Железни кутии со пари кои стојат по улиците на градот не можат а да не го привлечат вниманието на љубителите на брзи пари. И ако претходно се користеа чисто физички методи за празнење на банкоматите, сега се користат се повеќе вешти компјутерски трикови. Сега најрелевантна од нив е „црната кутија“ со микрокомпјутер со една плоча внатре. Ќе зборуваме за тоа како функционира во оваа статија.

– Еволуција на картирањето на банкоматите
– Прво запознавање со „црната кутија“
– Анализа на банкомат комуникации
– Од каде потекнуваат „црните кутии“?
– „Последна милја“ и центар за лажна обработка

Раководител на Меѓународната асоцијација на производители на банкомати (ATMIA) издвои „црните кутии“ како најопасна закана за банкоматите.

Типичен банкомат е збир на готови електромеханички компоненти сместени во едно куќиште. Производителите на банкомати ги градат своите хардверски креации од диспензерот за сметки, читач на картички и други компоненти веќе развиени од трети добавувачи. Еден вид LEGO конструктор за возрасни. Готовите компоненти се ставаат во телото на банкоматот, кое обично се состои од две прегради: горен оддел („кабинет“ или „сервис“) и долен оддел (безбеден). Сите електромеханички компоненти се поврзани преку USB и COM порти на системската единица, која во овој случај делува како домаќин. На постарите модели на банкомати можете да најдете врски и преку автобусот SDC.

Еволуцијата на картирањето на банкоматите

Банкоматите со огромни суми внатре непроменливо ги привлекуваат кардерите. Отпрвин, кардерите ги искористија само грубите физички недостатоци на заштитата на банкоматите - тие користеа скимери и треперења за да украдат податоци од магнетни ленти; лажни иглички и камери за гледање пински кодови; па дури и лажни банкомати.

Потоа, кога банкоматите почнаа да се опремени со унифициран софтвер кој работи според заеднички стандарди, како што е XFS (EXtensions for Financial Services), кардерите почнаа да ги напаѓаат банкоматите со компјутерски вируси.

Меѓу нив се Trojan.Skimmer, Backdoor.Win32.Skimer, Ploutus, ATMii и други бројни именувани и неименувани малициозен софтвер, кој кардерите го поставуваат на домаќинот на банкоматот или преку бутабилен USB флеш-драјв или преку приклучок за далечински управувач TCP.

Процес на инфекција со банкомат

Откако го фати потсистемот XFS, малициозен софтвер може да издава команди до доставувачот на банкноти без овластување. Или дајте команди на читачот на картички: прочитајте/запишете ја магнетната лента на банкарска картичка, па дури и повратете ја историјата на трансакциите зачувана на чипот на картичката EMV. EPP (Encrypting PIN Pad) заслужува посебно внимание. Општо е прифатено дека PIN-кодот внесен на него не може да се пресретне. Сепак, XFS ви овозможува да го користите EPP pinpad во два режима: 1) отворен режим (за внесување различни нумерички параметри, како што е износот што треба да се уплати); 2) безбеден режим (EPP се префрла на него кога треба да внесете PIN код или клуч за шифрирање). Оваа карактеристика на XFS му овозможува на кардерот да изврши MiTM напад: пресретнете ја командата за активирање на безбеден режим што е испратена од домаќинот до EPP, а потоа информирајте го пинпадот на EPP дека треба да продолжи да работи во отворен режим. Како одговор на оваа порака, ЕПП испраќа притискање на копчињата во јасен текст.

Принцип на работа на „црната кутија“

Во последниве години, според Европол, малициозен софтвер за банкомати значително еволуираше. Картичките повеќе не треба да имаат физички пристап до банкомат за да го заразат. Тие можат да заразат банкомати преку далечински мрежни напади користејќи ја корпоративната мрежа на банката. Според Група ИБ, во 2016 година во повеќе од 10 европски земји, банкоматите беа предмет на далечински напади.

Напад на банкомат преку далечински пристап

Антивируси, блокирање ажурирања на фирмверот, блокирање на USB-порти и шифрирање на хард дискот - до одреден степен го штитат банкоматот од вирусни напади од кардери. Но, што ако кардерот не го нападне домаќинот, туку се поврзе директно на периферијата (преку RS232 или USB) - со читач на картички, подлога за пинови или дозер за готовина?

