도시의 거리에 돈이 담긴 철 상자가 서 있으면 빠른 돈을 좋아하는 사람들의 관심을 끌 수밖에 없습니다. 그리고 이전에는 ATM을 비우기 위해 순전히 물리적인 방법을 사용했다면 이제는 컴퓨터와 관련된 기술이 점점 더 능숙하게 사용되고 있습니다. 이제 가장 관련성이 높은 것은 내부에 단일 보드 마이크로컴퓨터가 있는 "블랙 박스"입니다. 이 기사에서는 그것이 어떻게 작동하는지 이야기하겠습니다.

– ATM 카드의 진화
– '블랙박스'를 처음 접한 사람
– ATM 통신 분석
– '블랙박스'는 어디에서 왔는가?
– “라스트 마일” 및 가짜 처리 센터

국제ATM제조협회(ATMIA) 회장 밖으로 골라 내다 ATM에 대한 가장 위험한 위협은 '블랙박스'입니다.

일반적인 ATM은 하나의 하우징에 들어 있는 미리 만들어진 전기 기계 구성 요소 세트입니다. ATM 제조업체는 제XNUMX자 공급업체가 이미 개발한 지폐 지급기, 카드 판독기 및 기타 구성 요소를 사용하여 하드웨어를 제작합니다. 일종의 성인용 LEGO 생성자입니다. 완성된 구성 요소는 일반적으로 두 개의 구획, 즉 상단 구획("캐비닛" 또는 "서비스 영역")과 하단 구획(안전함)으로 구성되는 ATM 본체에 배치됩니다. 모든 전기 기계 구성 요소는 USB 및 COM 포트를 통해 시스템 장치에 연결되며, 이 경우 호스트 역할을 합니다. 구형 ATM 모델에서는 SDC 버스를 통해 연결을 찾을 수도 있습니다.

ATM 카드의 진화

내부에 막대한 금액이 들어있는 ATM은 변함없이 카드 사용자를 끌어들입니다. 처음에 Carders는 ATM 보호의 총체적인 물리적 결함만을 이용했습니다. 그들은 스키머와 쉬머를 사용하여 자기 띠에서 데이터를 훔쳤습니다. 핀 코드를 보기 위한 가짜 핀 패드 및 카메라; 심지어 가짜 ATM도요.

그러다가 ATM에 XFS(eXtensions for Financial Services)와 같은 공통 표준에 따라 작동하는 통합 소프트웨어가 탑재되기 시작하자 카드사에서는 컴퓨터 바이러스로 ATM을 공격하기 시작했습니다.

그중에는 Trojan.Skimmer, Backdoor.Win32.Skimer, Ploutus, ATMii 및 기타 이름이 있거나 이름이 지정되지 않은 수많은 악성 코드가 있으며, 이 악성 코드는 부팅 가능한 USB 플래시 드라이브나 TCP 원격 제어 포트를 통해 ATM 호스트에 설치됩니다.

ATM 감염 과정

XFS 하위 시스템을 캡처한 악성코드는 승인 없이 지폐 지급기에 명령을 내릴 수 있습니다. 또는 카드 리더기에 명령을 내리십시오. 은행 카드의 자기 띠를 읽고 쓰며 EMV 카드 칩에 저장된 거래 내역을 검색할 수도 있습니다. EPP(암호화 PIN 패드)는 특별한 주의를 기울일 가치가 있습니다. 입력된 PIN 코드는 가로챌 수 없다는 것이 일반적으로 인정됩니다. 그러나 XFS를 사용하면 EPP 핀패드를 두 가지 모드로 사용할 수 있습니다. 1) 개방 모드(현금화할 금액과 같은 다양한 수치 매개변수 입력용) 2) 안전 모드(EPP는 PIN 코드나 암호화 키를 입력해야 할 때 안전 모드로 전환됩니다). XFS의 이 기능을 사용하면 카더가 MiTM 공격을 수행할 수 있습니다. 호스트에서 EPP로 전송되는 안전 모드 활성화 명령을 가로채고 EPP 핀패드에 개방 모드에서 계속 작동해야 한다고 알립니다. 이 메시지에 대한 응답으로 EPP는 일반 텍스트로 키 입력을 보냅니다.

