Image Credits: 2010 hackade den avlidne Barnaby Jack, en världsberömd säkerhetsforskare, en bankomat live på scenen på Black Hat-konferensen genom att lura ut automaten till att spotta ut en ström av dollarsedlar. Tekniken fick det passande namnet “jackpotting”.

Tio år efter Jacks storartade demonstration presenterar säkerhetsforskare två nya sårbarheter i Nautilus-automater, om än virtuellt, tack vare pandemin av coronavirus.

Säkerhetsforskarna Brenda So och Trey Keown vid det New York-baserade säkerhetsföretaget Red Balloon säger att deras par sårbarheter gjorde det möjligt för dem att lura en populär fristående uttagsautomat för detaljhandeln, som vanligen finns i affärer snarare än på banker, att dela ut kontanter på deras kommando.

En hackare skulle behöva befinna sig på samma nätverk som uttagsautomaten, vilket gör det svårare att genomföra en framgångsrik jackpottingattack. Men deras resultat understryker att uttagsautomater ofta har sårbarheter som ligger i dvala i åratal – i vissa fall sedan de först byggdes.

Barnaby Jack, den avlidne säkerhetsforskare som anses ha gjort de första jackpotting-attackerna mot uttagsautomater. Nu, tio år senare, har två säkerhetsforskare upptäckt två nya attacker mot bankomater som spottar ut pengar. Credit: YouTube

So och Keown säger att deras nya sårbarheter är riktade mot Nautilus-automatens underliggande programvara, en tio år gammal version av Windows som inte längre stöds av Microsoft. Till att börja med köpte paret en bankomat för att undersöka. Men eftersom det fanns lite dokumentation var duon tvungen att göra en reverse-engineering av programvaran inuti för att förstå hur den fungerade.

Den första sårbarheten hittades i ett programvarulager som kallas XFS – eller Extensions for Financial Services – och som uttagsautomaten använder för att prata med de olika hårdvarukomponenterna, t.ex. kortläsaren och kontantutdelningsenheten. Felet fanns inte i själva XFS, utan snarare i hur tillverkaren av uttagsautomater implementerade mjukvarulagret i sina uttagsautomater. Forskarna upptäckte att om man skickade en särskilt utformad skadlig begäran via nätverket kunde man effektivt utlösa bankomatens kontantdispenser och dumpa kontanterna inuti, berättade Keown för TechCrunch.

Den andra sårbarheten hittades i bankomatens fjärrstyrningsprogramvara, ett inbyggt verktyg som gör det möjligt för ägarna att hantera sin flotta av bankomater genom att uppdatera programvaran och kontrollera hur mycket kontanter som finns kvar. Om felet utlöses skulle en hackare få tillgång till en sårbar bankomats inställningar.

So berättade för TechCrunch att det var möjligt att byta ut bankomatens betalningsprocessor mot en illasinnad, hackerkontrollerad server för att ta ut bankuppgifter. “Genom att rikta en bankomat mot en skadlig server kan vi utvinna kreditkortsnummer”, sade hon.

Bloomberg rapporterade först om sårbarheterna förra året när forskarna privat rapporterade sina upptäckter till Nautilus. Omkring 80 000 Nautilus-automater i USA var sårbara före korrigeringen, rapporterade Bloomberg. En talesperson för Nautilus ville inte bekräfta siffran.

Succesfulla jackpotting-attacker är sällsynta men inte okända. Under de senaste åren har hackare använt ett antal tekniker. År 2017 upptäcktes en aktiv jackpottinggrupp som var verksam över hela Europa och som tjänade miljontals euro i kontanter.

På senare tid har hackare stulit proprietär programvara från tillverkare av uttagsautomater för att bygga sina egna jackpottingverktyg.

Sänd tips på ett säkert sätt via Signal och WhatsApp till +1 646-755-8849 eller skicka ett krypterat e-postmeddelande till: [email protected]