Специалисты Embedi провели исследование, предметом которого стала безопасность банкоматов. Была проанализирована вся цепочка установки и эксплуатации банкоматов, внутренние и внешние риски.
Разработчики программного обеспечения – ответственны за создание бэкдоров и ошибок в коде.
Поставщики – могут раздать криптографические ключи злоумышленникам.
Сервисные инженеры - спуфинг аппаратных и программных компонентов, вредоносное использование ключей, халатность.
Инкассаторы, имеющие дело с наличными деньгами - кражи валютных ящиков.
В качестве внешних рисков эксперты представили:
Банковские клиенты – манипуляции банкнотами во время кассовых операций.
Злоумышленники без квалификации - кража банкомата, нападение на инкассаторов с наличными, социальная инженерия.
Квалифицированные злоумышленники с соответствующими инструментами - доступ к устройству.
Квалифицированные хакеры, имеющие в распоряжении программное обеспечение - скимминг, атака Black Box, клонирование карт, доступ к системе банкомата.
Квалифицированные хакеры с оборудованием и программным обеспечением для удаленного воздействия - несанкционированный доступ через локальную сеть, установка вредоносной программы, использование уязвимости в ОС.
Исследователи выложили видео, в котором показан процесс взлома банкомата, однако детали эксперты решили опустить до того момента, пока вендор не устранит уязвимость.
По словам специалистов, одним из ключевых моментов обеспечения безопасной работы банкомата является защита целостности системы. Система безопасности (Information Security System, ISS) подавляет любые попытки изменить систему или добавить к ней внешние компоненты, как программное обеспечение (исполняемые файлы, пакеты установки программного обеспечения, скрипты), так и аппаратное обеспечение (USB-хранилище, устройства CD/DVD). Цель состоит в том, чтобы предотвратить запуск постороннего кода на устройстве.
Однако исследователи выделили много способов загрузки вредоносной программы в банкомат.
Локальные способы:
Подключиться к шине USB, вынув камеру или проделать отверстия в месте расположения проводов.
Открыть корпус банкомата, использовать скопированный служебный ключ и вставить диск, беспроводную клавиатуру.
Удаленные способы:
Загрузка вредоносной программы через удаленный рабочий стол из банка.
Эксплуатировать уязвимость в одной из многих сетевых служб, которые установлены для контроля и управления устройством.
Анализ экспертов показал, что программное обеспечение легко обойти из-за несовместимости свойств системы, в которой она выполняется, и свойств безопасности которые подразумеваются в программном обеспечении. Попытка статически фильтровать исполняемые файлы, разделяя на надежные и ненадежные (или вредоносные), не исключает риск манипулирования состоянием машины.
Кроме того, сложная логика классификации файлов, выполняемых таким привилегированным объектом, расширяет поверхность атаки и, следовательно, создает дополнительные уязвимости для системы с общими недостатками в ее коде.
Компания «Стахановец» получила бессрочную лицензию ФСТЭК России на разработку и производство средств защиты конфиденциальной информации. Продукт, представленный на рынке с 2009 года, входит в Реестр российского программного обеспечения.
Согласно лицензии № Л050-00107-77/02210986, компания имеет право разрабатывать и производить программно-технические комплексы для защиты, обработки и контроля информации, а также внедрять их на объектах критической информационной инфраструктуры.
Ранее система «Стахановец», предназначенная для защиты от утечек данных и мониторинга сотрудников, получила сертификат соответствия ФСТЭК России по 4 уровню доверия.
«Для нас, как для разработчика, критически важно не только расширять функциональность решения, но и обеспечивать максимально высокий уровень безопасности», — отметил генеральный директор компании Дмитрий Исаев.
«Это цель, которую ставят перед собой лидеры рынка, и важный критерий для наших клиентов. Мы ценим их обратную связь и считаем принципиально важным соответствовать требованиям регуляторов в области ИТ-безопасности».
Подписывайтесь на канал "AM Live" в Telegram, чтобы первыми узнавать о главных событиях и предстоящих мероприятиях по информационной безопасности.
Свидетельство о регистрации СМИ ЭЛ № ФС 77 - 68398, выдано федеральной службой по надзору в сфере связи, информационных технологий и массовых коммуникаций (Роскомнадзор) 27.01.2017 Разрешается частичное использование материалов на других сайтах при наличии ссылки на источник. Использование материалов сайта с полной копией оригинала допускается только с письменного разрешения администрации.
