Stojące na ulicach miasta metalowe skrzynki z pieniędzmi nie mogą nie przyciągać uwagi osób szukających szybkich zysków. A jeśli wcześniej do opróżniania bankomatów wykorzystywano wyłącznie metody fizyczne, to teraz w grę wchodzą coraz bardziej wyrafinowane sztuczki związane z komputerami. Obecnie najpopularniejszą z nich jest „czarna skrzynka” z jednopłytkowym mikrokomputerem w środku. O tym, jak to działa, porozmawiamy w tym artykule.
Szef międzynarodowego stowarzyszenia producentów bankomatów (ATMIA) „czarne skrzynki” jako najbardziej niebezpieczne zagrożenie dla bankomatów.
Typowy bankomat to zestaw gotowych komponentów elektromechanicznych, umieszczonych w jednej obudowie. Producenci bankomatów budują swoje metalowe dzieła z urządzenia do wydawania banknotów, czytnika kart i innych komponentów, które zostały już opracowane przez zewnętrznych dostawców. Taki konstruktor LEGO dla dorosłych. Gotowe komponenty umieszczane są w obudowie bankomatu, która zazwyczaj składa się z dwóch przedziałów: górny przedział („gabinet” lub „strefa obsługi”) oraz dolny przedział (sejf). Wszystkie komponenty elektromechaniczne są podłączane przez porty USB i COM do jednostki centralnej, która w tym przypadku pełni rolę hosta. W starszych modelach bankomatów można także spotkać połączenia przez szynę SDC.
Ewolucja bankomatowego kardingu
Bankomaty z ogromnymi kwotami wewnątrz niezmiennie przyciągają kardery. Na początku kardery wykorzystywały tylko oczywiste fizyczne niedociągnięcia zabezpieczeń bankomatów – korzystały z skimmerów i shimmy do kradzieży danych z taśm magnetycznych; fałszywych pinpadów i kamer do podglądania kodów PIN; a nawet fałszywych bankomatów.
Potem, gdy bankomaty zaczęły być wyposażane w zharmonizowane oprogramowanie działające według jednolitych standardów, takich jak XFS (eXtensions for Financial Services), kardery zaczęły atakować bankomaty wirusami komputerowymi.
Wśród nich Trojan.Skimmer, Backdoor.Win32.Skimer, Ploutus, ATMii i inne liczne nazwane oraz bezimienne złośliwe programy, które kardery instalują na hoście bankomatu, albo za pomocą bootowalnego pendrive'a, albo poprzez port TCP zdalnego zarządzania.
Proces zarażania bankomatu
Przechwytując podsystem XFS, złośliwe oprogramowanie może wydawać polecenia urządzeniu wydającemu banknoty, bez autoryzacji. Może także wydawać polecenia do czytnika kart: odczytywać/zapisywać pasek magnetyczny karty bankowej, a nawet wydobywać historię transakcji przechowywaną na chipie karty EMV. Szczególną uwagę zasługuje EPP (Encrypting PIN Pad; szyfrowany pinpad). Powszechnie uważa się, że wprowadzany na nim kod PIN nie może być przechwycony. Jednak XFS pozwala na używanie pinpadu EPP w dwóch trybach: 1) tryb otwarty (do wprowadzania różnych parametrów liczbowych, takich jak suma do wypłaty); 2) tryb bezpieczny (w który EPP przełącza się, gdy należy wprowadzić kod PIN lub klucz szyfrowania). Ta cecha XFS pozwala kardery na przeprowadzenie ataku MiTM: przechwycenie polecenia aktywacji trybu bezpiecznego, które jest wysyłane z hosta do EPP, a następnie informowanie pinpadu EPP, aby kontynuował pracę w trybie otwartym. W odpowiedzi na tę wiadomość EPP wysyła naciśnięcia klawiszy w postaci niezaszyfrowanej.
Zasada działania „czarnej skrzynki”
W ostatnich latach, Europolu, złośliwe oprogramowanie dla bankomatów znacznie się ewoluowało. Kardery nie potrzebują już fizycznego dostępu do bankomatu, aby go zainfekować. Mogą zarażać bankomaty za pomocą zdalnych ataków sieciowych, wykorzystując do tego sieć korporacyjną banku. Group IB, w 2016 roku w ponad 10 krajach Europy, bankomaty były narażone na atak zdalny.
Atak na bankomat przez zdalny dostęp
Oprogramowanie antywirusowe, blokowanie aktualizacji oprogramowania, blokowanie portów USB i szyfrowanie dysku twardego – w pewnym stopniu chronią bankomat przed wirusowymi atakami kardery. Ale co jeśli karder nie atakuje hosta, lecz bezpośrednio łączy się z urządzeniem peryferyjnym (przez RS232 lub USB) – z czytnikiem kart, pinpadem lub urządzeniem wydającym gotówkę?
