Le scatole di ferro che si trovano per le strade della città attraggono inevitabilmente l'attenzione degli amanti del guadagno veloce. E se in passato per svuotare i bancomat si usavano metodi puramente fisici, ora si utilizzano trucchi sempre più elaborati legati ai computer. Attualmente, il più attuale di questi è la «scatola nera» con un microcomputer a scheda singola all'interno. Di come funziona parleremo in questo articolo.
Il presidente dell'associazione internazionale dei produttori di bancomat (ATMIA) le «scatole nere» come la minaccia più pericolosa per i bancomat.
Un bancomat tipico è un insieme di componenti elettromeccanici già pronti, collocati in un unico telaio. I produttori di bancomat costruiscono le loro creazioni di ferro a partire da un dispositivo di erogazione di banconote, da un lettore di carte e da altri componenti, già sviluppati da fornitori terzi. Una sorta di LEGO per adulti. I componenti pronti vengono collocati all'interno del telaio del bancomat, che di solito è composto da due scomparti: uno scomparto superiore (chiamato «cabina» o «zona di servizio») e uno scomparto inferiore (la cassaforte). Tutti i componenti elettromeccanici sono collegati tramite porte USB e COM all'unità centrale, che in questo caso funge da host. Nei modelli di bancomat più vecchi si possono trovare anche collegamenti tramite bus SDC.
Evoluzione del carding dei bancomat
I bancomat contenenti somme enormi attraggono inevitabilmente i carder. Inizialmente, i carder sfruttavano solo le ovvie vulnerabilità fisiche della sicurezza dei bancomat, utilizzando skimmer e shimmy per rubare i dati dalle bande magnetiche; tastiere false e telecamere per catturare i codici PIN; e anche bancomat falsificati.
Poi, quando i bancomat hanno iniziato a essere dotati di software standardizzati, operanti secondo standard unificati, come l'XFS (eXtensions for Financial Services), i carder hanno cominciato ad attaccare i bancomat con virus informatici.
Tra i quali Trojan.Skimmer, Backdoor.Win32.Skimer, Ploutus, ATMii e altri numerosi malware identificati e non identificati, che i cracker infiltrano nell'host del bancomat tramite una chiavetta USB avviabile o attraverso la porta TCP di gestione remota.
Il processo di infezione del bancomat
Catturando il sottosistema XFS, il malware può inviare comandi al dispositivo di erogazione delle banconote senza autorizzazione. Oppure inviare comandi al lettore di carte: leggere/scrivere la banda magnetica della carta bancaria ed estrarre anche la cronologia delle transazioni memorizzata sul chip della carta EMV. Merita particolare attenzione l'EPP (Encrypting PIN Pad; tastiera per PIN crittografata). Si ritiene che il PIN inserito non possa essere intercettato. Tuttavia, XFS permette di utilizzare il pinpad EPP in due modalità: 1) modalità aperta (per l'inserimento di vari parametri numerici, come l'importo da prelevare); 2) modalità sicura (in questa modalità l'EPP si attiva quando è necessario inserire il PIN o la chiave di crittografia). Questa peculiarità di XFS consente a un cracker di eseguire un attacco MiTM: intercettare il comando di attivazione della modalità sicura, inviato dall'host all'EPP, e poi informare il pinpad EPP che deve continuare a lavorare in modalità aperta. In risposta a questo messaggio, l'EPP invia le pressioni dei tasti in chiaro.
Il principio di funzionamento del "black box"
Negli ultimi anni, dell'Europol, i malware per i bancomat hanno subito un'evoluzione significativa. I cracker non hanno più necessariamente bisogno di accesso fisico al bancomat per infettarlo. Possono infettare i bancomat tramite attacchi di rete remota, utilizzando la rete aziendale della banca. Group IB, nel 2016 in oltre 10 paesi europei, i bancomat sono stati soggetti a attacchi remoti.
Attacco al bancomat tramite accesso remoto
Gli antivirus, il blocco degli aggiornamenti del firmware, il blocco delle porte USB e la crittografia del disco rigido proteggono parzialmente il bancomat dagli attacchi virali dei cracker. Ma cosa succede se il cracker non attacca l'host, ma si collega direttamente alle periferiche (attraverso RS232 o USB) – al lettore di carte, al pinpad o al dispositivo di erogazione contante?
