KutijtĂ« metalikĂ« qĂ« qĂ«ndrojnĂ« nĂ«pĂ«r rrugĂ«t e qytetit me para nuk mund tĂ« mos tĂ«rheqin vĂ«mendjen e atyre qĂ« kĂ«rkojnĂ« fitim tĂ« shpejtĂ«. Dhe nĂ«se mĂ« parĂ« shfrytĂ«zimi i bankomatĂ«ve bĂ«hej me metoda plotĂ«sisht fizike, tani po pĂ«rdoren truqe gjithnjĂ« e mĂ« artistike, tĂ« lidhura me kompjuterĂ«t. Tani mĂ« i rĂ«ndĂ«sishmi Ă«shtĂ« âkuti e zezĂ«â me njĂ« mikrokompjuter me njĂ« pllakĂ« brenda. Ne do tĂ« flasim nĂ« kĂ«tĂ« artikull se si funksionon ai.
Kryetari i ShoqatĂ«s NdĂ«rkombĂ«tare tĂ« Prodhuesve tĂ« BankomatĂ«ve (ATMIA) âkutitĂ« e zezaâ si kĂ«rcĂ«nimin mĂ« tĂ« rrezikshĂ«m pĂ«r bankomatet.
NjĂ« ATM tipik Ă«shtĂ« njĂ« kombinim i komponentĂ«ve elektromechanikĂ« tĂ« gatshĂ«m, tĂ« vendosur nĂ« njĂ« casing tĂ« vetĂ«m. Prodhuesit e ATM-ve ndĂ«rtojnĂ« krijesat e tyre me aparatin pĂ«r lĂ«shimin e banknotave, lexuesin e kartave dhe komponentĂ« tĂ« tjerĂ« â tĂ« zhvilluar tashmĂ« nga furnizues tĂ« jashtĂ«m. NjĂ« lloj konstruktori LEGO pĂ«r tĂ« rritur. KomponentĂ«t e gatshĂ«m vendosen nĂ« casingun e ATM-sĂ«, i cili zakonisht pĂ«rbĂ«het nga dy ndarje: ndarja e sipĂ«rme ("zoni i shĂ«rbimit") dhe ndarja e poshtme (seifi). TĂ« gjithĂ« komponentĂ«t elektromechanikĂ« janĂ« tĂ« lidhur pĂ«rmes porteve USB dhe COM me njĂ« bllok sistemik, i cili nĂ« kĂ«tĂ« rast funksionon si host. NĂ« modelet e vjetra tĂ« ATM-ve, mund tĂ« haset gjithashtu lidhjeje pĂ«rmes autobusit SDC.
Evolucioni i kartës së ATM-së
ATM-tĂ« me sasi tĂ« mĂ«dha brenda, tĂ«rheqin gjithmonĂ« kartelat drejt tyre. Fillimisht, kartelat shfrytĂ«zuan vetĂ«m dobĂ«sitĂ« fizike tĂ« mbrojtjes sĂ« ATM-ve â pĂ«rdorĂ«n skimmera dhe shimmera pĂ«r tĂ« vjedhur tĂ« dhĂ«na nga shirita magnetikĂ«; pads tĂ« rremĂ« PIN dhe kamera pĂ«r tĂ« parĂ« kodet PIN; madje edhe ATM tĂ« rremĂ«.
Më pas, kur ATM-të filluan të pajisen me softuer të unifikuar që funksionon sipas standardeve të njëjta, siç është XFS (eXtensions for Financial Services), - karderat filluan të sulmojnë ATM-të me viruse kompjuterike.
Ndër ta janë Trojan.Skimmer, Backdoor.Win32.Skimer, Ploutus, ATMii dhe shumë malware të tjera të emëruara dhe pa emër, që karderat i vendosin në hostin e ATM-së ose përmes një flash drive ngarkimi, ose përmes portit TCP të menaxhimit të largët.
Procesi i infektimit të ATM-së
Duke XFS-subsystem, malware can send commands to the cash dispensing device without authorization. It can also issue commands to the card reader: to read/write the magnetic strip of a bank card and even extract the transaction history stored on the EMV card chip. The EPP (Encrypting PIN Pad; keypad me te enkriptim) is particularly noteworthy. It is commonly believed that the PIN entered on it cannot be intercepted. However, XFS allows the EPP pad to operate in two modes: 1) open mode (for entering various numerical parameters, such as the amount to be cashed); 2) secure mode (the EPP switches to this mode when entering the PIN code or encryption key is necessary). This particular feature of XFS allows a carder to carry out a MiTM attack: intercept the command to activate secure mode transmitted from the host to the EPP, and then inform the EPP PIN pad that to continue operating in open mode. In response to this message, the EPP sends keystrokes in plain text.
