en omfattende testsession udført af banksikkerhedseksperter hos Positive Technologies har afsløret, at de fleste pengeautomater kan hackes på under 20 minutter og endnu mindre i visse typer angreb.
eksperter testede pengeautomater fra NCR, Diebold og GRGBanking og detaljerede deres resultater i en 22-siders rapport, der blev offentliggjort i denne uge.
Net: Black Friday 2018 tilbud: Business Bargain Hunter ‘s top picks / Cyber Monday 2018 tilbud: Business Bargain Hunter’ s top picks
de angreb, de forsøgte, er de typiske typer udnyttelser og tricks, der bruges af cyberkriminelle, der søger at få penge fra pengeautomaten eller kopiere detaljerne om brugernes bankkort (også kendt som skimming).
eksperter sagde, at 85 procent af de pengeautomater, de testede, tillod en angriber adgang til netværket. Forskerteamet gjorde dette ved enten at frakoble og tappe Ethernet-kabler, eller ved at spoofe trådløse forbindelser eller enheder, som ATM normalt er tilsluttet.
forskere sagde, at 27 procent af de testede pengeautomater var sårbare over for at få deres processing center-kommunikation forfalsket, mens 58 procent af de testede pengeautomater havde sårbarheder i deres netværkskomponenter eller-tjenester, der kunne udnyttes til at kontrollere pengeautomaten eksternt.
desuden kunne 23 procent af de testede pengeautomater angribes og udnyttes ved at målrette mod andre netværksenheder, der er tilsluttet ATM, som for eksempel GSM-modemer eller routere.
“konsekvenser inkluderer deaktivering af sikkerhedsmekanismer og kontrol af output af pengesedler fra dispenseren,” sagde forskere i deres rapport.
PT-eksperter sagde, at det typiske “netværksangreb” tog under 15 minutter at udføre, baseret på deres test.
men hvis ATM-hackere ledte efter en hurtigere vej ind, fandt forskerne også, at sorte Boksangreb var de hurtigste, normalt tager under 10 minutter at trække af.
et sort Boksangreb er, når en hacker enten åbner ATM-sagen eller borer et hul i den for at nå kablet, der forbinder ATM ‘ens computer til ATM’ ens pengekasse (eller pengeskab). Angribere forbinder derefter et specialfremstillet værktøj, kaldet en sort boks, der narrer pengeautomaten til at udlevere kontanter efter behov.
PT siger, at 69 procent af de pengeautomater, de testede, var sårbare over for sådanne angreb, og at der på 19 procent af pengeautomaterne slet ikke var nogen beskyttelse mod sorte Boksangreb.
en anden måde, hvorpå forskere angreb de testede pengeautomater, var ved at forsøge at afslutte kiosktilstand-OS-tilstanden, hvor ATM-grænsefladen kører ind.
forskere fandt, at ved at tilslutte en enhed til en af ATM ‘s USB-eller PS/2-grænseflader, kunne de plukke ATM’ en fra kiosk-tilstand og køre kommandoer på det underliggende operativsystem for at udbetale penge fra pengeautomaten.
PT-holdet siger, at dette angreb normalt tager under 15 minutter, og at 76 procent af de testede pengeautomater var sårbare.
et andet angreb, og det, der tog længst tid at trække af, men gav de højeste resultater, var et, hvor forskere omgåede ATM ‘ s interne harddisk og startede fra en ekstern.
PT-eksperter sagde, at 92 procent af de pengeautomater, de testede, var sårbare. Dette skete, fordi pengeautomaterne enten ikke havde en BIOS-adgangskode, brugte en, der var let at gætte, eller ikke brugte diskdatakryptering.
forskere sagde, at de under deres test, som normalt ikke tog mere end 20 minutter, ændrede opstartsrækkefølgen i BIOS, startede ATM fra deres egen harddisk og foretog ændringer i ATM ‘ s normale operativsystem på den legitime harddisk, ændringer, der kunne tillade udbetalinger eller ATM-skimmingoperationer.
i en anden test fandt PT-forskere også, at angribere med fysisk adgang til ATM kunne genstarte enheden og tvinge den til at starte i en sikker/debug-tilstand.
dette ville igen give angriberne adgang til forskellige fejlfindingsværktøjer eller COM-porte, hvorigennem de kunne inficere ATM med ondsindet program.
angrebet tog under 15 minutter at udføre, og forskere fandt ud af, at 42 procent af de pengeautomater, de testede, var sårbare.
sidst men ikke mindst kom de mest deprimerende resultater med hensyn til test af, hvordan pengeautomater overførte kortdata internt eller til banken.
PT-forskere sagde, at de var i stand til at opfange kortdata sendt mellem de testede pengeautomater og et bankbehandlingscenter i 58 procent af tilfældene, men de var 100 procent succesrige med at opfange kortdata, mens de blev behandlet internt inde i ATM, f.eks.
dette angreb tog også under 15 minutter at trække af. Under hensyntagen til, at de fleste virkelige ATM-angreb sker i løbet af natten og målretter pengeautomater på isolerede steder, 20 minutter er mere end nok til de fleste kriminelle operationer.
“oftere end ikke er sikkerhedsmekanismer en ren gener for angribere: vores testere fandt måder at omgå beskyttelse i næsten alle tilfælde,” sagde PT-teamet. “Da banker har tendens til at bruge den samme konfiguration på et stort antal pengeautomater, kan et vellykket angreb på en enkelt pengeautomat let replikeres i større skala.”
følgende pengeautomater blev testet.
relateret cybersikkerhedsdækning:
- ATM jackpotting angreb ramte den amerikanske TechRepublic
- DOD deaktiverer fildelingstjeneste på grund af ‘sikkerhedsrisici’
- mange gratis mobile VPN-apps er baseret i Kina eller har Kinesisk ejerskab
- hollandsk regeringsrapport siger Microsoft Office telemetri collection breaks GDPR
- du kan snart tage kontanter ud CNET
- en ud af fem magecart-inficerede butikker bliver geninficeret inden for få dage
- kort skimming-ondsindet program fjernet fra infoforretninger online butik
bedste Black Friday 2018 tilbud:
- syv dage med Black Friday-Tilbud: all-time nedture på kontorenheder
- Black Friday 2018-tilbud: se tidligt salg på Echo, Fire HD
- Bedste Køb Black Friday 2018-tilbud: dybe rabatter på Apple Mac, Microsoft Surface
- Target Black Friday 2018-tilbud: $250 iPad mini 4, $120 Chromebook
- Black Friday 2018 tilbud: $99 Chromebook, $89 vinduer 2-i-1
- Dell Black Friday 2018 tilbud: $120 Inspiron Laptop, $500 Gaming Desktop
- Nyegg Black Friday 2018 tilbud: $50 off Moto G6, $70 off Nest termostat
- Office Depot Black Friday 2018 tilbud: $300 off Lenovo flekse, $ 129 HP Chromebook
- eBay Black Friday 2018 tilbud: se tidligt salg på galakse ur, Chromecast
- Lenovo Black Friday 2018 tilbud: ThinkPad laptops og mere
- Microsoft Store Black Friday 2018 tilbud: annonce montrer overflade, laptop tilbud
- vinduer Laptops Black Friday tilbud: dell, hp, lenovo
- Chromebook Black Friday 2018 tilbud: Dell, Google, hp
- bedste tablet Black Friday Tilbud: Apple iPad, Amazon Fire
- Black Friday 2018 iPhone deals: $400 iPhone X gift card, BOGO iPhone XR
- Black Friday 2018 smartphone deals: OnePlus 6T, LG G7