블랙박스의 작동원리

최근 몇 년 동안, ~에 따르면 Europol, ATM 악성 코드는 크게 진화했습니다. Carders는 더 이상 ATM을 감염시키기 위해 ATM에 물리적으로 접근할 필요가 없습니다. 은행의 기업 네트워크를 이용한 원격 네트워크 공격을 통해 ATM을 감염시킬 수 있다. 에 따르면 그룹 IB는 2016년 유럽 10개국 이상에서 ATM이 원격 공격을 받았습니다.

원격 액세스를 통한 ATM 공격

바이러스 백신, 펌웨어 업데이트 차단, USB 포트 차단 및 하드 드라이브 암호화 등은 카더의 바이러스 공격으로부터 ATM을 어느 정도 보호합니다. 그러나 카더가 호스트를 공격하지 않고 주변 장치(RS232 또는 USB를 통해), 즉 카드 리더기, 핀 패드 또는 현금 지급기에 직접 연결된다면 어떻게 될까요?

블랙박스를 처음 접한 사람

오늘날의 기술에 정통한 카더 그게 바로 그들이 하는 일이야, 소위 ATM에서 현금을 훔치는 방법을 사용합니다. "블랙박스"는 Raspberry Pi와 같이 특별히 프로그래밍된 단일 보드 마이크로컴퓨터입니다. "블랙박스"는 완전히 마술적인(은행가의 관점에서) 방식으로 ATM을 완전히 비웁니다. Carders는 마술 장치를 지폐 디스펜서에 직접 연결합니다. 거기에서 사용 가능한 모든 돈을 추출합니다. 이 공격은 ATM 호스트에 배포된 모든 보안 소프트웨어(바이러스 백신, 무결성 모니터링, 전체 디스크 암호화 등)를 우회합니다.

라즈베리파이 기반의 '블랙박스'

여러 가지 "블랙박스" 구현에 직면한 최대 규모의 ATM 제조업체와 정부 정보 기관은 경고하다이 영리한 컴퓨터는 ATM이 사용 가능한 모든 현금을 뱉어내도록 유도합니다. 40초마다 20개의 지폐가 나옵니다. 보안 서비스는 또한 카더가 약국과 쇼핑 센터에 있는 ATM을 가장 자주 표적으로 삼는다고 경고합니다. 이동 중에도 운전자에게 서비스를 제공하는 ATM에도 적용됩니다.

동시에 카메라 앞에 나타나지 않기 위해 가장 신중한 카더는별로 가치가없는 파트너 인 노새의 도움을받습니다. 그리고 그가 "블랙박스"를 자신을 위해 사용할 수 없도록 하기 위해 그들은 다음 다이어그램. 이들은 "블랙박스"에서 주요 기능을 제거하고 여기에 스마트폰을 연결합니다. 이 스마트폰은 IP 프로토콜을 통해 단순해진 "블랙박스"에 원격으로 명령을 전송하기 위한 채널로 사용됩니다.

원격 액세스를 통한 활성화를 통한 "블랙박스" 수정

은행가의 관점에서 보면 이것은 어떤 모습일까요? 비디오 카메라 녹화에서 다음과 같은 일이 발생합니다. 특정 사람이 상단 칸(서비스 영역)을 열고 "마법 상자"를 ATM에 연결하고 상단 칸을 닫고 떠납니다. 잠시 후 평범한 손님처럼 보이는 여러 사람이 ATM에 다가가 엄청난 액수의 돈을 인출합니다. 그런 다음 카드 판매원은 돌아와서 ATM에서 작은 마법 장치를 꺼냅니다. 일반적으로 '블랙박스'에 의한 ATM 공격 사실은 빈 금고와 현금 인출 기록이 일치하지 않는 며칠 후에야 발견됩니다. 결과적으로 은행 직원은 머리를 긁다.

