Billede Credits: Victor J. Blue/Bloomberg / Getty Images

I 2010 hackede den afdøde Barnaby Jack, en verdenskendt sikkerhedsforsker, en hæveautomat live på scenen på Black Hat-konferencen ved at narre pengeautomaten til at spytte en strøm af dollarsedler ud. Teknikken blev passende nok kaldt “jackpotting”.

Tyve år efter Jacks storslåede demo præsenterer sikkerhedsforskere to nye sårbarheder i Nautilus-automatautomater, om end virtuelt, takket være coronavirus-pandemien.

Sikkerhedsforskerne Brenda So og Trey Keown fra det New York-baserede sikkerhedsfirma Red Balloon siger, at deres par sårbarheder gjorde det muligt for dem at narre en populær standalone-automat til detailhandel, som almindeligvis findes i butikker snarere end i banker, til at udbetale kontanter på deres kommando.

En hacker skal være på samme netværk som pengeautomaten, hvilket gør det vanskeligere at iværksætte et vellykket jackpotting-angreb. Men deres resultater understreger, at hæveautomater ofte har sårbarheder, der har ligget i dvale i årevis – i nogle tilfælde siden de blev bygget.

Barnaby Jack, den afdøde sikkerhedsforsker, der blev krediteret for de første “jackpotting”-angreb på hæveautomater. Nu, 10 år senere, har to sikkerhedsforskere fundet to nye ATM cash-spitting-angreb. Credit: YouTube

So og Keown sagde, at deres nye sårbarheder er rettet mod Nautilus-automatens underliggende software, en ti år gammel version af Windows, som ikke længere understøttes af Microsoft. Til at begynde med købte parret en pengeautomat til undersøgelse. Men da der kun var lidt dokumentation, måtte duoen lave reverse-engineering af softwaren indeni for at forstå, hvordan den fungerede.

Den første sårbarhed blev fundet i et softwarelag kendt som XFS – eller Extensions for Financial Services – som pengeautomaten bruger til at tale med de forskellige hardwarekomponenter, f.eks. kortlæseren og kontantudleveringsenheden. Fejlen var ikke i selve XFS, men snarere i den måde, hvorpå ATM-producenten implementerede softwarelaget i sine ATM’er. Forskerne fandt ud af, at hvis man sendte en specielt udformet ondsindet forespørgsel over netværket, kunne man effektivt udløse pengeautomatens kontantautomat og smide pengene i den, sagde Keown til TechCrunch.

Den anden sårbarhed blev fundet i pengeautomatens fjernstyringssoftware, et indbygget værktøj, der gør det muligt for ejere at administrere deres flåde af pengeautomater ved at opdatere softwaren og kontrollere, hvor mange kontanter der er tilbage. Hvis fejlen udløses, vil en hacker få adgang til en sårbar pengeautomats indstillinger.

So fortalte TechCrunch, at det var muligt at skifte pengeautomatens betalingsprocessor ud med en ondsindet, hackerstyret server for at stjæle bankdata. “Ved at pege en hæveautomat til en ondsindet server kan vi udtrække kreditkortnumre,” sagde hun.

Bloomberg rapporterede først om sårbarhederne sidste år, da forskerne privat rapporterede deres resultater til Nautilus. Omkring 80.000 Nautilus-automatautomater i USA var sårbare før rettelsen, oplyste Bloomberg. En talsmand fra Nautilus ville ikke bekræfte tallet.

Succesfulde jackpotting-angreb er sjældne, men ikke uhørte. I de seneste år har hackere brugt en række teknikker. I 2017 blev der opdaget en aktiv jackpotting-gruppe, der opererede i hele Europa, og som indtjente millioner af euro i kontanter.

På det seneste har hackere stjålet proprietær software fra producenter af pengeautomater for at bygge deres egne jackpotting-værktøjer.

Send tips sikkert via Signal og WhatsApp til +1 646-755-8849 eller send en krypteret e-mail til: [email protected]