ATM hakkerointi antaa käteisellä

Barnaby Jack lyö jättipotin Black Hatissa keskiviikkona. Kahtena kerralla.

Käyttämällä virheitä kahdella eri pankkiautomaatilla, IOActivein tutkija pystyi saamaan heidät etsimään rahaa kysyntään ja tallentamaan arkaluonteisia tietoja niiden käyttämien henkilöiden kortteista.

Hän osoitti hyökkäykset kahteen järjestelmät, joita hän oli ostanut - sellaisten yleisten pankkiautomaattien tyypit, jotka tyypillisesti löytyvät baareissa ja tavarataloissa. Rikolliset ovat lyöneet tällaista konetta jo vuosia, käyttämällä ATM-skimmereitä kortin tietojen ja PIN-koodien tallentamiseen tai joissakin tapauksissa vain vetämällä ylös kuorma-autoon ja vetämällä koneita pois.

[Lue lisää: Windows PC]

Mutta Jackin mukaan on helpompi, paljon hälyttävä tapa saada rahat ulos. Rikolliset voivat muodostaa yhteyden koneisiin soittamalla ne - Jack uskoo, että suuri osa heistä käyttää etähallintatyökaluja, joihin pääsee puhelimesta - ja sitten käynnistää hyökkäyksen.

Jack kokeili omia koneitaan keino ohittaa kauko-todennusjärjestelmä ja asentaa kotitekoinen rootkit nimeltä Scrooge, jonka avulla hän voi ohittaa koneen laiteohjelmiston. Hän kehitti myös online-hallintatyökalun nimeltä Dillinger, joka voi seurata vaarallisia koneita ja tallentaa tietoja, jotka on varastettu ihmisiltä, ​​jotka käyttävät niitä.

Rikolliset voivat etsiä haavoittuvia pankkiautomaatteja käyttämällä avoimen lähdekoodin "sota-soitto" -ohjelmistoa soittamalla satoja tuhansia numeroita, etsivät niitä, jotka vastaavat, sanomalla, että niillä on haavoittuva hallintaohjelmisto. Rikolliset ovat jo käyttäneet samanlaista tekniikkaa Internetin välityksellä hajoamaan haavoittuvista myyntipisteistä.

Jackin työkalut ovat vain konekielisiä ohjelmia, joiden tarkoituksena on osoittaa, kuinka koneet ovat todella haavoittuvia, hän sanoi. "Puheen tavoitteena on herättää keskustelu parhaista tavoista korjata", hän sanoi. "On aika antaa näille laitteille remontti", Jack sanoi. "Laitteiden valmistajat eivät ole Microsoft, heillä ei ole ollut 10 vuotta jatkuvia hyökkäyksiä niitä vastaan."

Jackin hakkeroidut koneet perustuivat kuitenkin Microsoftin Windows CE-käyttöjärjestelmään.

Black-Hatilla, hän liittyi etäyhteydellä ATM: ään ja ohjasi Jackpot-ohjelmaa, joka sai pankkiautomaatit kaatamaan käteistä samalla, kun hän soitti ja nappasi sanaa "Jackpot" koneen näytön yli.

Toisessa demossa hän käveli koneeseen, avasi sen avaimella, jonka hän oli saanut Internetistä ja asensi oman firmware-ohjelmansa. Yksi vakioavain voi avata useita eri tyyppisiä koneita, hän sanoi ja esitteli vielä toisen vakavan turvallisuusongelman.

Jack oli suunnitellut toimittavansa puheenvuoron viime vuoden konferenssissa, mutta se vedettiin sen jälkeen, kun ATM-myyjät pyysivät enemmän aikaa korjaamaan mitä hän löysi.

Robert McMillan kattaa tietoturvan ja yleisen teknologian uutiset

IDG News Service. Seuraa Robertin Twitterissä osoitteessa @bobmcmillan. Robertin sähköpostiosoite on [email protected]