Прво запознавање со „црната кутија“

Денешни технолошки кардери токму тоа го прават, користејќи го т.н. за крадење готовина од банкомат. „црните кутии“ се специјално програмирани микрокомпјутери со една плоча, како Raspberry Pi. „Црните кутии“ целосно ги испразнуваат банкоматите, на сосема магичен (од гледна точка на банкарите) начин. Кардерите го поврзуваат својот магичен уред директно со диспензерот за сметки; да ги извлече сите расположливи пари од него. Овој напад го заобиколува целиот безбедносен софтвер распореден на домаќинот на банкоматот (антивирус, следење на интегритетот, целосно шифрирање на дискот, итн.).

„Црна кутија“ базирана на Raspberry Pi

Најголемите производители на банкомати и владините разузнавачки агенции, соочени со неколку имплементации на „црната кутија“, предупредуваатдека овие паметни компјутери ги поттикнуваат банкоматите да ги исплукаат сите достапни пари; 40 банкноти на секои 20 секунди. Безбедносните служби предупредуваат и дека кардерите најчесто ги таргетираат банкоматите во аптеките и трговските центри; а исто така и на банкомати кои ги опслужуваат возачите во движење.

Притоа, за да не се појават пред камерите, највнимателните кардери земаат помош од некој не многу вреден партнер, мазга. И за да не може да си ја присвои „црната кутија“ за себе, користат следниот дијаграм. Тие ја отстрануваат клучната функционалност од „црната кутија“ и поврзуваат паметен телефон со неа, кој се користи како канал за далечинско пренесување на команди до одземената „црна кутија“ преку IP протоколот.

Измена на „црната кутија“, со активирање преку далечински пристап

Како изгледа ова од гледна точка на банкарите? На снимките од безбедносните камери се случува вакво нешто: одредено лице ја отвора горната преграда (сервис), поврзува „магична кутија“ со банкоматот, ја затвора горната преграда и заминува. Малку подоцна, неколку луѓе, навидум обични клиенти, се приближуваат до банкоматот и повлекуваат огромни суми пари. Кардерот потоа се враќа и го зема својот мал магичен уред од банкоматот. Вообичаено, фактот за напад на банкомат од „црна кутија“ се открива само по неколку дена: кога празниот сеф и дневникот за подигање готовина не се совпаѓаат. Како резултат на тоа, вработените во банката можат само чешајте ги главите.

Анализа на банкомат комуникации

Како што е наведено погоре, интеракцијата помеѓу системската единица и периферните уреди се врши преку USB, RS232 или SDC. Кардерот директно се поврзува со портата на периферниот уред и испраќа команди до него - заобиколувајќи го домаќинот. Ова е прилично едноставно, бидејќи стандардните интерфејси не бараат специфични драјвери. И комерцијалните протоколи со кои комуницираат периферниот уред и домаќинот не бараат овластување (на крајот на краиштата, уредот се наоѓа во доверлива зона); и затоа овие несигурни протоколи, преку кои комуницираат периферниот уред и домаќинот, лесно се прислушуваат и лесно се подложни на напади од повторување.

Тоа. Картичките можат да користат софтверски или хардверски анализатор на сообраќај, поврзувајќи го директно со пристаништето на одреден периферен уред (на пример, читач на картички) за собирање на пренесените податоци. Користејќи анализатор на сообраќај, картичарот ги учи сите технички детали за работата на банкоматот, вклучувајќи ги недокументираните функции на неговите периферни уреди (на пример, функцијата за промена на фирмверот на периферниот уред). Како резултат на тоа, корисникот добива целосна контрола над банкоматот. Во исто време, доста е тешко да се открие присуството на сообраќаен анализатор.

Директната контрола врз диспензерот за банкноти значи дека касетите на банкоматите може да се испразнат без никакво снимање во дневниците, кои вообичаено се внесуваат од софтверот распореден на домаќинот. За оние кои не се запознаени со архитектурата на хардверот и софтверот на банкоматите, тоа навистина може да изгледа како магија.

Од каде потекнуваат црните кутии?

Добавувачите и подизведувачите на банкомати развиваат алатки за отстранување грешки за дијагностицирање на хардверот на банкоматите, вклучително и електричните механичари одговорни за повлекување готовина. Меѓу овие комунални услуги: ATMDesk, RapidFire ATM XFS. Сликата подолу покажува уште неколку такви дијагностички алатки.

