Image Credits: Victor J. Blue/Bloomberg / Getty Images

W 2010 r. zmarły Barnaby Jack, światowej sławy badacz bezpieczeństwa, zhakował bankomat na żywo na scenie podczas konferencji Black Hat, oszukując bankomat, aby wypluł strumień banknotów dolarowych. Technika ta została odpowiednio nazwana “jackpotting.”

Dziesięć lat po głośnym demo Jacka, badacze bezpieczeństwa prezentują dwie nowe luki w bankomatach Nautilus, aczkolwiek wirtualnie, dzięki pandemii koronawirusów.

Badacze bezpieczeństwa Brenda So i Trey Keown z nowojorskiej firmy Red Balloon twierdzą, że ich para luk pozwoliła im oszukać popularny samodzielny bankomat detaliczny, często spotykany w sklepach, a nie w bankach, w celu wydawania gotówki na ich polecenie.

Haker musiałby być w tej samej sieci co bankomat, co czyni go trudniejszym do przeprowadzenia udanego ataku na jackpotting. Ale ich ustalenia podkreślają, że bankomaty często mają luki, które leżą uśpione przez lata – w niektórych przypadkach, ponieważ zostały one po raz pierwszy zbudowany.

Barnaby Jack, późno badacz bezpieczeństwa przypisywane z pierwszych ataków ATM “jackpotting”. Teraz, 10 lat później, dwóch badaczy bezpieczeństwa znalazło dwa nowe ataki na bankomaty. Credit: YouTube

So i Keown powiedzieli, że ich nowe luki wymierzone są w bazowe oprogramowanie bankomatu Nautilus, czyli w starą wersję systemu Windows, która nie jest już wspierana przez Microsoft. Na początek, para kupiła bankomat do zbadania. Jednak ze względu na niewielką ilość dokumentacji, duet musiał przeprowadzić inżynierię wsteczną oprogramowania, aby zrozumieć, jak ono działa.

Pierwsza luka została znaleziona w warstwie oprogramowania znanej jako XFS – lub Extensions for Financial Services – którą bankomat wykorzystuje do komunikacji z różnymi komponentami sprzętowymi, takimi jak czytnik kart i jednostka wydająca gotówkę. Błąd nie tkwił w samym XFS, ale raczej w tym, jak producent bankomatu zaimplementował tę warstwę oprogramowania w swoich bankomatach. Badacze odkryli, że wysłanie specjalnie spreparowanego złośliwego żądania przez sieć może skutecznie uruchomić bankomat i wysypać znajdującą się w nim gotówkę, powiedział Keown serwisowi TechCrunch.

Druga luka została znaleziona w oprogramowaniu do zdalnego zarządzania bankomatami, wbudowanym narzędziu, które pozwala właścicielom zarządzać flotą bankomatów poprzez aktualizację oprogramowania i sprawdzanie, ile gotówki pozostało. Wyzwolenie błędu przyznałoby hakerowi dostęp do podatnego ATM’s settings.

So powiedział TechCrunch było możliwe, aby przełączyć ATM’s procesor płatności z złośliwym, haker kontrolowany serwer do siphon off danych bankowych. “Kierując bankomat do złośliwego serwera, możemy wydobyć numery kart kredytowych,” powiedziała.

Bloomberg po raz pierwszy poinformował o lukach w zeszłym roku, kiedy badacze prywatnie zgłosili swoje odkrycia do Nautilus. Około 80.000 bankomatów Nautilus w USA było podatnych na ataki przed wprowadzeniem poprawki, Bloomberg donosi. Rzecznik Nautilus nie chciał potwierdzić tej liczby.

Skuteczne ataki jackpotting są rzadkie, ale nie niespotykane. W ostatnich latach hakerzy korzystali z wielu technik. W 2017 r. odkryto aktywną grupę jackpottingową działającą w całej Europie, sieciując miliony euro w gotówce.

Ostatnio hakerzy ukradli zastrzeżone oprogramowanie od producentów bankomatów, aby zbudować własne narzędzia jackpottingowe.

Wyślij wskazówki bezpiecznie przez Signal i WhatsApp na +1 646-755-8849 lub wyślij zaszyfrowaną wiadomość e-mail na: [email protected]

.