Le scatole di metallo che si trovano per le strade della città attirano inevitabilmente l'attenzione degli amanti del guadagno veloce. Se in passato si usavano metodi puramente fisici per svuotare i bancomat, ora si ricorre a trucchi sempre più sofisticati, legati ai computer. Attualmente, uno dei più rilevanti è la «scatola nera» con un microcomputer su un'unica scheda all'interno. Di seguito, parleremo di come funziona.
Il direttore dell'associazione internazionale dei produttori di bancomat (ATMIA) Le «scatole nere» come la minaccia più pericolosa per i bancomat.
Un tipico bancomat è un insieme di componenti elettromeccanici già pronti, collocati all'interno di un unico involucro. I produttori di bancomat costruiscono le loro creazioni metalliche a partire da un dispositivo di erogazione delle banconote, un lettore di carte e altri componenti, già sviluppati da fornitori esterni. Una sorta di costruttore LEGO per adulti. I componenti pronti sono sistemati all'interno di un involucro di bancomat, che di solito è composto da due scomparti: il scomparto superiore (il "cabinet" o "zona di servizio") e lo scomparto inferiore (cassetta di sicurezza). Tutti i componenti elettromeccanici sono collegati tramite porte USB e COM all'unità centrale, che in questo caso funge da host. Nei modelli più vecchi di bancomat possono essere presenti anche connessioni tramite bus SDC.
L'evoluzione del carding dei bancomat
I bancomat con enormi somme all'interno attraggono inesorabilmente i carder. Inizialmente, i carder sfruttavano solo le evidenti vulnerabilità fisiche della sicurezza dei bancomat: utilizzavano skimmer e shim per rubare dati dalle bande magnetiche; tastiere PIN contraffatte e telecamere per osservare i codici PIN; e persino bancomat falsi.
Poi, quando i bancomat hanno iniziato a essere dotati di software unificato, funzionante secondo standard comuni come l'XFS (eXtensions for Financial Services), i truffatori hanno iniziato ad attaccare i bancomat con virus informatici.
Tra questi ci sono Trojan.Skimmer, Backdoor.Win32.Skimer, Ploutus, ATMii e un numero considerevole di malware nominati e non nominati, che i truffatori caricano sull'host del bancomat tramite una chiavetta USB avviabile o attraverso la porta TCP di controllo remoto.
Il processo di infezione del bancomat
Catturando il sottosistema XFS, il malware può inviare comandi alla macchina per la distribuzione di banconote, senza autorizzazione. Oppure può dare comandi al lettore di schede: leggere/scrivere la striscia magnetica della carta di credito e persino estrarre la cronologia delle transazioni memorizzata nel chip della carta EMV. Un'attenzione particolare va all'EPP (Encrypting PIN Pad; tastiera cifrante). Si pensa generalmente che il PIN immesso su di esso non possa essere intercettato. Tuttavia, XFS consente di utilizzare l'EPP in due modalità: 1) modalità aperta (per l'inserimento di vari parametri numerici, come l'importo da prelevare); 2) modalità sicura (in cui l'EPP passa quando è necessario inserire il PIN o la chiave di crittografia). Questa caratteristica di XFS consente a un carder di effettuare un attacco MiTM: intercettare il comando di attivazione della modalità sicura, che viene inviato dall'host all'EPP, e successivamente comunicare all'EPP che il lavoro deve continuare in modalità aperta. In risposta a questo messaggio, l'EPP invia i tasti premuti in chiaro.
Principio di funzionamento del 'cassetto nero'
Negli ultimi anni, Con Europol, le minacce agli sportelli automatici hanno subito una notevole evoluzione. I truffatori non necessitano più di accesso fisico all'ATM per infettarlo. Ora possono compromettere gli sportelli con attacchi di rete remoti, sfruttando la rete aziendale della banca. Group IB, nel 2016, ha segnalato attacchi remoti a sportelli automatici in oltre 10 paesi europei.
Attacco remoto a uno sportello automatico
Antivirus, blocco degli aggiornamenti del firmware, disabilitazione delle porte USB e crittografia del disco rigido offrono una certa protezione contro le infezioni virali dei truffatori. Ma cosa succede se il truffatore non si connette in remoto, ma collega direttamente un dispositivo periferico (tramite RS232 o USB) – al lettore di carte, al PIN pad o al dispositivo di erogazione di contante?
