黑帽大会展示ATM吐钞 银行设备并非坚不可摧

安全
总部设在西雅图的安全公司IOActive的安全测试总监Barnaby Jack在黑帽大会上为全神贯注的听众们做了如下的演示,该演示充分证明了被认为是在做白日梦的黑客其实是无处不在的:他只是按下了一个按钮,现场一个ATM提款机就喷涌而出现金,一直到一堆纸堆在了地上。

每当看到银行门外的ATM机总有这样一种冲动,希望它能够自动的往出吐钞票。当然这种趋于幻想的事情,想过之后总是一笑了之。但是如今,面对网络黑客技术的不断发展,无数的漏洞被利用,银行设备也并非坚不可摧。在本届黑帽大会上,一名安全研究人员做了相关演示。如果有了合适的软件,ATM吐钞其实非常简单。

[[15081]]

总部设在西雅图的安全公司IOActive的安全测试总监Barnaby Jack在黑帽大会上为全神贯注的听众们做了如下的演示,该演示充分证明了被认为是在做白日梦的黑客其实是无处不在的:他只是按下了一个按钮,现场一个ATM提款机就喷涌而出现金,一直到一堆纸堆在了地上。

Barnaby Jack出生在新西兰,一直在圣何塞地区生活,他表示,“我希望人们能够改变对这个装置的看法,从外表上看,它似乎是坚不可摧的。”他还表示,黑客可以利用这个漏洞通过电话调制解调器,在不知道密码的情况下,让ATM机吐出全部现金。

Jack说,他在网上购买了一套独立ATM机,由Tranax Technologies和Triton生产制造的ATM机,然后,他花费了数年时间去研读代码,其间发现了一些程序处理中的错误,利用这些错误,他可以取得对这些机器的完全访问与控制,使用同样的方法可以破解这两个公司生产的类似设备。

他表示,“每次我看到ATM机,我都会想,是否要去试试它能不能被攻破之后吐出大量的现金。我看到了四个ATM机,在四台机子上我都成功了。”(他说他没有去评估银行和信用社中的ATM机)

在黑帽大会上,Jack同时还表示,Tranax和Triton目前都已经修复了该漏洞,因为他一年前的行为已经引起了这两家公司的注意。但是如果便利店和餐饮店的ATM机没有更新这个补丁的话,它们依旧是脆弱的。

去黑ATM机并不是一个新的想法,在电影《终结者2》中就有一名叫John Connor的年轻人,被片中的警方成为“磁卡阅读”或者“磁卡捕捉”技术。

在一些企业中,还抓住了一些ATM黑客,他们利用1美元的钞票来让机器误认为是20美元的钞票。

不过这些黑客对ATM机的现金提取术仍然受到了一些限制,这种方法必须要对ATM的代码进入深入的分析。许多ATM机运行Windows CE操作系统,硬件平台则为ARM处理器和拨号调制解调器,这些都在一个安全端口模块下运行。Jack表示,他使用了标准的debug技术中断了正常的进程,取而代之的启动进程是Internet Explorer,利用IE访问文件系统并且进行文件复制。

针对Tranax这家总部设于美国加州的公司的产品,Jack表示,他找到了其中远程访问的漏洞,利用该漏洞,可以对没有打过补丁的ATM机进行完全的控制。他编写了两款软件来利用这个漏洞,一种工具叫做Dillinger(美国传奇大盗的名字),它可以对ATM机进行远程攻击,另一个工具叫Scrooge(英国小说中的守财奴),这是一个rootkit后门,可以隐藏自身。

Jack在黑帽大会上表示,“Scrooge会在列表中隐藏自己的进程,从而在操作系统中隐藏自己。有一个隐藏的程序菜单,通过一个特殊的按键顺序或者一张特制的卡来激活。”

Triton的ATM机并没有一个特别明显的远程攻击漏洞,它被层层安全措施高度保障。但是,它的机器主板有一个用来保障安全的系统,这个系统的代码在互联网上10美元即可买到,Jack购买了代码,并且发现了利用这个系统中的漏洞可以强迫ATM进行更新一个后门程序(程序会识别成为是一个合法的升级包更新)。

Triton公司的副总工程师Bob Douglas在黑帽大会上对记者强调,该漏洞已经被修复,“我们已经制定了针对这个攻击的防御措施,并且我们在去年11月就已经推送了补丁。”

此外,Douglas还表示,“我们有一个可选套件,提供了一个独特的密码锁,这是一个高度安全的锁,我认为这就和防撬锁是一样的。”但他同时还表示,很多ATM机每天都有成百上千的访问量,所以并不是所有的客户都会选择升级。

截止发稿,Tranax没有对此事件发表回应。

一年前,Jack就准备出席黑帽大会演示ATM机的漏洞,但是最后一分钟他退出了,原因是收到了他的原雇主,同时也是ATM供应商Juniper网络的阻挠。

黑客入侵ATM最困难的一步就是找到ATM机的漏洞,但是Jack编写的Dillinger与Scrooge则将这一操作简化到小孩都可以进行。

Jack最后对记者表示,他不会将这两款软件推向市场,要不青少年、网络犯罪组织和黑客们一定会对它非常有兴趣的。

 

【编辑推荐】

  1. 杀毒软件全面云安全 究竟谁才值得真正选
  2. 云计算信息安全前景不明
  3. 谁来保护在云中的信息安全
  4. 云时代下的运营商安全防护
  5. 云计算:信息安全开启新篇章
责任编辑:张启峰 来源: ZDNet安全频道
相关推荐

2012-07-30 09:59:30

2010-07-29 16:21:27

2013-08-08 19:12:33

2010-08-23 15:37:09

黑帽大会

2010-02-01 09:54:43

2009-07-06 21:11:04

2016-11-28 10:30:30

戴尔服务器

2010-05-07 11:26:16

2015-09-28 10:03:29

2012-12-12 13:15:43

安全监控监控

2012-07-29 22:51:44

2011-08-18 10:23:21

2009-01-18 09:17:00

2010-09-29 09:33:29

2012-07-30 09:56:14

2014-08-05 16:32:50

2014-08-14 16:48:05

2012-01-06 10:29:07

UbuntuCES大会

2014-08-12 13:38:15

2014-08-07 10:14:00

点赞
收藏

51CTO技术栈公众号