up_icon
Internet Misc

Οι ειδικοί της Kaspersky Lab ανακαλύπτουν τα τρωτά σημεία των ΑΤΜ

12 Μαΐου 2016 Yannis Elpidis

Οι ειδικοί της Kaspersky Lab ανακαλύπτουν τα τρωτά σημεία των ΑΤΜ

jackpot_pre

Σύμφωνα με έρευνα ειδικών της Kaspersky Lab, οποιοσδήποτε εγκληματίας στον κόσμο θα μπορούσε να αποκτήσει παράνομη πρόσβαση και να βγάλει κέρδη από ένα ATM, με ή χωρίς τη βοήθεια κακόβουλου λογισμικού. Αυτό συμβαίνει λόγω της ευρείας χρήσης παρωχημένων και μη ασφαλών λογισμικών, λαθών στη διαμόρφωση του δικτύου και έλλειψης φυσικής ασφάλειας για τα κρίσιμα μέρη του ΑΤΜ.

Για πολλά χρόνια, η μεγαλύτερη απειλή για τους πελάτες και τους ιδιοκτήτες των ΑΤΜ ήταν τα λεγόμενα skimmers, δηλαδή ειδικές συσκευές που συνδέονται σε ένα ΑΤΜ για να υποκλέψουν δεδομένα από τις μαγνητικές ταινίες των καρτών. Καθώς όμως οι κακόβουλες τεχνικές έχουν εξελιχθεί, τα ΑΤΜ έχουν εκτεθεί σε μεγαλύτερους κινδύνους. Το 2014, οι ερευνητές της Kaspersky Lab ανακάλυψαν το Tyupkin, ένα από τα πρώτα ευρέως γνωστά παραδείγματα κακόβουλου λογισμικού για ΑΤΜ. Το 2015, οι ειδικοί της εταιρείας αποκάλυψαν τη συμμορία Carbanak, η οποία, μεταξύ άλλων, μπορούσε να βγάλει κέρδη από τα ΑΤΜ, παραβιάζοντας τις τραπεζικές υποδομές. Και οι δύο επιθέσεις πραγματοποιήθηκαν γιατί οι εγκληματίες κατάφεραν και εκμεταλλεύθηκαν διάφορες κοινές αδυναμίες στην τεχνολογία των ΑΤΜ και στην υποδομή που τα υποστηρίζει. Και αυτή είναι μόνο η κορυφή του παγόβουνου.

Σε μια προσπάθεια να χαρτογραφηθούν όλα τα θέματα ασφάλειας των ATM, οι ειδικοί δοκιμών διείσδυσης της Kaspersky Lab έχουν διεξάγει έρευνες, με βάση τη διερεύνηση πραγματικών επιθέσεων, καθώς και τα αποτελέσματα των αξιολογήσεων ασφάλειας των ATM για αρκετές διεθνείς τράπεζες.

Η έρευνα των ειδικών της εταιρείας καταλήγει ότι μπορούν να πραγματοποιηθούν επιθέσεις κακόβουλου λογισμικού εναντίον των ΑΤΜ, λόγω των αρκετών ζητημάτων ασφάλειας. Αρχικά, όλα τα ΑΤΜ είναι υπολογιστές που λειτουργούν με πολύ παλιές εκδόσεις λειτουργικών συστημάτων, όπως τα Windows XP. Αυτό τα καθιστά ευάλωτα σε «μολύνσεις» από κακόβουλα προγράμματα και επιθέσεις μέσω exploits. Στη συντριπτική πλειονότητα των περιπτώσεων, το ειδικό λογισμικό που επιτρέπει στον υπολογιστή του ΑΤΜ να αλληλεπιδρά με τις τραπεζικές υποδομές και τις μονάδες hardware, για την επεξεργασία συναλλαγών με μετρητά και πιστωτικές κάρτες, βασίζεται στο πρότυπο XFS.

kaspersky-lab_atm

Πρόκειται για μια αρκετά παλιά και επισφαλή τεχνολογική προδιαγραφή, που δημιουργήθηκε αρχικά για να τυποποιήσει το λογισμικό των ATM, ώστε να μπορεί να λειτουργήσει σε οποιοδήποτε εξοπλισμό, ανεξάρτητα από τον κατασκευαστή. Μόλις το κακόβουλο λογισμικό «μολύνει» επιτυχώς ένα ΑΤΜ, λαμβάνει σχεδόν απεριόριστες δυνατότητες ελέγχου του μηχανήματος. Για παράδειγμα, μπορεί να μετατρέψει το πληκτρολόγιο PIN και το card reader του ATM σ’ ένα «φυσικό» skimmer ή απλά να παραδώσει όλα τα χρήματα που βρίσκονται αποθηκευμένα στο ΑΤΜ, κατόπιν εντολής του χάκερ του.

