ սկավառակի գաղտնագրումը որոշ չափով պաշտպանում են բանկոմատը քարտերների կողմից վիրուսների հարձակումներից: Բայց ի՞նչ անել, եթե քարտերը չի հարձակվում հյուրընկալողի վրա, այլ ուղղակիորեն միանում է ծայրամասին (RS232 կամ USB-ի միջոցով)՝ քարտի ընթերցողին, փին պահոցին կամ կանխիկացման սարքին:
Առաջին ծանոթությունը «սև արկղի» հետ.
Այսօրվա տեխնոլոգիական գիտելիքներ ունեցող քարտերները , օգտագործելով, այսպես կոչված, բանկոմատից կանխիկ գումար գողանալու համար: «Սև արկղերը» հատուկ ծրագրավորված մեկ տախտակով միկրոհամակարգիչներ են, ինչպիսին Raspberry Pi-ն է: «Սև արկղերը» դատարկում են բանկոմատներն ամբողջությամբ, միանգամայն կախարդական (բանկերի տեսանկյունից): Քարտերները միացնում են իրենց կախարդական սարքը անմիջապես հաշիվների դիսպենսերի հետ; դրանից հանել բոլոր հասանելի գումարները: Այս հարձակումը շրջանցում է բանկոմատի հոսթի վրա տեղակայված անվտանգության բոլոր ծրագրերը (հակավիրուսային, ամբողջականության մոնիտորինգ, սկավառակի ամբողջական գաղտնագրում և այլն):
Raspberry Pi-ի հիման վրա ստեղծված «Սև արկղ».
Բանկոմատների խոշորագույն արտադրողները և պետական հետախուզական ծառայությունները բախվել են «սև արկղի» մի քանի ներդրմանը. որ այս խելացի համակարգիչները դրդում են բանկոմատներին դուրս թքել բոլոր հասանելի կանխիկ միջոցները. 40 թղթադրամ յուրաքանչյուր 20 վայրկյանը մեկ։ Անվտանգության ծառայությունները նաև նախազգուշացնում են, որ քարտապաններն ամենից հաճախ թիրախավորում են դեղատների և առևտրի կենտրոնների բանկոմատները. ինչպես նաև բանկոմատներին, որոնք սպասարկում են վարորդներին շարժման մեջ:
Միևնույն ժամանակ, տեսախցիկների առաջ չհայտնվելու համար, ամենազգույշ կարդերները դիմում են ոչ այնքան արժեքավոր զուգընկերոջ՝ ջորիի օգնությանը։ Եվ որպեսզի նա չկարողանա իր համար յուրացնել «սև արկղը», օգտագործում են . Նրանք հեռացնում են հիմնական գործառույթները «սև արկղից» և դրան միացնում սմարթֆոնը, որն օգտագործվում է որպես IP պրոտոկոլի միջոցով հրամանները հեռակա կարգով «սև արկղ» փոխանցելու համար:
«Սև արկղի» փոփոխություն՝ հեռակառավարման միջոցով ակտիվացումով
Ինչպիսի՞ն է սա բանկիրների տեսանկյունից: Տեսախցիկների ձայնագրություններում նման բան է տեղի ունենում՝ ինչ-որ մեկը բացում է վերին կուպեը (սպասարկման տարածքը), «կախարդական տուփը» միացնում է բանկոմատին, փակում է վերին հատվածը և հեռանում։ Քիչ անց մի քանի հոգի՝ սովորական թվացող հաճախորդներ, մոտենում են բանկոմատին ու հսկայական գումարներ հանում։ Այնուհետև քարտերը վերադառնում է և բանկոմատից վերցնում իր փոքրիկ կախարդական սարքը: Սովորաբար «սև արկղի» կողմից բանկոմատի հարձակման փաստը հայտնաբերվում է միայն մի քանի օր հետո, երբ դատարկ պահարանը և կանխիկացման մատյանը չեն համընկնում: Արդյունքում բանկի աշխատակիցները կարող են միայն .