Parimi i funksionimit të "kutisë së zezë"
Në vitet e fundit, Me Europa, viruset që prekin ATM-të kanë evoluar dukshëm. Të huajt tani nuk kanë nevojë për akses fizik në ATM për ta infektuar atë. Ata mund të infektojnë ATM-të përmes sulmeve të largëta në rrjet, duke përdorur për këtë qëllim rrjetin e kompanisë bankare. Grupi IB, në vitin 2016, më shumë se në 10 vende të Evropës, ATM-të ishin të ekspozuara ndaj sulmeve të largëta.
Sulmi ndaj ATM-së përmes aksesit të largët
AntivirusĂ«t, bllokimi i azhurnimit tĂ« firmware-it, bllokimi i porteve USB dhe enkriptimi i disqeve tĂ« forta â deri nĂ« njĂ« farĂ« shkalle mbrojnĂ« ATM-nĂ« nga sulmet virusale tĂ« tĂ« huajve. Por çfarĂ« ndodh nĂ«se huaji nuk sulmon nĂ« distancĂ«, por lidhet drejtpĂ«rdrejt me periferinĂ« (pĂ«rmes RS232 ose USB) â me lexuesin e kartĂ«s, pin-padin ose pajisjen e shpĂ«rndarjes sĂ« parave?
Takimi i parë me 'kutinë e zezë'
Sot, tĂ« huajt teknikisht tĂ« kalitur , duke pĂ«rdorin kutitĂ« e zeza pĂ«r tĂ« vjedhur para nga ATM-tĂ«, â mikrokompjuterĂ« tĂ« programuar specifikisht, si Raspberry Pi. KutitĂ« e zeza e zbrazin ATM-nĂ« plotĂ«sisht, nĂ« njĂ« mĂ«nyrĂ« krejt magjike (sipas bankers). Carder-Ă«t lidhin pajisjen e tyre magjike drejtpĂ«rdrejt me pajisjen e shpĂ«rndarjes sĂ« notas; pĂ«r tĂ« nxjerrĂ« tĂ« gjitha paratĂ« e disponueshme. Kjo sulm funksionon pĂ«rtej tĂ« gjitha mjeteve tĂ« mbrojtjes software tĂ« vendosur nĂ« host-in e ATM-sĂ« (antivirusĂ«, kontrolli i integritetit, enkriptimi i plotĂ« i diskut, etj.).
Kuti e zezë bazuar në Raspberry Pi
Prodhuesit mĂ« tĂ« mĂ«dhenj tĂ« ATM-ve dhe agjencitĂ« qeveritare, pĂ«rballur me disa realizime tĂ« kutisĂ« sĂ« zezĂ«, , se kĂ«to kompjuterĂ« tĂ« zgjuar e detyrojnĂ« ATM-nĂ« tĂ« nxjerrĂ« tĂ« gjitha paratĂ« e disponueshme; 40 nota çdo 20 sekonda. gjithashtu agjencitĂ« paralajmĂ«rojnĂ« se carder-Ă«t shpesh synojnĂ« ATM-tĂ« nĂ« farmacia, qendra tregtare; dhe gjithashtu nĂ« ATM-tĂ« qĂ« shĂ«rbejnĂ« shoferĂ«t ânĂ« lĂ«vizje.â
Gjithashtu, për të mos u dalluar para kamerave, kardërët më të kujdesshëm marrin ndihmën e ndonjë partneri jo shumë të çmuar, një mule. Dhe për të siguruar që ai të mos mund ta bëjë "kutinë e zezë" të tijën, përdorin . Heqin nga "kutia e zezë" funksionalitetin kryesor dhe e lidhin me një smartphone, të cilin e përdorin si një kanal për të transmetuar komandat në distancë në "kutinë e zezë" të reduktuar, përmes protokollit IP.
Modifikimi i "kutisë së zezë", me aktivizim përmes qasjes së largët
Si të duket nga ana e bankierëve? Në regjistrimet e kamerave të sigurimit ndodhin diçka si kjo: një person i caktuar çel kapakun e sipërm (zonën e shërbimit), lidh një "kutinë magjike" me bankomatin, mbyll kapakun e sipërm dhe largohet. Pas pak kohësh, disa persona, dukshëm klientë të zakonshëm, i afrohen bankomatit dhe tërheqin shuma të mëdha parash. Pastaj, karteri kthehet dhe nxjerr pajisjen e tij të vogël magjike nga bankomati. Zakonisht, fakti i sulmit mbi bankomatin me "kutinë e zezë" zbulonhet vetëm pas disa ditësh: kur seif-i boshe dhe regjistri i tërheqjeve të gatshme nuk përputhen. Si rezultat, punonjësve të bankës u mbetet vetëm .
