Železné škatule s peniazmi stojace na uliciach mesta nemôžu upútať pozornosť milovníkov rýchlych peňazí. A ak sa predtým na vyprázdňovanie bankomatov používali čisto fyzikálne metódy, teraz sa používa čoraz viac šikovných počítačových trikov. Teraz je najdôležitejšou z nich „čierna skrinka“ s jednodoskovým mikropočítačom vo vnútri. O tom, ako to funguje, si povieme v tomto článku.
Vedúci Medzinárodnej asociácie výrobcov bankomatov (ATMIA) „čierne skrinky“ ako najnebezpečnejšiu hrozbu pre bankomaty.
Typický bankomat je súbor hotových elektromechanických komponentov umiestnených v jednom kryte. Výrobcovia bankomatov stavajú svoje hardvérové výtvory z automatu na bankovky, čítačky kariet a ďalších komponentov, ktoré už vyvinuli dodávatelia tretích strán. Akýsi LEGO konštruktér pre dospelých. Hotové komponenty sú umiestnené v tele bankomatu, ktoré sa zvyčajne skladá z dvoch oddelení: horného oddelenia ("skrinka" alebo "obslužná oblasť") a spodného oddelenia (trezor). Všetky elektromechanické komponenty sú pripojené cez USB a COM port k systémovej jednotke, ktorá v tomto prípade funguje ako hostiteľ. Na starších modeloch bankomatov nájdete pripojenie aj cez zbernicu SDC.
Evolúcia bankomatových kariet
Bankomaty s obrovskými sumami vo vnútri vždy priťahujú karty. Kartári najskôr využívali len hrubé fyzické nedostatky ATM ochrany – používali skimmery a trblietky na kradnutie údajov z magnetických prúžkov; Falošné pin pady a kamery na prezeranie PIN kódov; a dokonca aj falošné bankomaty.
Potom, keď sa bankomaty začali vybavovať jednotným softvérom fungujúcim podľa bežných štandardov, ako napríklad XFS (eXtensions for Financial Services), začali kartári napádať bankomaty počítačovými vírusmi.
Medzi nimi sú Trojan.Skimmer, Backdoor.Win32.Skimer, Ploutus, ATMii a ďalší početný menovaný a nemenovaný malvér, ktorý sa prenáša na hostiteľa bankomatu buď prostredníctvom zavádzacieho USB flash disku alebo cez port diaľkového ovládania TCP.
Proces infekcie ATM
Po zachytení subsystému XFS môže malvér zadávať príkazy automatu na bankovky bez autorizácie. Alebo dávajte príkazy čítačke kariet: prečítajte/zapíšte magnetický prúžok bankovej karty a dokonca načítajte históriu transakcií uloženú na čipe karty EMV. Špeciálnu pozornosť si zaslúži EPP (Encrypting PIN Pad). Všeobecne sa uznáva, že zadaný PIN kód nie je možné zachytiť. XFS vám však umožňuje používať pinpad EPP v dvoch režimoch: 1) otvorený režim (na zadávanie rôznych číselných parametrov, ako je napríklad suma, ktorá sa má vybrať); 2) bezpečný režim (EPP sa doň prepne, keď potrebujete zadať PIN kód alebo šifrovací kľúč). Táto funkcia XFS umožňuje kartárovi vykonať útok MiTM: zachytiť príkaz na aktiváciu bezpečného režimu odoslaný z hostiteľa do EPP a potom informovať EPP pinpad, že by mal pokračovať v práci v otvorenom režime. V odpovedi na túto správu EPP odosiela stlačenia klávesov vo forme čistého textu.
Princíp fungovania „čiernej skrinky“
V posledných rokoch, Europol, malvér ATM sa výrazne vyvinul. Kartári už nemusia mať fyzický prístup k bankomatu, aby ho infikovali. Môžu infikovať bankomaty prostredníctvom vzdialených sieťových útokov pomocou podnikovej siete banky. Skupina IB, v roku 2016 boli bankomaty vystavené útokom na diaľku vo viac ako 10 európskych krajinách.
Útok na bankomat cez vzdialený prístup
Antivírusy, blokovanie aktualizácií firmvéru, blokovanie USB portov a šifrovanie pevného disku – do určitej miery chráni bankomat pred vírusovými útokmi zo strany kariet. Čo ak však karta neútočí na hostiteľa, ale pripája sa priamo k periférii (cez RS232 alebo USB) – k čítačke kariet, pin padu alebo bankomatu?