Pierwsze spotkanie z „czarną skrzynką”
Dziś technicznie zaawansowane kardery , wykorzystując do kradzieży gotówki z bankomatów tzw. „czarne skrzynki” – specjalnie zaprogramowane jedno-płytkowe komputery, podobne do Raspberry Pi. „Czarne skrzynki” opróżniają bankomaty do ostatniej sztuki, w zupełnie magiczny (z punktu widzenia bankierów) sposób. Złodzieje podłączają swoje magiczne urządzenie bezpośrednio do bankomatu; aby wydobyć z niego wszystkie dostępne pieniądze. Taki atak omija wszystkie oprogramowanie zabezpieczające zainstalowane na bankomacie (antywirusy, kontrola integralności, pełne szyfrowanie dysku itd.).
„Czarna skrzynka” oparta na Raspberry Pi
Najwięksi producenci bankomatów i rządowe służby specjalne, stając w obliczu kilku realizacji „czarnej skrzynki”, , że te pomysłowe komputery skłaniają bankomaty do wypłacania wszystkich dostępnych gotówek; 40 banknotów co 20 sekund. Również służby specjalne ostrzegają, że złodzieje najczęściej celują w bankomaty w aptekach, centrach handlowych; oraz w bankomaty obsługujące kierowców „w drodze”.
Przy tym, aby nie zwracać na siebie uwagi przed kamerami, najbardziej ostrożni złodzieje biorą ze sobą jakiegoś niezbyt wartościowego pomocnika, „mula”. Aby ten nie mógł przywłaszczyć sobie „czarnej skrzynki”, stosują . Usuwają z „czarnej skrzynki” kluczową funkcjonalność i podłączają do niej smartfon, który stosują jako kanał do zdalnego przesyłania komend okrojonej „czarnej skrzynce” przez protokół IP.
Modyfikacja „czarnej skrzynki”, z aktywacją poprzez zdalny dostęp
Jak to wygląda z punktu widzenia bankierów? Na nagraniach z kamer monitorujących dzieje się mniej więcej tak: jakaś osoba otwiera górną komorę (strefę serwisową), podłącza do bankomatu „magiczny box”, zamyka górną komorę i odchodzi. Po chwili kilka osób, wyglądających na zwykłych klientów, podchodzi do bankomatu i wypłaca ogromne kwoty pieniędzy. Następnie złodziej wraca i wyciąga ze bankomatu swoje małe magiczne urządzenie. Zwykle fakt ataku na bankomat „czarną skrzynką” zostaje zauważony dopiero po kilku dniach: gdy pusty sejf i dziennik wypłat gotówki – nie zgadzają się. W rezultacie pracownicy banku pozostają tylko .
Analiza komunikacji bankomatów
Jak już wspomniano, interakcja między jednostką centralną a urządzeniami peryferyjnymi odbywa się za pośrednictwem USB, RS232 lub SDC. Karder łączy się bezpośrednio z portem urządzenia peryferyjnego i wysyła mu polecenia – z ominięciem hosta. Jest to dość proste, ponieważ standardowe interfejsy nie wymagają specjalnych sterowników. A protokoły własnościowe, według których peryferia i host współdziałają, nie wymagają autoryzacji (przecież urządzenie znajduje się w zaufanej strefie); dlatego te niezabezpieczone protokoły, za pomocą których peryferia i host współdziałają, łatwo można podsłuchiwać i łatwo są podatne na ataki poprzez powtarzanie.
Zatem, karderzy mogą używać programowego lub sprzętowego analizatora ruchu, łącząc go bezpośrednio z portem konkretnego urządzenia peryferyjnego (na przykład z czytnikiem kart) – w celu zbierania przesyłanych danych. Korzystając z analizatora ruchu, karder poznaje wszystkie techniczne szczegóły dotyczące działania bankomatu, w tym niedokumentowane funkcje jego peryferiów (na przykład funkcję zmiany oprogramowania urządzenia peryferyjnego). W rezultacie karder uzyskuje pełną kontrolę nad bankomatem. Przy tym, wykrycie obecności analizatora ruchu jest dość trudne.
Bezpośrednia kontrola nad urządzeniem wydania banknotów oznacza, że kasety bankomatu mogą być opróżniane bez jakiegokolwiek zapisu w logach, które normalnie wprowadza oprogramowanie zainstalowane na hoście. Dla tych, którzy nie znają programowo-sprzętowej architektury bankomatu, może to rzeczywiście wyglądać jak magia.
Skąd biorą się "czarne skrzynki"?
Dostawcy bankomatów i podwykonawcy opracowują narzędzia diagnostyczne do diagnostyki sprzętu bankomatu, w tym elektromechaniki odpowiedzialnej za wypłatę gotówki. Wśród takich narzędzi znajdują się: , . Na poniższym rysunku przedstawiono jeszcze kilka takich narzędzi diagnostycznych.