Analiza e komunikimeve të bankomatit
Siç është përmendur më parë, ndërveprimi midis njësisë centrale dhe pajisjeve periferike realizohet përmes USB, RS232 ose SDC. Kartela lidhet drejtpërdrejt me portin e pajisjes periferike dhe i dërgon asaj komanda - duke kaluar hostin. Kjo është mjaft e thjeshtë, sepse ndërfaqet standarde nuk kërkojnë ndonjë drejtues specifik. Dhe protokollet pronarësh, me të cilat periferia dhe hosti ndërveprojnë, nuk kërkojnë autorizim (pasi pajisja ndodhet brenda zonës së besuar); dhe kështu, këto protokolle të pambrojtura, me të cilat periferia dhe hosti ndërveprojnë - lehtësisht mund të përgjohet dhe lehtësisht mund të shqyrtohen për sulme të riprodhimit.
Pra ndaj, kartelat mund të përdorin një analizues të softuerit ose harduerit të trafikut, duke e lidhur atë direkt në portin e një pajisjeje periferike specifike (për shembull, në leximin e kartelave) - për të mbledhur të dhëna që transmetohen. Duke përdorur analizuesin e trafikut, karteli mëson të gjitha detajet teknike të funksionimit të bankomatit, përfshirë funksionet e pa dokumentuara të pajisjeve të tij periferike (për shembull, funksioni i ndryshimit të firmware-it të pajisjes periferike). Si rezultat, karteli merr kontroll të plotë mbi bankomatin. Në këtë rast, zb Discoverhimi i pranisë së analizuesit të trafikut është mjaft i vështirë.
Kontrolli i drejtpërdrejtë mbi pajisjen e shpërndarjes së banknotave nënkupton se kasetat e bankomatit - mund të shfrytëzohen pa ndonjë regjistrim në log-et që normalisht regjistrohen nga softi i instaluar në host. Për ata që nuk janë të njohur me arkitekturën e softuerit-harduerit të bankomatit, kjo mund të duket si magji.
Nga vijnë 'kutitë e zeza'?
Furnizuesit e ATM-ve dhe nënkontraktorët zhvillojnë utilitarë për diagnostikimin e komponentëve të pajisjeve të ATM-ve, përfshirë mekanizmat elektro-mekanikë përgjegjës për tërheqjen e parave. Ndër këta utilitarë janë: , . Më poshtë janë paraqitur disa utilitarë të tjerë për diagnostikim.
Përgjegjësia e ATMDesk
Përgjegjësia e RapidFire ATM XFS
Karakteristikat krahasuese të disa utilitarëve diagnostikues
Qasja në këta utilitarë është zakonisht e kufizuar nga tokenat e personalizuara dhe ato funksionojnë vetëm me derën e kasës së ATM-së të hapur. Megjithatë, duke ndryshuar disa byte në kodin binar të utilitarëve, kapterët të "testojnë" tërheqjen e parave - duke anashkaluar kontrollin e parashikuar nga prodhuesi i utilitarëve. Kapterët instalojnë këta utilitarë të modifikuar në laptopin e tyre ose në një mikrocomputator të njëanshëm, të cilët më pas i lidhin drejtpërdrejt me pajisjen e shpërndarjes së banknotave për tërheqjen e parave pa autorizim.
"Mijëra të fundit" dhe qendra e falsifikuar e procesimit
NdĂ«rveprimi i drejtpĂ«rdrejtĂ« me pajisjet periferike, pa kontakt me hostin, Ă«shtĂ« vetĂ«m njĂ« nga teknikat e efektshme tĂ« cardinaling. Teknikat e tjera mbĂ«shteten nĂ« faktin se ne kemi njĂ« larmi tĂ« gjerĂ« ndĂ«rfaqesh rrjeti, pĂ«rmes tĂ« cilave ATM-ja komunikon me botĂ«n e jashtme. Nga X.25 deri nĂ« Ethernet dhe komunikimin celular. ShumĂ« ATM mund tĂ« identifikohen dhe lokalizohen pĂ«rmes shĂ«rbimit Shodan (udhĂ«zimi mĂ« i shkurtĂ«r pĂ«r pĂ«rdorimin e tij Ă«shtĂ« paraqitur ), â me njĂ« sulm tĂ« mĂ«vonshĂ«m, qĂ« pĂ«rdor njĂ« konfigurim tĂ« ndjeshĂ«m tĂ« sigurisĂ«, lenien e administratorit dhe komunikimet e dobĂ«ta midis njĂ«sive tĂ« ndryshme tĂ« bankĂ«s.