Σε πολλές περιπτώσεις που μελετήθηκαν από τους ερευνητές της Kaspersky Lab, οι εγκληματίες δεν χρειάζεται να χρησιμοποιούν κακόβουλο λογισμικό για να «μολύνουν» το ΑΤΜ ή το δίκτυο της τράπεζας στο οποίο είναι συνδεδεμένο. Αυτό γίνεται λόγω της έλλειψης φυσικής ασφάλειας για τα ίδια τα ΑΤΜ – ένα πολύ κοινό πρόβλημα για αυτές τις συσκευές. Πολύ συχνά, τα ΑΤΜ κατασκευάζονται και τοποθετούνται με τρόπο που σημαίνει ότι τρίτοι μπορούν εύκολα να αποκτήσουν πρόσβαση στον υπολογιστή που βρίσκεται μέσα στο ΑΤΜ ή στο καλώδιο δικτύου που συνδέει το μηχάνημα στο Διαδίκτυο.

Με την απόκτηση έστω και μερικής φυσικής πρόσβασης στο ΑΤΜ, οι εγκληματίες δυνητικά μπορούν να:

  • Εγκαταστήσουν ειδικά προγραμματισμένο microcomputer (το επονομαζόμενο μαύρο κουτί) στο εσωτερικό του ΑΤΜ, το οποίο θα δώσει στους επιτιθέμενους απομακρυσμένη πρόσβαση στο ΑΤΜ.
  • Επανασυνδέσουν το ΑΤΜ σε ένα ψεύτικο «κέντρο επεξεργασίας».

Το ψεύτικο «κέντρο επεξεργασίας» είναι λογισμικό που επεξεργάζεται τα δεδομένα πληρωμών και είναι ταυτόσημο με το λογισμικό της τράπεζας, παρά το γεγονός ότι δεν ανήκει στην τράπεζα. Μόλις το ΑΤΜ συνδεθεί με ένα ψεύτικο κέντρο επεξεργασίας, οι επιτιθέμενοι μπορούν να εκδώσουν οποιαδήποτε εντολή επιθυμούν. Και το ΑΤΜ απλά θα την εκτελέσει.

Η σύνδεση μεταξύ ΑΤΜ και κέντρου επεξεργασίας μπορεί να προστατεύεται με διάφορους τρόπους. Για παράδειγμα, μπορεί να χρησιμοποιεί hardware ή λογισμικό VPN, κρυπτογράφηση SSL/TLS, firewall ή MAC ταυτοποίηση, που εφαρμόζονται στα πρωτόκολλα xDC. Ωστόσο, τα μέτρα αυτά δεν εφαρμόζονται συχνά. Όταν εφαρμόζονται, είναι συχνά εσφαλμένα – ακόμη και ευάλωτα. Αυτό θα μπορούσε να ανακαλυφθεί μόνο κατά τη διάρκεια αξιολόγησης ασφάλειας ενός ATM. Ως αποτέλεσμα, οι εγκληματίες δεν χρειάζεται να χειραγωγήσουν το hardware, αλλά απλώς να εκμεταλλεύονται τα τρωτά σημεία στην επικοινωνία του δικτύου μεταξύ του ATM και των τραπεζικών υποδομών.