Primo incontro con il "black box"
Oggi i cracker esperti , utilizzando per rubare contante dagli sportelli automatici i cosiddetti «scatoloni neri», – microcomputer a scheda singola specificamente programmati, simili al Raspberry Pi. Gli «scatoloni neri» svuotano gli sportelli automatici in modo totale, in un modo completamente magico (dal punto di vista dei banchieri). I carder collegano il loro dispositivo magico direttamente a quello di erogazione delle banconote; per estrarre tutti i soldi disponibili. Tale attacco bypassa tutti i sistemi di protezione software implementati sull'host dell'ATM (antivirus, controllo dell'integrità, crittografia completa del disco, ecc.).
«Scatolone nero» basato su Raspberry Pi
I principali produttori di sportelli automatici e le agenzie governative, di fronte a diverse implementazioni dello «scatolone nero», , che questi computer ingegnosi inducono gli sportelli automatici a rigettare tutto il contante disponibile; 40 banconote ogni 20 secondi. Inoltre, le agenzie avvertono che i carder di solito prendono di mira gli sportelli automatici nelle farmacie, nei centri commerciali; e anche quelli che servono gli automobilisti «in movimento».
Inoltre, per non farsi notare dalle telecamere, i carder più prudenti si portano dietro un partner non troppo prezioso, un mulo. Per evitare che questi possa appropriarsi dello «scatolone nero», utilizzano . Rimuovono dalla «scatola nera» la funzionalità chiave e collegano uno smartphone, che usano come canale per la trasmissione remota dei comandi allo «scatolone nero» ridotto, tramite protocollo IP.
Modifica dello «scatolone nero», attivata tramite accesso remoto
Come si presenta agli occhi dei banchieri? Nelle registrazioni delle telecamere di sorveglianza si può vedere più o meno quanto segue: una persona apre il comparto superiore (area di servizio), collega l'«oggetto magico» all'ATM, chiude il comparto superiore e se ne va. Dopo un po', alcune persone, apparentemente clienti normali, si avvicinano all'ATM e prelevano somme ingenti di denaro. Poi, il carder torna indietro e estrae il suo piccolo dispositivo magico dall'ATM. Di solito, il fatto che un ATM sia stato attaccato con uno «scatolone nero» viene scoperto solo dopo alcuni giorni: quando la cassa vuota e il registro dei prelievi non coincidono. Di conseguenza, ai dipendenti della banca non rimane altro che .
Analisi delle comunicazioni degli sportelli automatici
Come già accennato in precedenza, l'interazione tra l'unità centrale e i dispositivi periferici avviene tramite USB, RS232 o SDC. Il carder si collega direttamente alla porta del dispositivo periferico e invia comandi – bypassando l'host. Questo è piuttosto semplice, poiché le interfacce standard non richiedono driver specifici. Inoltre, i protocolli proprietari, secondo cui la periferica e l'host interagiscono, non richiedono autorizzazione (poiché il dispositivo si trova all'interno di una zona fidata); pertanto, questi protocolli non protetti, secondo cui la periferica e l'host interagiscono, possono essere facilmente intercettati e sono vulnerabili ad attacchi di riproduzione.
Pertanto, i carder possono utilizzare un analizzatore di traffico software o hardware, collegandolo direttamente alla porta di un dispositivo periferico specifico (ad esempio, a un lettore di carte) – per raccogliere i dati trasmessi. Utilizzando l'analizzatore di traffico, il carder scopre tutte le specifiche tecniche di funzionamento dello sportello automatico, inclusi le funzioni non documentate della sua periferica (ad esempio, la funzione di aggiornamento del firmware del dispositivo periferico). Di conseguenza, il carder ottiene il pieno controllo dello sportello automatico. Allo stesso tempo, rilevare la presenza di un analizzatore di traffico è piuttosto difficile.
Il controllo diretto sul dispositivo di erogazione delle banconote significa che le cassette dello sportello automatico possono essere svuotate senza alcuna registrazione nei log, che di solito vengono registrati dal software implementato sull'host. Per chi non è familiare con l'architettura software-hardware dello sportello automatico, può sembrare davvero magia.
Da dove provengono i "scatoloni neri"?
I fornitori di sportelli automatici e i subappaltatori sviluppano utilità di debug per la diagnostica dell'hardware dello sportello automatico, comprese quelle degli elettromeccanici responsabili del prelievo di contante. Tra queste utilità ci sono: , . Nella figura sottostante sono presentate altre utilità diagnostiche simili.
