Джекпоттинг: взлом азиатских банкоматов добрался до США

Банкоматы (ATM) давно стали мишенью для предприимчивых преступников. В 1980-х годах, когда они только появились, преступники приковывали их цепями к грузовикам и уезжали с банкоматом, чтобы взломать его в безопасном гараже. Банкиры ответили, прикрепив банкоматы к земле, казалось бы, недвижимыми стальными прутьями, и на месте предотвращенного нападения осталось немало бамперов грузовиков.

В последнее время хакеры смогли взломать банкоматы с помощью дрели и вредоносного программного обеспечения, которое они внедряют в устройство через просверленное отверстие, заставляя банкомат выдавать все деньги из лотков. Этот вид физической атаки и атаки с использованием вредоносного ПО известен как «джекпоттинг». В 2016 году банкоматы на Тайване потеряли 2 миллиона долларов из-за атак «джекпоттинг». Сейчас «джекпоттинг» добрался и до США, и в последние годы сообщается о многочисленных случаях подобных атак. Учитывая, что большинство банкоматов работают на устаревших версиях Windows (Windows Embedded или Windows XP), внедрение вредоносного ПО или повышение учетных данных после проникновения в устройство является относительно тривиальной задачей.

В Филадельфии в последнее время участились взрывы (более 50 в 2020 году), при которых для взлома банкоматов использовались самодельные взрывные устройства, эквивалентные четверти динамитной шашки. Проблемы физической безопасности никуда не исчезнут. Однако в одном из недавних случаев человек, пытавшийся взорвать сейф в Филадельфии, покончил с собой, что заставило некоторых предположить, что использование читов может быть более безопасной альтернативой для потенциальных воров.

Джекпоты в банкоматах

Эти атаки с целью джекпотинга затронули терминалы всех крупных производителей банкоматов, а также операторов межбанковских платежей и карточных сервисов. Атаки на банкоматы зачастую сложно обнаружить, иногда они координируются бандами хакеров, охватывая сразу несколько банкоматов в разных странах, что приводит к многомиллиардным убыткам ещё до обнаружения проблемы. 

Европа

Киберпреступники используют программное обеспечение ведущего производителя банкоматов Diebold для серии взломов банкоматов по всей Европе, заставляя устройства выдавать наличные хакерам. Согласно предупреждению Active Security Alert, опубликованному Diebold Nixdorf в июле 2020 года, хакеры, использующие устройство типа «черный ящик», распространенное в подобных атаках, активизировали свою деятельность по всей Европе, нацелившись на USB-терминалы Diebold «ProCash 2050xe». В предупреждении Diebold упомянула, что устройство, используемое в атаках, «содержит части программного обеспечения атакованного банкомата». В настоящее время неясно, как злоумышленники получили доступ к внутреннему программному обеспечению устройств, однако в отдельных новостных статьях были подтверждены два метода. В первом методе хакеры сверлят банкоматы сверлом стоимостью 15 долларов и внедряют свое программное обеспечение, напрямую подключаясь к банкомату. Во втором методе онлайн-взлом сетей банка обеспечил удаленный доступ к банкоматам, что позволило удаленно внедрить вредоносное ПО для джекпотинга.

Подробности о том, как?

Хакеры «взламывают» банкоматы, отсоединяя USB-кабель, соединяющий диспенсер CMD-V4 терминалов с их электронными системами, подключая их к «чёрному ящику» для отправки мошеннических команд выдачи. Существует несколько других способов, которыми киберпреступники могут взламывать банкоматы, включая ещё один метод «чёрного ящика», который подключается к сетевым кабелям на внешней стороне банкомата для записи информации о держателях карт. Таким образом, злоумышленники могут изменять авторизованные суммы снятия с хоста или маскироваться под хост-систему для снятия крупных сумм наличных. К счастью, по данным компании Diebold, на данный момент, похоже, хакеры, участвующие в текущей волне атак, не получают доступ к информации о держателях карт.

Еще один тип атак на банкоматы — это фишинговые электронные письма, рассылаемые сетевым администраторам финансового учреждения, которому принадлежит банкомат. По словам Диболда, в этих письмах предпринимается попытка установить вредоносное ПО, которое впоследствии может использовать административное программное обеспечение, обеспечивающее удаленный доступ к банкоматам, для установки вредоносного ПО на терминалы, которые киберпреступники используют для совершения крупных краж.

Что можно сделать?

Банкоматы должны быть проверены специалистами на предмет физической и логической безопасности. Всегда полезно оценивать риски, чтобы выявить уязвимости системы безопасности вашего бизнеса. Учитывая недавний всплеск взломов банкоматов (как физических, так и логических), необходимо предпринять некоторые необходимые шаги совместно с поставщиком банкомата: 

• Ограничить физический доступ к банкомату:
  • • Обеспечьте физическую защиту банкоматов с помощью дополнительных замков и мер видеонаблюдения, чтобы воспрепятствовать злоумышленникам получить доступ к внутренним компонентам, которые часто используются для взлома системы.
• Реализовать механизмы защиты для кассовых модулей:
  • • Используйте самые безопасные, зашифрованные протоколы связи, а также программные стеки с новейшими механизмами безопасности, чтобы предотвратить выполнение несанкционированных команд и установку несанкционированных носителей.
• Установить дополнительные контрмеры:
  • • Настройте сигнализацию, которая обнаруживает доступ к цилиндру, прерывание соединения с диспенсером и другую подозрительную активность; используйте мониторинг в режиме реального времени; и внедрите частый цикл обновления.

Помимо мер, специфичных для банкоматов, важно всегда соблюдать правила кибербезопасности. Лучший способ защитить свой бизнес от хакеров — это обучение сотрудников основам кибербезопасности; обучение персонала распознаванию угроз и способам их предотвращения имеет жизненно важное значение для вашего бизнеса. Слишком часто компании теряют значительные суммы денег и наносят ущерб своей репутации из-за фишинга, программ-вымогателей или других атак с использованием методов социальной инженерии. Следуйте нашим рекомендациям, чтобы снизить вероятность того, что ваш бизнес станет жертвой кибератак:

• Двухфакторная аутентификация включена все.
• Решите проблему ненадлежащего использования паролей в вашей организации (введите пароль длиной не менее 14 символов и приобретите менеджер паролей).
• Обучите своих сотрудников распространенным методам социальной инженерии, фишинговым атакам и защитным технологиям, таким как менеджеры паролей и 2FA.
• Управляйте сотрудниками с помощью надежного набора политик кибербезопасности, которые будут направлять их поведение, когда им необходимо сделать независимый выбор технологий.
• Защитите свои собственные резервные копии с помощью автономного резервного копирования с контролем версий, а затем сделайте то же самое для своих клиентов.
• Создайте эффективные процессы реагирования на инциденты.
• Создайте структуру управления рисками и поручите проведение сторонней оценки рисков для вашего бизнеса.

CyberHoot эффективно помогает компаниям в обучении, управлении и оценке уровня кибербезопасности. Единственный способ защитить себя — это проактивно заняться кибербезопасностью. Начните подготовку уже сегодня, приняв необходимые меры для предотвращения утечки данных. Слишком часто утечка данных приводит к банкротству компании, подвергшейся атаке.

Источники: DieBold Nixdorf , ThreatPost.

Дополнительная информация :

Краткая история банкомата

Хакеры банкоматов усиливают удалённые атаки вредоносным ПО

Мужчина погиб, пытаясь взорвать банкомат (Филадельфия, июль 2020 г.)