Image Credits: Victor J. Blue/Bloomberg / Getty Images

2010-ben a néhai Barnaby Jack, egy világhírű biztonsági kutató a Black Hat konferencián élőben, a színpadon feltört egy bankautomatát úgy, hogy kicselezte a pénzkiadó automatát, hogy az dollárbankjegyek özönét köpje ki. A technikát találóan “jackpotting”-nak nevezték el.”

Egy évtizeddel Jack nagy sikerű bemutatója után a biztonsági kutatók két új sebezhetőséget mutatnak be a Nautilus ATM-ekben, bár virtuálisan, a koronavírus-járványnak köszönhetően.

A Red Balloon nevű New York-i székhelyű biztonsági cég biztonsági kutatói, Brenda So és Trey Keown szerint a két sebezhetőség lehetővé tette számukra, hogy becsapjanak egy népszerű, önálló, kiskereskedelmi ATM-et, amely általában nem bankokban, hanem üzletekben található, és parancsra készpénzt adjon ki.

A hackernek ugyanazon a hálózaton kell lennie, mint az ATM, ami megnehezíti a sikeres jackpotos támadást. Eredményeik azonban rávilágítanak arra, hogy az ATM-ek gyakran évekig – egyes esetekben már a megépítésük óta – szunnyadó sebezhetőségekkel rendelkeznek.

Barnaby Jack, a néhai biztonsági kutató, akinek az első ATM “jackpotting” támadásokat tulajdonítják. Most, 10 évvel később, két biztonsági kutató két új ATM készpénzkidobó támadást talált. Credit: YouTube

So és Keown elmondták, hogy új sebezhetőségük a Nautilus ATM alapszoftverét célozza, a Windows egy évtizedes verzióját, amelyet a Microsoft már nem támogat. Kezdetnek a páros vásárolt egy ATM-et, hogy megvizsgálja. Mivel azonban kevés dokumentáció állt rendelkezésre, a duónak vissza kellett fejlesztenie a szoftver működését.

Az első sebezhetőséget az XFS – vagy Extensions for Financial Services – néven ismert szoftverrétegben találták, amelyet az ATM a különböző hardverkomponensekkel, például a kártyaolvasóval és a készpénzkiadó egységgel való kommunikációra használ. A hiba nem magában az XFS-ben volt, hanem abban, ahogyan az ATM gyártója a szoftverréteget az ATM-jeibe implementálta. A kutatók úgy találták, hogy egy speciálisan kialakított rosszindulatú kérés elküldése a hálózaton keresztül hatékonyan beindíthatja az ATM készpénzkiadó automatáját, és kidobhatja a benne lévő készpénzt – mondta Keown a TechCrunchnak.

A második sebezhetőséget az ATM távmenedzsment szoftverében találták, egy beépített eszközben, amellyel a tulajdonosok kezelhetik az ATM-flottájukat, frissíthetik a szoftvert és ellenőrizhetik, hogy mennyi készpénz maradt. A hiba kiváltása egy hacker számára hozzáférést biztosítana a sebezhető ATM beállításaihoz.

So a TechCrunchnak elmondta, hogy lehetséges volt az ATM fizetési processzorát egy rosszindulatú, hacker által irányított szerverrel kicserélni, hogy banki adatokat szívjanak le. “Azáltal, hogy egy ATM-et egy rosszindulatú szerverre irányítunk, hitelkártyaszámokat tudunk kinyerni” – mondta.”

A Bloomberg tavaly számolt be először a sebezhetőségekről, amikor a kutatók privát módon jelentették eredményeiket a Nautilusnak. A Bloomberg jelentése szerint az Egyesült Államokban mintegy 80 000 Nautilus ATM volt sebezhető a javítás előtt. A Nautilus szóvivője nem erősítette meg a számadatot.

A sikeres jackpot-támadások ritkák, de nem ismeretlenek. Az elmúlt években a hackerek számos technikát alkalmaztak. 2017-ben felfedeztek egy Európa-szerte működő aktív jackpotoló csoportot, amely több millió eurónyi készpénzt kaszált.

A közelmúltban hackerek saját szoftvereket loptak ATM-gyártóktól, hogy saját jackpotoló eszközöket építsenek.

Tippeket biztonságosan küldhet a Signalon és a WhatsAppon keresztül a +1 646-755-8849-es számra, vagy küldjön titkosított e-mailt a következő címre: [email protected]