Prvé zoznámenie sa s „čiernou skrinkou“
Dnešní technicky zdatní kartári , na odcudzenie hotovosti z bankomatu pomocou tzv. „čierne skrinky“ sú špecificky naprogramované jednodoskové mikropočítače, ako napríklad Raspberry Pi. „Čierne skrinky“ úplne vyprázdnia bankomaty, a to úplne magickým (z pohľadu bankárov) spôsobom. Kartári pripájajú svoje magické zariadenie priamo k automatu na bankovky; vytiahnuť z nej všetky dostupné peniaze. Tento útok obchádza všetok bezpečnostný softvér nasadený na hostiteľovi ATM (antivírus, monitorovanie integrity, úplné šifrovanie disku atď.).
„Čierna skrinka“ založená na Raspberry Pi
Najväčší výrobcovia bankomatov a vládne spravodajské agentúry, ktoré čelia niekoľkým implementáciám „čiernej skrinky“, že tieto inteligentné počítače prinútia bankomaty vypľuť všetku dostupnú hotovosť; 40 bankoviek každých 20 sekúnd. Bezpečnostné služby tiež upozorňujú, že karty sa najčastejšie zameriavajú na bankomaty v lekárňach a obchodných centrách; a tiež do bankomatov, ktoré slúžia motoristom na cestách.
Zároveň, aby sa neobjavili pred kamerami, najopatrnejší kartári si berú na pomoc nejakého nie veľmi cenného partnera, mulicu. A aby si „čiernu skrinku“ nemohol privlastniť, využívajú . Odstraňujú kľúčové funkcie z „čiernej skrinky“ a pripájajú k nej smartfón, ktorý sa používa ako kanál na diaľkový prenos príkazov do odstránenej „čiernej skrinky“ prostredníctvom protokolu IP.
Úprava „čiernej skrinky“ s aktiváciou cez vzdialený prístup
Ako to vyzerá z pohľadu bankárov? Na záznamoch z videokamier sa deje niečo také: určitá osoba otvorí hornú priehradku (obslužný priestor), pripojí „magickú skrinku“ k bankomatu, zatvorí hornú priehradku a odíde. O niečo neskôr sa k bankomatu priblíži niekoľko ľudí, zdanlivo bežných zákazníkov a vyberú obrovské peniaze. Kartár sa potom vráti a vyzdvihne svoje malé magické zariadenie z bankomatu. Skutočnosť útoku na bankomat „čiernou skrinkou“ sa zvyčajne zistí až po niekoľkých dňoch: keď sa prázdny trezor a denník výberu hotovosti nezhodujú. V dôsledku toho môžu zamestnanci banky len .
Analýza komunikácie ATM
Ako je uvedené vyššie, interakcia medzi systémovou jednotkou a periférnymi zariadeniami prebieha cez USB, RS232 alebo SDC. Karta sa pripája priamo k portu periférneho zariadenia a posiela mu príkazy - obchádza hostiteľa. Je to celkom jednoduché, pretože štandardné rozhrania nevyžadujú žiadne špecifické ovládače. A proprietárne protokoly, pomocou ktorých periférne zariadenie a hostiteľ interagujú, nevyžadujú autorizáciu (zariadenie sa napokon nachádza v dôveryhodnej zóne); a preto sú tieto nezabezpečené protokoly, prostredníctvom ktorých periféria a hostiteľ komunikujú, ľahko odpočúvané a ľahko náchylné na opakované útoky.
To. Karty môžu použiť softvérový alebo hardvérový analyzátor prevádzky, ktorý ho pripojí priamo k portu konkrétneho periférneho zariadenia (napríklad čítačky kariet) na zber prenášaných údajov. Pomocou analyzátora premávky sa karta dozvie všetky technické podrobnosti o fungovaní bankomatu, vrátane nezdokumentovaných funkcií jeho periférnych zariadení (napríklad funkcia zmeny firmvéru periférneho zariadenia). Vďaka tomu získava karta plnú kontrolu nad bankomatom. Zároveň je pomerne ťažké zistiť prítomnosť analyzátora premávky.
Priama kontrola nad automatom na bankovky znamená, že kazety z bankomatu možno vyprázdniť bez akéhokoľvek zaznamenávania do denníkov, ktoré bežne zapisuje softvér nasadený na hostiteľovi. Pre tých, ktorí nie sú oboznámení s hardvérovou a softvérovou architektúrou ATM, to naozaj môže vyzerať ako mágia.
Odkiaľ pochádzajú čierne skrinky?
Dodávatelia a subdodávatelia bankomatov vyvíjajú nástroje na ladenie na diagnostiku hardvéru bankomatov vrátane elektrických mechanikov zodpovedných za výbery hotovosti. Medzi tieto pomôcky: , . Obrázok nižšie zobrazuje niekoľko ďalších takýchto diagnostických nástrojov.