Контролен панел на ATMDesk

Контролна табла RapidFire ATM XFS

Компаративни карактеристики на неколку дијагностички алатки

Пристапот до таквите комунални услуги е вообичаено ограничен на персонализирани токени; и работат само кога вратата на сефот на банкоматот е отворена. Сепак, едноставно со замена на неколку бајти во бинарниот код на алатката, кардери може да „Тест“ повлекување готовина - заобиколувајќи ги проверките обезбедени од производителот на комуналните услуги. Картизерите инсталираат такви модифицирани алатки на нивниот лаптоп или микрокомпјутер со една плоча, кои потоа се поврзани директно со диспензерот за банкноти за неовластено подигање готовина.

„Последна милја“ и лажен центар за обработка

Директната интеракција со периферијата, без комуникација со домаќинот, е само една од ефективни техники на кардирање. Другите техники се потпираат на фактот дека имаме широк спектар на мрежни интерфејси преку кои банкоматот комуницира со надворешниот свет. Од X.25 до етернет и мобилни. Многу банкомати може да се идентификуваат и локализираат со помош на услугата Shodan (најконцизни упатства за нејзина употреба се претставени тука), – со последователен напад кој ја искористува ранливата безбедносна конфигурација, мрзеливоста на администраторот и ранливите комуникации помеѓу различни оддели на банката.

„Последната милја“ на комуникација помеѓу банкоматот и процесорскиот центар е богата со широк спектар на технологии кои можат да послужат како влезна точка за корисникот. Интеракцијата може да се врши преку жичен (телефонска линија или етернет) или безжичен (Wi-Fi, мобилен: CDMA, GSM, UMTS, LTE) комуникациски метод. Безбедносните механизми може да вклучуваат: 1) хардвер или софтвер за поддршка на VPN (и стандардни, вградени во ОС и од трети страни); 2) SSL/TLS (и специфични за одреден модел на банкомат и од трети производители); 3) шифрирање; 4) автентикација на пораката.

Но се чинидека за банките наведените технологии изгледаат многу сложени и затоа не се замараат со посебна мрежна заштита; или го спроведуваат со грешки. Во најдобар случај, банкоматот комуницира со VPN серверот, а веќе внатре во приватната мрежа се поврзува со процесорскиот центар. Дополнително, дури и ако банките успеат да ги имплементираат заштитните механизми наведени погоре, кардерот веќе има ефективни напади против нив. Тоа. Дури и ако безбедноста е во согласност со стандардот PCI DSS, банкоматите сè уште се ранливи.

Еден од основните барања на PCI DSS е дека сите чувствителни податоци мора да бидат шифрирани кога се пренесуваат преку јавна мрежа. И ние всушност имаме мрежи кои првично беа дизајнирани на таков начин што податоците во нив се целосно шифрирани! Затоа, примамливо е да се каже: „Нашите податоци се шифрирани затоа што користиме Wi-Fi и GSM“. Сепак, многу од овие мрежи не обезбедуваат доволна безбедност. Мобилните мрежи од сите генерации одамна се хакирани. Конечно и неотповикливо. Има дури и добавувачи кои нудат уреди за пресретнување на податоците што се пренесуваат преку нив.

Затоа, или во небезбедна комуникација или во „приватна“ мрежа, каде што секој банкомат се емитува на други банкомати, може да се иницира напад на MiTM „лажен центар за процесирање“ - што ќе доведе до преземање на контролата врз протокот на податоци што се пренесуваат помеѓу клиентот. Банкомат и процесорски центар.

Таквите MiTM напади Илјадници банкомати се потенцијално погодени. На патот до оригиналниот центар за обработка, кардерот го вметнува својот, лажен. Овој лажен центар за обработка дава команди на банкоматот да издава банкноти. Во овој случај, картичарот го конфигурира својот центар за обработка на таков начин што готовината се издава без оглед на тоа која картичка е вметната во банкоматот - дури и ако е истечен или има нула салдо. Главната работа е што центарот за лажна обработка го „препознава“. Лажен центар за обработка може да биде или домашен производ или симулатор на центар за обработка, првично дизајниран за дебагирање на мрежните поставки (уште еден подарок од „производителот“ на кардерите).

На следната слика дадена депонија на команди за издавање 40 банкноти од четвртата касета - испратени од лажен процесорски центар и складирани во логови на софтвер за банкомати. Тие изгледаат речиси реално.

Командна депонија на лажен центар за обработка

Извор: www.habr.com