ATM 통신 분석

위에서 언급한 것처럼 시스템 장치와 주변 장치 간의 상호 작용은 USB, RS232 또는 SDC를 통해 수행됩니다. 카더는 주변 장치의 포트에 직접 연결하고 호스트를 우회하여 명령을 보냅니다. 표준 인터페이스에는 특정 드라이버가 필요하지 않기 때문에 이는 매우 간단합니다. 그리고 주변 장치와 호스트가 상호 작용하는 독점 프로토콜에는 인증이 필요하지 않습니다(결국 장치는 신뢰할 수 있는 영역 내에 위치합니다). 따라서 주변 장치와 호스트가 통신하는 이러한 안전하지 않은 프로토콜은 쉽게 도청되고 재생 공격에 쉽게 취약합니다.

저것. Carders는 소프트웨어 또는 하드웨어 트래픽 분석기를 사용하여 이를 특정 주변 장치(예: 카드 리더기)의 포트에 직접 연결하여 전송된 데이터를 수집할 수 있습니다. 트래픽 분석기를 사용하여 카더는 주변 장치의 문서화되지 않은 기능(예: 주변 장치의 펌웨어 변경 기능)을 포함하여 ATM 작동의 모든 기술적 세부 사항을 학습합니다. 결과적으로 카드 발행인은 ATM에 대한 완전한 통제권을 갖게 됩니다. 동시에 트래픽 분석기의 존재를 감지하는 것은 매우 어렵습니다.

지폐 디스펜서를 직접 제어한다는 것은 일반적으로 호스트에 배포된 소프트웨어에 의해 입력되는 로그에 기록하지 않고 ATM 카세트를 비울 수 있음을 의미합니다. ATM 하드웨어와 소프트웨어 아키텍처에 익숙하지 않은 사람들에게는 이것이 정말 마술처럼 보일 수 있습니다.

블랙박스는 어디서 나오나요?

ATM 공급업체와 하청업체는 현금 인출을 담당하는 전기 기계를 포함하여 ATM 하드웨어를 진단하기 위한 디버깅 유틸리티를 개발하고 있습니다. 이러한 유틸리티 중: ATM데스크, RapidFire ATM XFS. 아래 그림은 이러한 진단 유틸리티를 몇 가지 더 보여줍니다.

ATMDesk 제어판

RapidFire ATM XFS 제어판

여러 진단 유틸리티의 비교 특성

이러한 유틸리티에 대한 액세스는 일반적으로 개인화된 토큰으로 제한됩니다. ATM 금고 문이 열려 있을 때만 작동합니다. 그러나 단순히 유틸리티의 바이너리 코드에서 몇 바이트를 교체하는 것만으로도 Carders는 수 "테스트" 현금 인출 - 유틸리티 제조업체가 제공하는 수표를 우회합니다. Carders는 이러한 수정된 유틸리티를 노트북이나 단일 보드 마이크로컴퓨터에 설치한 다음 지폐 지급기에 직접 연결하여 무단 현금 인출을 수행합니다.

'라스트 마일'과 가짜 처리센터

호스트와의 소통 없이 주변과의 직접적인 상호 작용은 효과적인 카딩 기술 중 하나일 뿐입니다. 다른 기술은 ATM이 외부 세계와 통신하는 데 사용되는 다양한 네트워크 인터페이스가 있다는 사실에 의존합니다. X.25에서 이더넷 및 셀룰러까지. Shodan 서비스를 사용하여 많은 ATM을 식별하고 현지화할 수 있습니다(사용에 대한 가장 간결한 지침이 제시됨). 여기에), – 취약한 보안 구성, 관리자의 게으름, 은행의 여러 부서 간의 취약한 통신을 이용하는 후속 공격이 있습니다.