La prima esperienza con il «cassetto nero»
Oggi i truffatori tecnicamente esperti , utilizzando per rubare denaro contante dai bancomat i cosiddetti «scatole nere», – microcomputer monoboard programmati ad hoc, simili a Raspberry Pi. Le «scatole nere» svuotano completamente i bancomat in modo quasi magico (dal punto di vista dei banchieri). I truffatori collegano il loro dispositivo magico direttamente all'unità di erogazione delle banconote; per estrarne tutto il denaro disponibile. Questo attacco bypassa tutti i sistemi di protezione software implementati sull'host del bancomat (antivirus, controllo dell'integrità, crittografia completa del disco, ecc.).
«Scatola nera» basata su Raspberry Pi
I principali produttori di bancomat e le agenzie governative, di fronte a diverse implementazioni della «scatola nera», , affermano che questi computer ingegnosi inducono i bancomat a sputare tutto il contante disponibile; 40 banconote ogni 20 secondi. Inoltre, le agenzie avvertono che i truffatori si concentrano più frequentemente su bancomat in farmacie, centri commerciali; e anche su quelli che servono automobilisti «in movimento».
Tuttavia, per non farsi notare dalle telecamere, i più cauti truffatori coinvolgono qualche partner che non ha troppo valore, un mulo. E affinché quest'ultimo non possa appropriarsi del «black box», utilizzano . Rimuovono dalla «black box» le funzionalità principali e collegano uno smartphone, che usano come canale per la trasmissione remota di comandi al «black box» limitato, tramite protocollo IP.
Modifica della «black box», attivabile tramite accesso remoto
Cosa accade dal punto di vista dei banchieri? Nei registri delle telecamere di sicurezza può apparire quanto segue: una persona apre il compartimento superiore (area di servizio), collega un "scatola magica" al bancomat, chiude il compartimento e se ne va. Dopo un po', alcune persone, che sembrano normali clienti, si avvicinano al bancomat e prelevano enormi somme di denaro. Poi, il carder torna e estrae il suo piccolo dispositivo magico dal bancomat. Di solito, il fatto che il bancomat sia stato attaccato con un "black box" viene scoperto solo dopo alcuni giorni: quando la cassa è vuota e il registro dei prelievi non coincide. Di conseguenza, agli impiegati della banca non rimane che .
Analisi delle comunicazioni dei bancomat
Come già accennato, l'interazione tra l'unità centrale e i dispositivi periferici avviene tramite USB, RS232 o SDC. Il carder si collega direttamente alla porta del dispositivo periferico e invia comandi - saltando il host. Questo è piuttosto semplice, poiché le interfacce standard non richiedono driver specifici. E i protocolli proprietari, attraverso i quali periferiche e host interagiscono, non necessitano di autorizzazione (dato che il dispositivo si trova all'interno di una zona di fiducia); e pertanto, questi protocolli non protetti, tramite i quali periferiche e host comunicano, possono essere facilmente intercettati e sono vulnerabili ad attacchi di riproduzione.
In questo modo, i carder possono utilizzare un analizzatore di traffico software o hardware collegandolo direttamente alla porta di un dispositivo periferico specifico (ad esempio, a un lettore di carte) per raccogliere i dati trasmessi. Utilizzando l'analizzatore di traffico, il carder scopre tutti i dettagli tecnici del funzionamento del bancomat, comprese le funzioni non documentate della sua periferia (ad esempio, la funzione di modifica del firmware del dispositivo periferico). Di conseguenza, il carder ottiene il pieno controllo sul bancomat. In questo contesto, è piuttosto difficile rilevare la presenza dell'analizzatore di traffico.
Il controllo diretto sul dispositivo di erogazione delle banconote significa che i cassetti del bancomat possono essere svuotati senza alcuna registrazione nei log, che normalmente vengono effettuati dal software installato sull'host. Per chi non è familiare con l'architettura software e hardware del bancomat, questo può davvero sembrare magia.
Da dove provengono i "scatole nere"?
I fornitori di bancomat e i subappaltatori sviluppano strumenti di debug per la diagnosi delle componenti hardware dei bancomat, inclusi i meccanismi elettromeccanici responsabili del prelievo di contante. Tra questi strumenti ci sono: , . Nella figura sottostante sono presentati ulteriori strumenti diagnostici di questo tipo.