Բանկոմատների հաղորդակցությունների վերլուծություն
Ինչպես նշվեց վերևում, համակարգի միավորի և ծայրամասային սարքերի միջև փոխազդեցությունն իրականացվում է USB-ի, RS232-ի կամ SDC-ի միջոցով: Քարտերը ուղղակիորեն միանում է ծայրամասային սարքի պորտին և հրամաններ է ուղարկում դրան՝ շրջանցելով հյուրընկալողը: Սա բավականին պարզ է, քանի որ ստանդարտ ինտերֆեյսները չեն պահանջում որևէ հատուկ դրայվեր: Իսկ սեփականության արձանագրությունները, որոնցով ծայրամասային սարքը և հյուրընկալողը փոխազդում են, թույլտվություն չեն պահանջում (ի վերջո, սարքը գտնվում է վստահելի գոտու ներսում); և, հետևաբար, այս անապահով արձանագրությունները, որոնց միջոցով շփվում են ծայրամասային սարքը և հյուրընկալողը, հեշտությամբ գաղտնալսվում են և հեշտությամբ ենթակա են կրկնվող հարձակումների:
Դա. Քարտերը կարող են օգտագործել ծրագրային կամ ապարատային տրաֆիկի անալիզատոր՝ այն ուղղակիորեն միացնելով որոշակի ծայրամասային սարքի պորտին (օրինակ՝ քարտ ընթերցողին)՝ փոխանցված տվյալները հավաքելու համար: Օգտագործելով երթևեկության անալիզատոր՝ քարտապանը սովորում է բանկոմատի աշխատանքի բոլոր տեխնիկական մանրամասները, ներառյալ ծայրամասային սարքերի չփաստաթղթավորված գործառույթները (օրինակ՝ ծայրամասային սարքի որոնվածը փոխելու գործառույթը): Արդյունքում քարտերը ստանում է լիակատար վերահսկողություն բանկոմատի նկատմամբ: Միեւնույն ժամանակ, բավականին դժվար է հայտնաբերել երթեւեկության անալիզատորի առկայությունը:
Թղթադրամների դիսպենսերի վրա ուղղակի հսկողությունը նշանակում է, որ բանկոմատների ձայներիզները կարող են դատարկվել առանց որևէ գրանցման մատյաններում, որոնք սովորաբար մուտքագրվում են հոսթի վրա տեղադրված ծրագրաշարի միջոցով: Նրանց համար, ովքեր ծանոթ չեն բանկոմատների ապարատային և ծրագրային ապահովման ճարտարապետությանը, այն իսկապես կարող է կախարդական տեսք ունենալ:
Որտեղի՞ց են գալիս սև արկղերը:
Բանկոմատների մատակարարներն ու ենթակապալառուները մշակում են վրիպազերծման ծառայություններ՝ բանկոմատների սարքավորումների ախտորոշման համար, ներառյալ կանխիկացման համար պատասխանատու էլեկտրական մեխանիկները: Այս կոմունալ ծառայություններից. , . Ստորև բերված նկարը ցույց է տալիս ևս մի քանի նման ախտորոշիչ ծառայություններ:
ATMDesk Control Panel
RapidFire ATM XFS կառավարման վահանակ
Մի քանի ախտորոշիչ սարքերի համեմատական բնութագրերը
Նման կոմունալ ծառայություններին հասանելիությունը սովորաբար սահմանափակվում է անհատականացված նշաններով. և նրանք աշխատում են միայն այն ժամանակ, երբ բանկոմատի պահարանի դուռը բաց է: Այնուամենայնիվ, պարզապես մի քանի բայթ փոխարինելով կոմունալ ծառայության երկուական կոդի մեջ, քարտերներ «Թեստային» կանխիկացման կանխիկացում՝ շրջանցելով կոմունալ ծառայությունների արտադրողի կողմից տրամադրված չեկերը: Քարտավարները տեղադրում են նման փոփոխված կոմունալ ծառայություններ իրենց նոութբուքի կամ մեկ տախտակով միկրոհամակարգչի վրա, որոնք այնուհետև ուղղակիորեն միացվում են թղթադրամների դիսպենսերին՝ անօրինական կանխիկացման համար:
«Վերջին մղոն» և կեղծ մշակման կենտրոն
Ծայրամասի հետ անմիջական փոխազդեցությունը, առանց հյուրընկալողի հետ շփման, միայն արդյունավետ կարդի տեխնիկաներից մեկն է: Այլ տեխնիկան հիմնված է այն փաստի վրա, որ մենք ունենք ցանցային ինտերֆեյսների լայն տեսականի, որոնց միջոցով բանկոմատը հաղորդակցվում է արտաքին աշխարհի հետ: X.25-ից մինչև Ethernet և բջջային: Շատ բանկոմատներ կարելի է նույնականացնել և տեղայնացնել Shodan ծառայության միջոցով (ներկայացված են դրա օգտագործման առավել հակիրճ հրահանգները ), – հետագա հարձակմամբ, որն օգտագործում է անվտանգության խոցելի կոնֆիգուրացիան, ադմինիստրատորի ծուլությունը և խոցելի հաղորդակցությունները բանկի տարբեր ստորաբաժանումների միջև:
Բանկոմատի և պրոցեսինգային կենտրոնի միջև հաղորդակցության «վերջին մղոնը» հարուստ է տեխնոլոգիաների լայն տեսականիով, որոնք կարող են ծառայել որպես մուտքի կետ քարտառուի համար: Փոխազդեցությունը կարող է իրականացվել լարային (հեռախոսային գիծ կամ Ethernet) կամ անլար (Wi-Fi, բջջային՝ CDMA, GSM, UMTS, LTE) հաղորդակցման եղանակով: Անվտանգության մեխանիզմները կարող են ներառել․ 1) SSL/TLS (ինչպես հատուկ բանկոմատների որոշակի մոդելի, այնպես էլ երրորդ կողմի արտադրողների). 2) կոդավորումը. 3) հաղորդագրության վավերացում.