Ovládací panel ATDMesk
Ovládací panel RapidFire ATM XFS
Porovnávacie charakteristiky niekoľkých diagnostických nástrojov
Prístup k takýmto nástrojom je zvyčajne obmedzený na personalizované tokeny; a fungujú len vtedy, keď sú otvorené dvere trezoru bankomatu. Avšak jednoducho nahradením niekoľkých bajtov v binárnom kóde utility, carders „skúšobný“ výber hotovosti – obchádzanie kontrol poskytovaných výrobcom siete. Kartári si takto upravené pomôcky nainštalujú do svojho notebooku alebo jednodoskového mikropočítača, ktoré sa potom pripájajú priamo k automatu na bankovky, aby mohli neoprávnene vyberať hotovosť.
„Posledná míľa“ a falošné spracovateľské centrum
Priama interakcia s perifériou bez komunikácie s hostiteľom je len jednou z účinných techník mykania. Iné techniky sa spoliehajú na skutočnosť, že máme širokú škálu sieťových rozhraní, prostredníctvom ktorých ATM komunikuje s vonkajším svetom. Od X.25 po Ethernet a mobilné siete. Mnoho bankomatov je možné identifikovať a lokalizovať pomocou služby Shodan (uvádzame najstručnejšie pokyny na jej použitie ), – s následným útokom, ktorý využíva zraniteľnú bezpečnostnú konfiguráciu, lenivosť administrátora a zraniteľnú komunikáciu medzi jednotlivými oddeleniami banky.
„Posledná míľa“ komunikácie medzi bankomatom a spracovateľským centrom je bohatá na širokú škálu technológií, ktoré môžu slúžiť ako vstupný bod pre kartu. Interakcia môže prebiehať prostredníctvom káblovej (telefónna linka alebo Ethernet) alebo bezdrôtovej (Wi-Fi, mobilné: CDMA, GSM, UMTS, LTE) komunikačným spôsobom. Bezpečnostné mechanizmy môžu zahŕňať: 1) hardvér alebo softvér na podporu VPN (štandardné, zabudované v OS a od tretích strán); 2) SSL/TLS (špecifické pre konkrétny model bankomatu a od výrobcov tretích strán); 3) šifrovanie; 4) overenie správ.
Ale že pre banky sa zdajú uvedené technológie veľmi zložité, a preto sa neobťažujú so špeciálnou ochranou siete; alebo to implementujú s chybami. V najlepšom prípade bankomat komunikuje so serverom VPN a už v rámci súkromnej siete sa pripája k spracovateľskému centru. Navyše, aj keď sa bankám podarí zaviesť ochranné mechanizmy uvedené vyššie, kartar už má proti nim účinné útoky. To. Aj keď zabezpečenie vyhovuje štandardu PCI DSS, bankomaty sú stále zraniteľné.
Jednou zo základných požiadaviek PCI DSS je, že všetky citlivé údaje musia byť pri prenose cez verejnú sieť šifrované. A vlastne máme siete, ktoré boli pôvodne navrhnuté tak, že dáta v nich sú úplne zašifrované! Preto je lákavé povedať: "Naše údaje sú šifrované, pretože používame Wi-Fi a GSM." Mnohé z týchto sietí však neposkytujú dostatočné zabezpečenie. Bunkové siete všetkých generácií sú už dlho hacknuté. Konečne a neodvolateľne. A dokonca existujú dodávatelia, ktorí ponúkajú zariadenia na zachytávanie údajov prenášaných cez ne.
Preto buď v nezabezpečenej komunikácii alebo v „súkromnej“ sieti, kde sa každý bankomat vysiela do iných bankomatov, môže byť iniciovaný útok „falošného spracovateľského centra“ MiTM – čo povedie k tomu, že sa karta zmocní kontroly nad dátovými tokmi prenášanými medzi Bankomat a spracovateľské centrum.
Potenciálne sú ovplyvnené tisíce bankomatov. Na ceste do pravého spracovateľského centra vloží karta svoju vlastnú, falošnú. Toto falošné spracovateľské centrum dáva príkazy bankomatu na vydanie bankoviek. Karta si v tomto prípade nakonfiguruje svoje spracovateľské centrum tak, aby sa hotovosť vydávala bez ohľadu na to, ktorá karta je vložená do bankomatu – aj keď jej skončila platnosť alebo má nulový zostatok. Hlavná vec je, že to falošné spracovateľské centrum „rozpozná“. Falošné spracovateľské centrum môže byť buď domáci produkt, alebo simulátor spracovateľského centra, pôvodne navrhnutý na ladenie sieťových nastavení (ďalší darček od „výrobcu“ pre kartárov).
Na nasledujúcom obrázku výpis príkazov na vydanie 40 bankoviek zo štvrtej kazety – odoslaných z falošného spracovateľského centra a uložených v denníkoch softvéru ATM. Vyzerajú takmer ako skutočné.
Výpis príkazov falošného spracovateľského centra
Zdroj: hab.com