Panel sterowania ATMDesk
Panel sterowania RapidFire ATM XFS
Porównawcze cechy kilku narzędzi diagnostycznych
Dostęp do takich narzędzi jest zazwyczaj ograniczony spersonalizowanymi tokenami; działają one tylko przy otwartych drzwiach sejfu bankomatu. Jednak wystarczy, że zmieni się w kodzie binarnym narzędzia kilka bajtów, a karderzy "przetestować" wypłatę gotówki – z pominięciem kontroli przewidzianych przez producenta narzędzia. Kardi przyłączają takie zmodyfikowane narzędzia do swojego laptopa lub jednopłytowego mikrokontrolera, które następnie łączą bezpośrednio z urządzeniem wydania banknotów, aby nieautoryzowanie wypłacić gotówkę.
"Ostatnia mila" i fałszywe centrum przetwarzania
Bezpośrednia interakcja z urządzeniami peryferyjnymi, bez komunikacji z hostem – to tylko jedna z efektywnych technik kardi. Inne techniki opierają się na fakcie, że mamy szeroki wachlarz interfejsów sieciowych, przez które bankomat łączy się ze światem zewnętrznym. Od X.25 do Ethernet i komunikacji komórkowej. Wiele bankomatów można zidentyfikować i zlokalizować za pomocą usługi Shodan (najbardziej zwięzła instrukcja jej użycia przedstawiona ), – z późniejszym atakiem, wykorzystującym podatne konfiguracje bezpieczeństwa, lenistwo administratora i wrażliwe komunikacje między różnymi jednostkami banku.
"Ostatnia mila" łączności między bankomatem a centrum przetwarzania obfituje w najróżniejsze technologie, które mogą stanowić punkt dostępu dla kardi. Interakcja może przebiegać poprzez kablowy (linia telefoniczna lub Ethernet) lub bezprzewodowy (Wi-Fi, komunikacja komórkowa: CDMA, GSM, UMTS, LTE) sposób komunikacji. Mechanizmy bezpieczeństwa mogą obejmować: 1) sprzętowe lub programowe środki wspierające VPN (zarówno standardowe, wbudowane w OS, jak i od zewnętrznych producentów); 2) SSL/TLS (zarówno specyficzne dla danego modelu bankomatu, jak i od zewnętrznych producentów); 3) szyfrowanie; 4) uwierzytelnianie wiadomości.
Jednak , że dla banków wymienione technologie wydają się bardzo skomplikowane, dlatego nie zadają sobie trudu, by wprowadzić specjalną ochronę sieciową; lub realizują ją z błędami. W najlepszym przypadku bankomat łączy się z serwerem VPN, a już wewnątrz prywatnej sieci – łączy się z centrum przetwarzania. Ponadto, nawet jeśli banki uda się wdrożyć wymienione powyżej mechanizmy ochrony, kardi już ma skuteczne ataki przeciwko nim. Tak więc, nawet jeśli bezpieczeństwo spełnia standard PCI DSS, bankomaty wciąż pozostają wrażliwe.
Jednym z głównych wymogów PCI DSS jest to, że wszystkie dane poufne muszą być szyfrowane podczas przesyłania przez publiczną sieć. Rzeczywiście mamy sieci, które zostały zaprojektowane w taki sposób, że dane są w nich całkowicie szyfrowane! Dlatego rodzi się pokusa, aby powiedzieć: „Mamy zabezpieczone dane, ponieważ używamy Wi-Fi i GSM”. Jednak wiele z tych sieci nie zapewnia wystarczającej ochrony. Sieci komórkowe wszystkich generacji są już od dawna złamane. Ostatecznie i bezpowrotnie. Istnieją nawet dostawcy, którzy oferują urządzenia do przechwytywania danych przesyłanych za ich pośrednictwem.
Dlatego w niebezpiecznej komunikacji lub w „prywatnej” sieci, gdzie każdy bankomat nadąża o sobie do innych bankomatów, może być zainicjowany atak MiTM „fałszywego centrum przetwarzania”, który spowoduje, że koder przejmie kontrolę nad przepływem danych przesyłanych między bankomatem a centrum przetwarzania.
potencjalnie podlegają tysiące bankomatów. Na drodze do prawdziwego centrum przetwarzania – koder wstawia swoje, fałszywe. To fałszywe centrum przetwarzania wydaje bankomatowi polecenia wypłaty banknotów. Koder konfiguruje swoje centrum przetwarzania w taki sposób, aby wypłaty gotówki odbywały się niezależnie od tego, jaka karta jest wkładana do bankomatu – nawet jeśli jej ważność wygasła lub ma zerowe saldo. Kluczowe jest to, aby fałszywe centrum przetwarzania „znało” ją. Fałszywe centrum przetwarzania może być zarówno ręcznie wykonanym produktem, jak i symulatorem centrum przetwarzania, które zostało pierwotnie zaprojektowane w celu debugowania ustawień sieciowych (jeszcze jeden prezent „producenta” dla koderów).
Na poniższym rysunku zrzut poleceń do wydania 40 banknotów z czwartej kasety, - wysłanych z fałszywego centrum przetwarzania i przechowywanych w dziennikach oprogramowania ATM. Wyglądają prawie jak prawdziwe.
Zrzut poleceń z fałszywego centrum przetwarzania
Źródło: habr.com
