pankkien tietoturva-asiantuntijoiden suorittama laaja Testisessio Positive Technologies-palvelussa on paljastanut, että useimpiin pankkiautomaatteihin voidaan murtautua alle 20 minuutissa, ja vielä vähemmän, tietyntyyppisissä hyökkäyksissä.
Asiantuntijat testasivat NCR: n, Diebold Nixdorfin ja Grgbankingin pankkiautomaatteja ja kertoivat havainnoistaan tällä viikolla julkaistussa 22-sivuisessa raportissa.
ZDNet: Black Friday 2018 deals: Business Bargain Hunter’ s top picks | Cyber Monday 2018 deals: Business Bargain Hunterin top picks
heidän kokeilemansa hyökkäykset ovat tyypillisiä hyväksikäyttöjä ja temppuja, joita verkkorikolliset käyttävät saadakseen rahaa pankkiautomaatin kassakaapista tai kopioidakseen käyttäjien pankkikorttien tietoja (tunnetaan myös nimellä skimmaus).
asiantuntijat sanoivat, että 85 prosenttia heidän testaamistaan pankkiautomaateista mahdollisti hyökkääjän pääsyn verkkoon. Tutkimusryhmä teki tämän joko irrottamalla ja salakuuntelemalla Ethernet-kaapeleita tai huijaamalla langattomia yhteyksiä tai laitteita, joihin Pankkiautomaatti yleensä on kytketty.
tutkijat sanoivat, että 27 prosenttia testatuista pankkiautomaateista oli alttiita sille, että heidän käsittelykeskuksensa tietoliikennettä huijattiin, kun taas 58 prosentilla testatuista pankkiautomaateista oli haavoittuvuuksia verkon komponenteissa tai palveluissa, joita voitiin hyödyntää pankkiautomaatin etäohjaukseen.
lisäksi 23 prosenttiin testatuista pankkiautomaateista voitiin hyökätä ja käyttää hyväksi kohdistamalla ne muihin pankkiautomaattiin kytkettyihin verkkolaitteisiin, kuten esimerkiksi GSM-modeemeihin tai reitittimiin.
”seurauksia ovat muun muassa turvamekanismien poistaminen käytöstä ja setelien ulostulon valvonta annostelijasta”, tutkijat sanoivat raportissaan.
PT: n asiantuntijat sanoivat testiensä perusteella, että tyypillisen ”verkkohyökkäyksen” toteuttaminen kesti alle 15 minuuttia.
mutta jos PANKKIAUTOMAATTIHAKKERIT etsivät nopeampaa sisäänpääsytietä, tutkijat havaitsivat myös, että mustan laatikon hyökkäykset olivat nopeimpia, ja niiden tekeminen kesti yleensä alle 10 minuuttia.
mustan laatikon hyökkäys on, kun hakkeri joko avaa pankkiautomaatin kotelon tai poraa siihen reiän päästäkseen kaapeliin, joka yhdistää pankkiautomaatin tietokoneen pankkiautomaatin kassalippaaseen (tai kassakaappiin). Hyökkääjät yhdistävät sitten mittatilaustyövälineen, niin sanotun mustan laatikon, joka huijaa pankkiautomaatin jakamaan rahaa tilauksesta.
PT kertoo, että 69 prosenttia heidän testaamistaan pankkiautomaateista oli alttiita tällaisille hyökkäyksille ja että 19 prosentissa pankkiautomaateista ei ollut minkäänlaista suojaa mustan laatikon hyökkäyksiä vastaan.
toinen tapa, jonka kautta tutkijat hyökkäsivät testattuihin pankkiautomaatteihin, oli yrittää poistua kioskitilasta-KÄYTTÖJÄRJESTELMÄTILASTA, jossa pankkiautomaatin käyttöliittymä toimii.
tutkijat havaitsivat, että kytkemällä laitteen johonkin pankkiautomaatin USB-tai PS/2-liitännöistä, he pystyivät nyppimään automaatin kioskitilasta ja suorittamaan komentoja taustalla olevaan käyttöjärjestelmään nostaakseen rahaa pankkiautomaatin kassakaapista.
PT-ryhmä sanoo, että tämä hyökkäys kestää yleensä alle 15 minuuttia, ja että 76 prosenttia testatuista pankkiautomaateista oli haavoittuvia.
toinen hyökkäys, joka kesti pisimpään mutta tuotti korkeimmat tulokset, oli hyökkäys, jonka aikana tutkijat ohittivat pankkiautomaatin sisäisen kiintolevyn ja käynnistivät ulkoisen kovalevyn.