«Kilometri i fundit» i lidhjes mes një automati bankar dhe një qendre procesimi ka një gamë të gjerë teknologjish që mund të shërbejnë si pika hyrëse për autorët e kartelave. Ndërveprimi mund të bëhet përmes një lidhjeje të kablluar (linja telefonike ose Ethernet) ose një lidhjeje pa tela (Wi-Fi, lidhje celulare: CDMA, GSM, UMTS, LTE). Mekanizmat e sigurisë mund të përfshijnë: 1) mjete harduerike ose softuerike për mbështetje VPN (si standarde, të integruara në OS, ashtu edhe nga prodhues të jashtëm); 2) SSL/TLS (si specifike për një model të caktuar automati bankar, ashtu edhe nga prodhues të jashtëm); 3) enkriptim; 4) autentikimi i mesazheve.
MegjithatĂ« , qĂ« pĂ«r bankat, teknologjitĂ« e pĂ«rmendura duken shumĂ« tĂ« komplikuara, dhe prandaj ato nuk lodhen pĂ«r t'u angazhuar nĂ« mbrojtjen speciale tĂ« rrjetit; ose e realizojnĂ« atĂ« me gabime. NĂ« rastin mĂ« tĂ« mirĂ«, ATM-ja lidhet me njĂ« server VPN dhe tashmĂ« brenda rrjetit privat â lidhet me qendrĂ«n e pĂ«rpunimit. PĂ«r mĂ« tepĂ«r, edhe sikur bankat tĂ« arrijnĂ« tĂ« realizojnĂ« mekanizmat mbrojtĂ«s tĂ« pĂ«rmendur mĂ« sipĂ«r, â kartelat tashmĂ« kanĂ« sulme efikase kundĂ«r tyre. KĂ«shtu, edhe nĂ«se sigurimi pĂ«rputhet me standardin PCI DSS, ATM-tĂ« mbeten pranĂ« rrezikut.
Një nga kërkesat kryesore të PCI DSS: të gjitha të dhënat e ndjeshme, kur dërgohen përmes një rrjeti publik, duhet të jenë të koduara. Dhe në fakt, ka rrjete që janë projektuar nga fillimi që të dhënat të jenë plotësisht të koduara! Prandaj, ka një tundim të themi: "Ne kemi të dhëna të koduara sepse përdorim Wi-Fi dhe GSM". Megjithatë, shumë nga këto rrjete nuk ofrojnë mbrojtje të mjaftueshme. Rrjetet celulare të të gjitha brezave janë piratuar për shumë kohë. Përfundimisht dhe përherë. Dhe madje ka ofrues që ofrojnë pajisje për kapjen e të dhënave që kalojnë përmes tyre.
Prandaj, një sulm MiTM i "qendrës së procesimit të rreme" mund të iniciohet në një komunikim të pasigurt, ose në një rrjet "privat", ku çdo ATM shpall veten te ATM-të e tjera, që do të çojë në kontrollin e karterit mbi rrjedhat e të dhënave që kalojnë midis ATM-së dhe qendrës së procesimit.
potencialisht tĂ« ekspozuar ndaj mijĂ«ra ATM-ve. NĂ« rrugĂ«n pĂ«r nĂ« qendĂ«r tĂ« vĂ«rtetĂ« tĂ« procesimit â karderi fut kartĂ«n e tij, tĂ« falsifikuar. Kjo qendĂ«r e falsifikuar e procesimit i jep ATM-sĂ« urdhra pĂ«r tĂ« nxjerrĂ« banknotat. NdĂ«rkohĂ«, karderi e konfiguron qendrĂ«n e tij tĂ« procesimit nĂ« mĂ«nyrĂ« qĂ« tĂ«rheqja e parave tĂ« ndodhte pavarĂ«sisht se cila kartĂ« futet nĂ« ATM â madje edhe nĂ«se afati i saj ka skaduar ose ka njĂ« bilanc zero. E rĂ«ndĂ«sishme Ă«shtĂ« qĂ« qendra e falsifikuar e procesimit ta ânjohĂ«â atĂ«. Si njĂ« qendĂ«r tĂ« falsifikuar procesimi mund tĂ« jetĂ« njĂ« prodhim artizanal ose njĂ« simulator i qendrĂ«s sĂ« procesimit, fillimisht i zhvilluar pĂ«r tĂ« rregulluar konfiguracionet e rrjetit (njĂ« tjetĂ«r dhuratĂ« nga âprodhuesiâ pĂ«r karderat).
NĂ« figurĂ«n e ardhshme dump i komandave pĂ«r tĂ« nxjerrĂ« 40 banknota nga kaseta e katĂ«rt, â tĂ« dĂ«rguara nga qendra e falsifikuar e procesimit dhe tĂ« ruajtura nĂ« regjistrat e softuerit tĂ« ATM-sĂ«. Ato duken pothuajse si tĂ« vĂ«rteta.
Dump i komandave nga qendra e falsifikuar e procesimit
Burimi: habr.com
