en omfattande testsession utförd av banksäkerhetsexperter på Positive Technologies har visat att de flesta bankomater kan hackas på under 20 minuter, och ännu mindre, i vissa typer av attacker.
experter testade bankomater från NCR, Diebold Nixdorf och GRGBanking och detaljerade sina resultat i en 22-sidig rapport som publicerades i veckan.
ZDNet: svart fredag 2018 erbjudanden: Business Bargain Hunter ’s top picks / Cyber Monday 2018 erbjudanden: Business Bargain Hunter’ s top picks
attackerna de försökte är de typiska typerna av exploater och tricks som används av cyberbrottslingar som försöker få pengar från ATM-säkerheten eller att kopiera detaljerna i användarnas bankkort (även känd som skimming).
experter sa att 85 procent av de bankomater de testade gav en angripare tillgång till nätverket. Forskargruppen gjorde detta genom att antingen koppla ur och knacka på Ethernet-kablar, eller genom att förfalska trådlösa anslutningar eller enheter som ATM vanligtvis är ansluten till.
forskare sa att 27 procent av de testade bankomaterna var sårbara för att deras processing center-kommunikation spoofed, medan 58 procent av de testade bankomaterna hade sårbarheter i sina nätverkskomponenter eller tjänster som kunde utnyttjas för att styra ATM på distans.
dessutom kan 23 procent av de testade bankomaterna attackeras och utnyttjas genom att rikta in sig på andra nätverksenheter som är anslutna till ATM, till exempel GSM-modem eller routrar.
”konsekvenser inkluderar att inaktivera säkerhetsmekanismer och kontrollera produktionen av sedlar från dispensern”, säger forskare i sin rapport.
PT-experter sa att den typiska ”nätverksattacken” tog under 15 minuter att utföra, baserat på deras tester.
men om ATM-hackare letade efter ett snabbare sätt, fann forskare också att Black Box-attacker var de snabbaste, vanligtvis tar under 10 minuter att dra av.
en Black Box-attack är när en hacker antingen öppnar ATM-fodralet eller borrar ett hål i det för att nå kabeln som ansluter ATM: s dator till ATM: s kassa (eller kassaskåp). Angripare ansluter sedan ett skräddarsytt verktyg, kallat en svart låda, som lurar ATM till att dispensera pengar på begäran.
PT säger att 69 procent av de bankomater som de testade var sårbara för sådana attacker och att på 19 procent av bankomaterna fanns det inga skydd mot Black Box-attacker alls.
ett annat sätt genom vilket forskare attackerade de testade bankomaterna var genom att försöka lämna kioskläge-OS-läget där ATM-gränssnittet körs in.
forskare fann att genom att ansluta en enhet till ett av ATM: s USB-eller PS/2-gränssnitt kunde de plocka ATM från kioskläge och köra kommandon på det underliggande operativsystemet för att ta ut pengar från ATM-säkerheten.
PT-teamet säger att denna attack vanligtvis tar under 15 minuter, och att 76 procent av de testade bankomaterna var sårbara.
en annan attack, och den som tog längst tid att dra av men gav de högsta resultaten, var en under vilken forskare kringgick ATMs interna hårddisk och startade från en extern.
PT-experter sa att 92 procent av de bankomater de testade var sårbara. Detta hände eftersom bankomaterna antingen inte hade ett BIOS-lösenord, använde ett som var lätt att gissa eller inte använde diskdatakryptering.
forskare sa att under sina tester, som normalt inte tog mer än 20 minuter, ändrade de startordningen i BIOS, startade ATM från sin egen hårddisk och gjorde ändringar i ATM: s normala operativsystem på den legitima hårddisken, förändringar som kunde tillåta utbetalningar eller ATM-skimming-operationer.
i ett annat test fann PT-forskare också att angripare med fysisk åtkomst till ATM kunde starta om enheten och tvinga den att starta i ett säkert/felsökningsläge.
detta skulle i sin tur ge angriparna tillgång till olika felsökningsverktyg eller COM-portar genom vilka de kunde infektera ATM med skadlig kod.
attacken tog under 15 minuter att utföra, och forskare fann att 42 procent av de bankomater de testade var sårbara.
sist men inte minst kom de mest deprimerande resultaten när det gäller tester av hur bankomater överförde kortdata internt eller till banken.
PT-forskare sa att de kunde fånga kortdata som skickades mellan de testade bankomaterna och ett bankbehandlingscenter i 58 procent av fallen, men de var 100 procent framgångsrika med att fånga kortdata medan den behandlades internt inuti ATM, till exempel när den överfördes från kortläsaren till ATM: s operativsystem.
denna attack tog också under 15 minuter att dra av. Med tanke på att de flesta verkliga ATM-attacker inträffar under natten och riktar sig mot bankomater på isolerade platser, är 20 minuter mer än tillräckligt för de flesta kriminella operationer.
”ofta är säkerhetsmekanismer bara en olägenhet för angripare: våra testare hittade sätt att kringgå skydd i nästan alla fall”, sa PT-teamet. ”Eftersom banker tenderar att använda samma konfiguration på ett stort antal bankomater, kan en lyckad attack på en enda bankomat enkelt replikeras i större skala.”
följande bankomater testades.
relaterad cybersäkerhetstäckning:
- ATM jackpoting attacker drabbade den amerikanska TechRepublic
- DOD inaktiverar fildelningstjänst på grund av ’säkerhetsrisker’
- många gratis mobil VPN apps är baserade i Kina eller har kinesiska ägande
- holländska regeringen rapport säger Microsoft Office telemetri samling bryter GDPR
- du kan snart ta ut pengar från PayPal på Walmart CNET
- en av fem Magecart-infekterade butiker får återinfekteras inom några dagar
- kort skimming malware bort från Infowars webbutik
bästa Black Friday 2018 erbjudanden:
- Amazon sju dagar av Black Friday erbjudanden: all-time dalar på kontorsenheter
- Amazon Black Friday 2018 erbjudanden: Se tidig försäljning på Echo, Fire HD
- Bästa Köp Black Friday 2018 erbjudanden: djupa rabatter på Apple Mac, Microsoft Surface
- Target Black Friday 2018 erbjudanden: $250 iPad mini 4, $120 Chromebook
- Walmart Black Friday 2018 erbjudanden: $99 Chromebook, $89 windows 2-i-1
- dell Black Friday 2018 erbjudanden: $120 Inspiron Laptop, $500 gaming desktop
- Newegg Black Friday 2018 erbjudanden: $50 av Moto G6, $70 av Nest termostat
- Office Depot Black Friday 2018 erbjudanden: $300 av Lenovo Flex, $129 HP Chromebook
- eBay Black Friday 2018 erbjudanden: Se tidig försäljning på Galaxy Watch, Chromecast
- Lenovo Black Friday 2018 erbjudanden: ThinkPad bärbara datorer och mer
- Microsoft Store Black Friday 2018 erbjudanden: ad montrar yta, laptop erbjudanden
- Windows bärbara datorer Black Friday erbjudanden: Dell, HP, Lenovo
- Chromebook Black Friday 2018 erbjudanden: dell, Google, HP
- bästa tablett Black Friday erbjudanden: Apple iPad, Amazon Fire
- Black Friday 2018 iPhone deals: $400 iPhone X gift card, BOGO iPhone XR
- Black Friday 2018 smartphone deals: OnePlus 6T, LG G7