Սակայն որ բանկերի համար թվարկված տեխնոլոգիաները շատ բարդ են թվում, հետևաբար նրանք իրենց չեն անհանգստացնում հատուկ ցանցային պաշտպանությամբ. կամ սխալներով են իրականացնում։ Լավագույն դեպքում բանկոմատը շփվում է VPN սերվերի հետ, իսկ արդեն մասնավոր ցանցի ներսում միանում է պրոցեսինգային կենտրոնին։ Բացի այդ, եթե նույնիսկ բանկերին հաջողվում է կիրառել վերը թվարկված պաշտպանիչ մեխանիզմները, քարտերն արդեն արդյունավետ հարձակումներ ունի նրանց դեմ։ Դա. Նույնիսկ եթե անվտանգությունը համապատասխանում է PCI DSS ստանդարտին, բանկոմատները դեռ խոցելի են:
PCI DSS-ի հիմնական պահանջներից մեկն այն է, որ բոլոր զգայուն տվյալները պետք է գաղտնագրվեն, երբ դրանք փոխանցվում են հանրային ցանցով: Եվ մենք իրականում ունենք ցանցեր, որոնք ի սկզբանե նախագծված էին այնպես, որ դրանցում առկա տվյալները լիովին կոդավորված են: Հետևաբար, գայթակղիչ է ասել. «Մեր տվյալները գաղտնագրված են, քանի որ մենք օգտագործում ենք Wi-Fi և GSM»: Այնուամենայնիվ, այս ցանցերից շատերը բավարար անվտանգություն չեն ապահովում: Բոլոր սերունդների բջջային ցանցերը վաղուց կոտրվել են։ Վերջապես և անդառնալիորեն. Եվ նույնիսկ կան մատակարարներ, որոնք առաջարկում են սարքեր՝ գաղտնալսելու իրենց վրայով փոխանցվող տվյալները:
Հետևաբար, կա՛մ անապահով կապի մեջ, կա՛մ «մասնավոր» ցանցում, որտեղ յուրաքանչյուր բանկոմատ հեռարձակվում է այլ բանկոմատների վրա, կարող է սկսվել MiTM «կեղծ մշակման կենտրոնի» հարձակումը, ինչը կհանգեցնի նրան, որ քարտերը կտիրանա տվյալների փոխանցվող հոսքերի վերահսկողությանը: բանկոմատ և պրոցեսինգային կենտրոն.
Հազարավոր բանկոմատներ կարող են տուժել: Իսկական պրոցեսինգային կենտրոն տանող ճանապարհին քարտերը տեղադրում է իր՝ կեղծը: Այս կեղծ մշակման կենտրոնը բանկոմատին թղթադրամներ բաժանելու հրամաններ է տալիս: Այս դեպքում քարտերը կարգավորում է իր պրոցեսինգային կենտրոնն այնպես, որ կանխիկ գումարը թողարկվի անկախ նրանից, թե որ քարտն է տեղադրված բանկոմատում, նույնիսկ եթե դրա ժամկետը լրացել է կամ ունի զրոյական մնացորդ: Գլխավորն այն է, որ կեղծ պրոցեսինգային կենտրոնը դա «ճանաչի»։ Կեղծ մշակման կենտրոնը կարող է լինել կամ տնական արտադրանք, կամ վերամշակման կենտրոնի սիմուլյատոր, որն ի սկզբանե նախատեսված է ցանցի կարգավորումները վրիպազերծելու համար («արտադրողի» ևս մեկ նվեր քարտերներին):
Հետևյալ նկարում Չորրորդ ձայներիզից 40 թղթադրամ թողարկելու հրամանների աղբանոց՝ ուղարկված կեղծ մշակման կենտրոնից և պահվում բանկոմատների ծրագրային տեղեկամատյաններում: Նրանք գրեթե իրական տեսք ունեն:
Կեղծ մշակման կենտրոնի հրամանատարական աղբանոց
Source: www.habr.com