Pannello di controllo di ATMDesk
Pannello di controllo di RapidFire ATM XFS
Caratteristiche comparative di diverse utilità diagnostiche
L'accesso a tali strumenti è normalmente limitato da token personalizzati; e funzionano solo con il cassetto della cassa automatica aperto. Tuttavia, sostituendo semplicemente alcuni byte nel codice binario dell'utility, i carder possono "testare" il prelievo di contante - aggirando i controlli previsti dal produttore dell'utility. I carder installano tali utility modificate sul proprio laptop o microcomputer a scheda singola, che successivamente collegano direttamente al dispositivo di erogazione delle banconote, per prelevare contante in modo non autorizzato.
"L'ultima miglia" e il centro di elaborazione falsificato
L'interazione diretta con le periferiche, senza comunicazione con l'host, è solo uno dei metodi efficaci del carding. Altri metodi si basano sul fatto che abbiamo una vasta gamma di interfacce di rete attraverso le quali il bancomat si connette al mondo esterno. Da X.25 a Ethernet e reti cellulari. Molti bancomat possono essere identificati e localizzati tramite il servizio Shodan (il più conciso manuale sul suo utilizzo è presentato ), – con un attacco successivo che sfrutta una configurazione di sicurezza vulnerabile, la pigrizia dell'amministratore e comunicazioni vulnerabili tra i vari dipartimenti della banca.
"L'ultima miglia" di comunicazione tra il bancomat e il centro di elaborazione è ricca delle più varie tecnologie, che possono fungere da punto d'ingresso per il carder. L'interazione può avvenire tramite un metodo di comunicazione cablato (linea telefonica o Ethernet) o wireless (Wi-Fi, rete cellulare: CDMA, GSM, UMTS, LTE). I meccanismi di sicurezza possono includere: 1) mezzi hardware o software per supportare VPN (sia standard, integrati nel sistema operativo, che di produttori terzi); 2) SSL/TLS (sia specifici per determinati modelli di bancomat, che di produttori terzi); 3) crittografia; 4) autenticazione dei messaggi.
Tuttavia , che per le banche le tecnologie elencate appaiono molto complesse, e quindi non si preoccupano di dotarsi di una protezione di rete adeguata; oppure la implementano con errori. Nel migliore dei casi, il bancomat si connette a un server VPN e, all'interno della rete privata, si collega al centro di elaborazione. Inoltre, anche se le banche riuscissero a implementare i meccanismi di protezione menzionati, i carder hanno già attacchi efficaci contro di essi. Pertanto, anche se la sicurezza rispetta lo standard PCI DSS, i bancomat rimangono vulnerabili.
Uno dei requisiti fondamentali del PCI DSS: tutti i dati sensibili, quando vengono trasmessi attraverso una rete pubblica, devono essere criptati. E in effetti abbiamo reti progettate fin dall'inizio in modo che i dati siano completamente criptati! Perciò c'è la tentazione di dire: "Abbiamo i dati criptati perché utilizziamo Wi-Fi e GSM". Tuttavia, molte di queste reti non offrono una protezione adeguata. Le reti cellulari di tutte le generazioni sono state violate da tempo. In modo definitivo e irreversibile. Ci sono anche fornitori che offrono dispositivi per intercettare i dati trasmessi attraverso di esse.
Pertanto, sia in comunicazioni non sicure, sia in una rete "privata" in cui ogni bancomat annuncia la propria presenza agli altri bancomat, può essere avviato un attacco MiTM "centro di elaborazione falso", che porterà al controllo da parte del carder sui flussi di dati trasmessi tra il bancomat e il centro di elaborazione.
sono potenzialmente suscettibili di migliaia di bancomat. Sulla strada verso il reale centro di elaborazione, il carder inserisce il proprio, falso. Questo centro di elaborazione falso fornisce istruzioni al bancomat per erogare banconote. Inoltre, il carder configura il suo centro di elaborazione in modo tale che l'erogazione di contante avvenga indipendentemente dal tipo di carta inserita nel bancomat, anche se è scaduta o ha un saldo di zero. L'importante è che il centro di elaborazione falso "riconosca" la carta. Il centro di elaborazione falso può essere un dispositivo artigianale o un simulatore di centro di elaborazione, originariamente progettato per il debug delle impostazioni di rete (un altro dono del "produttore" ai carder).
Nell'illustrazione seguente un dump dei comandi per l'erogazione di 40 banconote dalla quarta cassetta, inviate da un centro di elaborazione falso e conservate nei registri del software ATM. Sembrano quasi veri.
Dump dei comandi del centro di elaborazione falso
Fonte: habr.com