Πως θα σταματήσει η παραβίαση των ΑΤΜ

Όπως δήλωσε η Olga Kochetova, Ειδικός σε Θέματα Ασφάλειας στο Τμήμα Δοκιμών Διείσδυσης της Kaspersky Lab,

"Τα αποτελέσματα της έρευνας δείχνουν ότι ακόμη κι αν οι πάροχοι μηχανημάτων ATM προσπαθούν πλέον να αναπτύξουν μηχανήματα με ισχυρά χαρακτηριστικά ασφάλειας, πολλές τράπεζες εξακολουθούν να χρησιμοποιούν παλαιότερα, επισφαλή μοντέλα. Έτσι, είναι απροετοίμαστες για εγκληματίες που θέτουν ενεργά σε κίνδυνο την ασφάλεια των συσκευών αυτών. Αυτή είναι η σημερινή πραγματικότητα, που μπορεί να προκαλέσει τεράστιες οικονομικές απώλειες στις τράπεζες και τους πελάτες τους. Πιστεύουμε ότι αυτή η κατάσταση είναι το αποτέλεσμα μιας μακροχρόνιας λανθασμένης αντίληψης, σύμφωνα με την οποία, οι ψηφιακοί εγκληματίες ενδιαφέρονται μόνο για επιθέσεις εναντίον online τραπεζικών υπηρεσιών. Ενδιαφέρονται για αυτές τις επιθέσεις μεν, αλλά επίσης αντιλαμβάνονται ολοένα και περισσότερο την αξία που έχει γι' αυτούς η εκμετάλλευση των τρωτών σημείων των ΑΤΜ, επειδή οι άμεσες επιθέσεις εναντίον αυτών των συσκευών μειώνουν σημαντικά τη «διαδρομή» που πρέπει να καλύψουν, μέχρι να αποκτήσουν πρόσβαση σε πραγματικά χρήματα"

Αν και τα θέματα ασφάλειας που αναφέρονται παραπάνω επηρεάζουν πιθανότατα πολλά ΑΤΜ σε όλο τον κόσμο, αυτό δεν σημαίνει ότι η κατάσταση δεν μπορεί να διορθωθεί. Οι κατασκευαστές ΑΤΜ μπορούν να μειώσουν τον κίνδυνο επίθεσης στα μηχανήματα, με την εφαρμογή των ακόλουθων μέτρων:

  • Πρώτον, είναι απαραίτητο να αναθεωρηθεί το πρότυπο XFS με έμφαση στην ασφάλεια, καθώς και να εισαχθεί έλεγχος ταυτότητας δύο παραγόντων μεταξύ συσκευών και νόμιμου λογισμικού. Αυτό θα βοηθήσει να μειωθεί η πιθανότητα μη εξουσιοδοτημένης ανάληψης χρημάτων με τη χρήση προγραμμάτων Trojan και οι επιτιθέμενοι να αποκτήσουν άμεσο έλεγχο των μονάδων ΑΤΜ.
  • Δεύτερον, είναι αναγκαία η εφαρμογή «χορήγησης ταυτοποιημένης πρόσβασης» για να αποκλειστεί η πιθανότητα επιθέσεων μέσω ψεύτικων κέντρων επεξεργασίας.
  • Τρίτον, είναι αναγκαία η εφαρμογή κρυπτογραφημένης προστασίας και ελέγχου της ακεραιότητας των δεδομένων που μεταδίδονται μεταξύ όλων των μονάδων του hardware και των υπολογιστών στο εσωτερικό των ΑΤΜ.
Yannis Elpidis

Είμαι ένας λάτρης της τεχνολογίας και του διαδικτύου. Γνώρισα τον πρώτο μου υπολογιστή στα μέσα της δεκαετίας του '80 και ήταν "love at first sight" που λένε και στο χωριό μου. Θα με βρείτε καθημερινά στη "Darkpony Digital".

Αγαπημένο μότο:
 "There are 10 kinds of people, those who understand binary and those who don't."

ΣΧΟΛΙΑ
read more

Από το iPod στο streaming: Συμβουλές για ασφαλή χρήση στη νέα εποχή

17 Μαΐου 2022 Techgear Team

Πρόσφατα η Apple ανακοίνωσε ότι σταμάτησε την κατασκευή του iPod. Η εταιρεία θα πουλήσει τα αποθέματα του iPod Touch, σηματοδοτώντας το τέλος εποχής για το iPod και την «προσωπική μουσική». Τα τελευταία χρόνια ...