ATM과 처리 센터 간 통신의 "라스트 마일"에는 카더의 진입점 역할을 할 수 있는 다양한 기술이 풍부합니다. 상호 작용은 유선(전화선 또는 이더넷) 또는 무선(Wi-Fi, 셀룰러: CDMA, GSM, UMTS, LTE) 통신 방법을 통해 수행될 수 있습니다. 보안 메커니즘에는 다음이 포함될 수 있습니다. 1) VPN을 지원하는 하드웨어 또는 소프트웨어(표준, OS에 내장 및 제2자 모두) 3) SSL/TLS(특정 ATM 모델과 타사 제조업체 모두 해당) 4) 암호화; XNUMX) 메시지 인증.

하지만 그것은 보인다.은행의 경우 나열된 기술은 매우 복잡해 보이므로 특별한 네트워크 보호에 신경 쓰지 않습니다. 또는 오류가 있는 경우 구현합니다. 가장 좋은 경우 ATM은 VPN 서버와 통신하고 이미 개인 네트워크 내부에서 처리 센터에 연결됩니다. 또한 은행이 위에 나열된 보호 메커니즘을 구현하더라도 카더는 이미 이에 대한 효과적인 공격을 받고 있습니다. 저것. 보안이 PCI DSS 표준을 준수하더라도 ATM은 여전히 ​​취약합니다.

PCI DSS의 핵심 요구 사항 중 하나는 공용 네트워크를 통해 전송될 때 모든 민감한 데이터를 암호화해야 한다는 것입니다. 그리고 실제로 우리는 데이터가 완전히 암호화되도록 원래 설계된 네트워크를 가지고 있습니다! 따라서 "우리는 Wi-Fi와 GSM을 사용하기 때문에 데이터가 암호화됩니다."라고 말하고 싶은 유혹이 듭니다. 그러나 이러한 네트워크 중 다수는 충분한 보안을 제공하지 않습니다. 모든 세대의 셀룰러 네트워크는 오랫동안 해킹당해 왔습니다. 마지막으로, 그리고 돌이킬 수 없게. 그리고 자신을 통해 전송되는 데이터를 가로채는 장치를 제공하는 공급업체도 있습니다.

따라서 안전하지 않은 통신이나 각 ​​ATM이 다른 ATM에 자신을 브로드캐스팅하는 "사설" 네트워크에서 MiTM "가짜 처리 센터" 공격이 시작될 수 있습니다. 이로 인해 카더가 ATM 간에 전송되는 데이터 흐름을 제어하게 됩니다. ATM 및 처리 센터.

이러한 MiTM 공격 수천 대의 ATM이 잠재적으로 영향을 받을 수 있습니다. 진짜 가공센터로 가는 길에 카드더는 자신이 만든 가짜 카드를 집어넣는다. 이 가짜 처리 센터는 ATM에 지폐를 발행하라는 명령을 내립니다. 이 경우 카드 발행인은 ATM에 어떤 카드를 삽입했는지에 관계없이(만료되었거나 잔액이 XNUMX인 경우에도) 현금이 발행되도록 처리 센터를 구성합니다. 가장 중요한 것은 가짜 처리 센터가 이를 "인식"한다는 것입니다. 가짜 처리 센터는 수제 제품이거나 원래 네트워크 설정 디버깅을 위해 설계된 처리 센터 시뮬레이터일 수 있습니다("제조업체"가 카더에게 보내는 또 다른 선물).

다음 그림에서 주어진 네 번째 카세트에서 40개의 지폐를 발행하기 위한 명령 덤프 - 가짜 처리 센터에서 전송되어 ATM 소프트웨어 로그에 저장됩니다. 그들은 거의 진짜처럼 보입니다.

가짜 처리 센터의 명령 덤프

출처 : habr.com