PT: n asiantuntijoiden mukaan 92 prosenttia heidän testaamistaan pankkiautomaateista oli haavoittuvia. Tämä johtui siitä, että pankkiautomaateilla ei joko ollut BIOS-salasanaa, käytettiin sellaista, joka oli helppo arvata, tai ei käytetty levyn tietojen salausta.
tutkijat sanoivat, että testeissä, jotka eivät yleensä kestäneet yli 20 minuuttia, he muuttivat BIOS: n käynnistysjärjestystä, käynnistivät automaatin omalta kovalevyltään ja tekivät muutoksia automaatin normaaliin käyttöjärjestelmään laillisella kovalevyllä, muutoksia, jotka mahdollistivat käteisnostot tai automaattien skimmausoperaatiot.
toisessa testissä PT: n tutkijat havaitsivat myös, että hyökkääjät, joilla on fyysinen pääsy pankkiautomaattiin, voivat käynnistää laitteen uudelleen ja pakottaa sen käynnistymään turvalliseen/debug-tilaan.
tämä puolestaan antaisi hyökkääjille pääsyn erilaisiin debug-apuohjelmiin tai COM-portteihin, joiden kautta he voisivat tartuttaa automaatin haittaohjelmalla.
isku kesti alle 15 minuuttia, ja tutkijat havaitsivat, että 42 prosenttia heidän testaamistaan pankkiautomaateista oli haavoittuvia.
Last but not least, masentavimmat tulokset tulivat testeissä siitä, miten pankkiautomaatit välittivät korttitietoja sisäisesti tai pankkiin.
PT: n tutkijat sanoivat pystyvänsä sieppaamaan testatun pankkiautomaatin ja pankin käsittelykeskuksen välillä lähetetyt korttitiedot 58 prosentissa tapauksista, mutta he onnistuivat 100-prosenttisesti sieppaamaan korttitiedot, kun niitä käsiteltiin sisäisesti pankkiautomaatin sisällä, kuten silloin, kun ne siirrettiin kortinlukijalta pankkiautomaatin käyttöjärjestelmään.
tämäkin hyökkäys kesti alle 15 minuuttia. Kun otetaan huomioon, että useimmat reaalimaailman PANKKIAUTOMAATTIHYÖKKÄYKSET tapahtuvat yöllä ja kohdistuvat pankkiautomaateille syrjäisissä paikoissa, 20 minuuttia on enemmän kuin tarpeeksi useimmille rikollisille operaatioille.
”useimmiten turvamekanismit ovat pelkkä riesa hyökkääjille: testaajamme löysivät tapoja ohittaa suojaus lähes joka tapauksessa”, PT-ryhmä sanoi. ”Koska pankit pyrkivät käyttämään samaa konfiguraatiota suurissa määrissä pankkiautomaatteja, onnistunut hyökkäys yhdelle pankkiautomaatille voidaan helposti toistaa suuremmassa mittakaavassa.”
testattiin seuraavia pankkiautomaatteja
Related cyber security coverage:
- ATM jackpotting is hit the US TechRepublic
- DOD disables file sharing service due to ’security risks’
- monet ilmaiset mobile VPN-sovellukset sijaitsevat Kiinassa tai niillä on kiinalainen omistus
- Alankomaiden hallituksen raportti sanoo Microsoft Office telemetriakokoelman katkeavan GDPR
- voit pian ottaa pois cash from PayPal at Walmart CNET
- joka viides magecart-tartunnan saanut kauppa saa uuden tartunnan muutamassa päivässä
- kortin skimmaus haittaohjelma poistettu Infowars verkkokaupasta
parhaat Black Friday 2018 tarjoukset:
- Amazon Seven Days of Black Friday Deals: all-time lows on office devices
- Amazon Black Friday 2018 deals: see early sales on Echo, Fire HD
- Best Buy Black Friday 2018 deals: Deep discounts on Apple Mac, Microsoft Surface
- Target Black Friday 2018 deals: $250 iPad mini 4, $120 Chromebook
- Walmart Black Friday 2018 Deals: $99 Chromebook, $89 windows 2-in-1
- Dell Black Friday 2018 deals: $120 Inspiron Laptop, $500 Gaming Desktop
- Newegg Black Friday 2018 deals: $50 off Moto G6, $70 off Nest termostaatti
- Office Depot Black Friday 2018 deals: $300 Off Lenovo Flex, $129 HP Chromebook
- eBay Black Friday 2018 deals: See early sales on Galaxy Watch, Chromecast
- Lenovo Black Friday 2018 deals: ThinkPad kannettavat tietokoneet ja enemmän
- Microsoft Store Black Friday 2018 tarjoukset: ad esittelee Surface, Laptop deals
- Windows-kannettavat Black Friday Deals: Dell, HP, Lenovo
- Chromebook Black Friday 2018 deals: Dell, Google, hp
- paras tabletti Black Friday Deals: Apple iPad, Amazon Fire
- Black Friday 2018 iPhone deals: $400 iPhone X gift card, BOGO iPhone XR
- Black Friday 2018 smartphone deals: OnePlus 6T, LG G7