Google: Απαγορεύει τα downloads και τις αναβαθμίσεις των επί πληρωμή εφαρμογών στη Ρωσία

10 Μαΐου 2022 Christos Elpidis

Δυσκολεύει ακόμη περισσότερο η «ψηφιακή» καθημερινότητα για εκατομμύρια χρήστες που ζουν στη Ρωσία, καθώς η Google ανακοίνωσε νέα μέτρα σχετικά με τη διανομή των εφαρμογών και των αναβαθμίσεων τους μέσα από το ...

Twitter Article: Δοκιμές για δημοσίευση long-form κειμένων στο Twitter

09 Μαΐου 2022 Christos Elpidis

Εν μέσω των υποσχέσεων που ξεκίνησε να μοιράζει ο Elon Musk στους υπόλοιπους μετόχους της Twitter (σ.σ. κάνει λόγο για τετραπλασιασμό του αριθμού των χρηστών μέσα στα επόμενα χρόνια), η γνωστή ερευνήτρια Jane ...

Apple, Google και Microsoft υπόσχονται ένα μέλλον χωρίς passwords από το 2023

06 Μαΐου 2022 Christos Elpidis

Με αφορμή την Παγκόσμιο Ημέρα Password (World Password Day), οι Google, Apple και Microsoft ανακοίνωσαν από κοινού ότι συμπράττουν για ένα μέλλον χωρίς passwords στις πλατφόρμες τους. Αυτό σημαίνει πως σχετικά ...

TikTok Pulse: Το νέο πρόγραμμα ανταμοιβής των δημιουργών περιεχομένου

05 Μαΐου 2022 Christos Elpidis

Η ByteDance δημιουργεί νέους τρόπους εξοικονόμησης χρημάτων για τους δημιουργούς περιεχομένου στην δημοφιλή πλατφόρμα TikTok, με την εταιρεία να ανακοινώνει πως σκοπεύει να μοιράσει τα κέρδη των διαφημίσεων που...

Google: Αφαίρεσε πάνω από 3.4 δισ. κακόβουλων διαφημίσεων το 2021

05 Μαΐου 2022 Techgear Team

Όταν λαμβάνουμε αποφάσεις που αφορούν σε διαφημίσεις και πληρωμένο περιεχόμενο στις πλατφόρμες μας, η ασφάλεια των χρηστών αποτελεί κορυφαία προτεραιότητά για εμάς. Στην πραγματικότητα, χιλιάδες άνθρωποι της ...

Samsung Internet 17.0: Διαθέσιμη η νέα έκδοση του mobile web browser

04 Μαΐου 2022 Techgear Team

Η Samsung κυκλοφόρησε επίσημα σήμερα το Samsung Internet 17.0, μια νέα αναβάθμιση του προγράμματος περιήγησης της Samsung που εισάγει λειτουργίες απορρήτου και ασφάλειας με επίκεντρο τον χρήστη. Η τελευταία ...

Mozilla Firefox 100: Διαθέσιμη η επετειακή έκδοση με νέα χαρακτηριστικά

03 Μαΐου 2022 Christos Elpidis

Έφτασε και η ώρα για τη Mozilla να λανσάρει την τελική επετειακή έκδοση του Firefox browser, καθώς εδώ και λίγη ώρα είναι διαθέσιμος ο Firefox 100 για όλες τις πλατφόρμες και φέρνει ορισμένα χρήσιμα νέα ...

Microsoft Edge: Ενσωμάτωση υπηρεσίας VPN στον web browser

28 Απριλίου 2022 Christos Elpidis

Η Microsoft συνεχίζει τις προσπάθειες βελτίωσης του Edge browser με την προσθήκη νέων λειτουργιών που θα τον διαφοροποιήσουν από τον μεγάλο αντίπαλο, το Google Chrome, παρά το γεγονός ότι βασίζεται στην ίδια ...

Google: Αφαίρεση προσωπικών δεδομένων χρηστών από τη μηχανή αναζήτησης

28 Απριλίου 2022 Christos Elpidis

Το περίφημο «δικαίωμα στη λήθη» που προσφέρει η Google στους χρήστες σχετικά με την εμφάνιση τους στα αποτελέσματα αναζήτησης επεκτείνεται πλέον σε περισσότερους τομείς. Η εταιρεία ανακοίνωσε μέσω της ...

Loader
techgear_icon