Pannello di controllo ATMDesk
Pannello di controllo RapidFire ATM XFS
Caratteristiche comparative di diversi strumenti diagnostici
L'accesso a tali strumenti è normalmente limitato da token personalizzati e funzionano solo con la porta del contenitore del bancomat aperta. Tuttavia, semplicemente sostituendo alcuni byte nel codice binario degli strumenti, i carder possono "testare" il prelievo di contante – eludendo i controlli previsti dal produttore dello strumento. I carder installano questi strumenti modificati sul loro laptop o su un microcomputer a scheda singola, che poi collegano direttamente all'unità di erogazione delle banconote per il prelievo non autorizzato di contante.
"Ultima miglio" e centro di elaborazione falso
L'interazione diretta con le periferiche, senza comunicazione con l'host, è solo uno dei metodi efficaci di carding. Altri metodi si basano sul fatto che abbiamo una vasta gamma di interfacce di rete attraverso le quali il bancomat si connette al mondo esterno. Da X.25 a Ethernet e alla telefonia mobile. Molti bancomat possono essere identificati e localizzati tramite il servizio Shodan (le istruzioni più concise su come utilizzarlo sono disponibili ), – con un attacco successivo che sfrutta una configurazione di sicurezza vulnerabile, la pigrizia dell'amministratore e le comunicazioni insicure tra i diversi reparti della banca.
L'«ultima miglia» della connessione tra un bancomat e il centro di elaborazione è ricca delle più varie tecnologie, che possono fungere da punto di ingresso per i criminali informatici. L'interazione può avvenire tramite connessione cablata (linea telefonica o Ethernet) o wireless (Wi-Fi, rete mobile: CDMA, GSM, UMTS, LTE). I meccanismi di sicurezza possono includere: 1) strumenti hardware o software per supportare VPN (sia standard, integrati nel sistema operativo, che di terze parti); 2) SSL/TLS (specifici per un modello di bancomat o di fornitori esterni); 3) crittografia; 4) autenticazione dei messaggi.
Tuttavia , per le banche, le tecnologie indicate appaiono molto complesse e quindi non si preoccupano di implementare una protezione di rete adeguata; oppure la realizzano con errori. Nella migliore delle ipotesi, il bancomat si connette a un server VPN e, all'interno della rete privata, si collega al centro di elaborazione. Inoltre, anche se le banche riuscissero a implementare i meccanismi di protezione sopra menzionati, i criminali informatici hanno già attacchi efficaci contro di essi. Dunque, anche se la sicurezza è conforme allo standard PCI DSS, i bancomat rimangono vulnerabili.
Uno dei requisiti principali del PCI DSS è che tutti i dati sensibili, quando vengono trasmessi attraverso una rete pubblica, devono essere crittografati. E abbiamo davvero reti progettate fin dall'inizio in modo che i dati siano completamente crittografati! Perciò, c'è la tentazione di dire: "Abbiamo dati crittografati perché utilizziamo Wi-Fi e GSM". Tuttavia, molte di queste reti non offrono una protezione adeguata. Le reti cellulari di tutte le generazioni sono state compromesse da tempo. In modo definitivo e irreversibile. E ci sono anche fornitori che offrono dispositivi per intercettare i dati che viaggiano attraverso di esse.
Pertanto, sia in comunicazioni non sicure, sia in una rete "privata", dove ogni bancomat comunica con altri bancomat, può essere avviato un attacco MiTM "centro di elaborazione falso", che porterà il carder a prendere il controllo dei flussi di dati trasmessi tra il bancomat e il centro di elaborazione.
potenzialmente sono esposti a migliaia di bancomat. Per creare un vero centro di elaborazione, il carder inserisce il suo, falso. Questo falso centro di elaborazione ordina al bancomat di erogare banconote. Nel frattempo, il carder configura il suo centro di elaborazione in modo che l'erogazione di contante avvenga indipendentemente dalla carta inserita nel bancomat – anche se è scaduta, o ha un saldo zero. È fondamentale che il falso centro di elaborazione "riconosca" la carta. Come falso centro di elaborazione può essere un prodotto artigianale o un simulatore di un centro di elaborazione progettato inizialmente per il debug delle impostazioni di rete (un altro regalo del "produttore" per i carder).
Nell'immagine seguente un dump dei comandi per erogare 40 banconote dalla quarta cassetta, – inviato dal falso centro di elaborazione e conservato nei registri del software ATM. Apparentemente sembrano quasi autentici.
Dump dei comandi del falso centro di elaborazione
Fonte: habr.com
