Взломать банкомат за две минуты вполне реально, говорят эксперты

Взломать банкомат за две минуты вполне реально, говорят эксперты

Взломать банкомат за две минуты вполне реально, говорят эксперты

Специалисты Embedi провели исследование, предметом которого стала безопасность банкоматов. Была проанализирована вся цепочка установки и эксплуатации банкоматов, внутренние и внешние риски.

Из внутренних рисков исследователи выделили:

  • Разработчики программного обеспечения – ответственны за создание бэкдоров и ошибок в коде.
  • Поставщики – могут раздать криптографические ключи злоумышленникам.
  • Сервисные инженеры - спуфинг аппаратных и программных компонентов, вредоносное использование ключей, халатность.
  • Инкассаторы, имеющие дело с наличными деньгами - кражи валютных ящиков.

В качестве внешних рисков эксперты представили:

  • Банковские клиенты – манипуляции банкнотами во время кассовых операций.
  • Злоумышленники без квалификации - кража банкомата, нападение на инкассаторов с наличными, социальная инженерия.
  • Квалифицированные злоумышленники с соответствующими инструментами - доступ к устройству.
  • Квалифицированные хакеры, имеющие в распоряжении программное обеспечение - скимминг, атака Black Box, клонирование карт, доступ к системе банкомата.
  • Квалифицированные хакеры с оборудованием и программным обеспечением для удаленного воздействия - несанкционированный доступ через локальную сеть, установка вредоносной программы, использование уязвимости в ОС.

Исследователи выложили видео, в котором показан процесс взлома банкомата, однако детали эксперты решили опустить до того момента, пока вендор не устранит уязвимость.

По словам специалистов, одним из ключевых моментов обеспечения безопасной работы банкомата является защита целостности системы. Система безопасности (Information Security System, ISS) подавляет любые попытки изменить систему или добавить к ней внешние компоненты, как программное обеспечение (исполняемые файлы, пакеты установки программного обеспечения, скрипты), так и аппаратное обеспечение (USB-хранилище, устройства CD/DVD). Цель состоит в том, чтобы предотвратить запуск постороннего кода на устройстве.

Однако исследователи выделили много способов загрузки вредоносной программы в банкомат.

Локальные способы:

  • Подключиться к шине USB, вынув камеру или проделать отверстия в месте расположения проводов.
  • Открыть корпус банкомата, использовать скопированный служебный ключ и вставить диск, беспроводную клавиатуру.

Удаленные способы:

  • Загрузка вредоносной программы через удаленный рабочий стол из банка.
  • Эксплуатировать уязвимость в одной из многих сетевых служб, которые установлены для контроля и управления устройством.

Анализ экспертов показал, что программное обеспечение легко обойти из-за несовместимости свойств системы, в которой она выполняется, и свойств безопасности которые подразумеваются в программном обеспечении. Попытка статически фильтровать исполняемые файлы, разделяя на надежные и ненадежные (или вредоносные), не исключает риск манипулирования состоянием машины.

Кроме того, сложная логика классификации файлов, выполняемых таким привилегированным объектом, расширяет поверхность атаки и, следовательно, создает дополнительные уязвимости для системы с общими недостатками в ее коде.

AM LiveПодписывайтесь на канал "AM Live" в Telegram, чтобы первыми узнавать о главных событиях и предстоящих мероприятиях по информационной безопасности.

Мошенники крадут товары, выдавая себя за ПСК и Ozon

Злоумышленники под видом известных компаний совершили серию крупных краж, оформив закупки с помощью поддельных документов и используя подмену номеров телефонов. Аферисты выдавали себя за представителей легитимных организаций, предъявляли доверенности и добивались отгрузки товара. Используемые ими документы были высокого качества и не вызывали подозрений даже у опытных сотрудников.

Как сообщила «Фонтанка», мошенники оформили несколько крупных заказов от имени Петербургской сбытовой компании (ПСК). В частности, под видом сотрудников ПСК были приобретены 130 комплектов автомобильных шин и 20 тонн сливочного масла.

В обоих случаях за товаром приезжал якобы представитель ПСК и предъявлял доверенности на получение груза. Однако позже выяснилось, что ни почта, ни телефон, ни фамилия человека, забиравшего продукцию, не имели отношения к компании.

Номер телефона, с которого связывались аферисты, в приложении Getcontact отображался как принадлежащий ПСК. Поддельные документы были выполнены на высоком уровне: в случае с «покупкой» масла мошенники даже приложили протокол разногласий к договору, где указали неустойки за нарушение условий хранения продукции.

Между тем ещё в апреле на официальном сайте ПСК появилось предупреждение: «Информируем о новой мошеннической схеме. В адрес юридических лиц поступают письма об организации закупок от имени Петербургской сбытовой компании. Письма направляются с подложного почтового адреса: zakaz.pesc-opt.ru с указанием номеров телефонов, не принадлежащих Петербургской сбытовой компании».

ПСК — не единственная пострадавшая организация. Подобные случаи неоднократно фиксировались в отношении Ozon: от его имени злоумышленники вывозили компьютеры, промышленные пылесосы и стройматериалы в разных регионах страны. При этом также использовались поддельные документы и подменённые номера телефонов.

«Мы знаем о ситуации, при которой некие сторонние лица, представляясь компанией Ozon, обращаются к поставщикам с просьбой предоставить самые разные товары, в том числе с постоплатой, — сообщили изданию в пресс-службе маркетплейса. — Часто мошенники используют схожие по написанию домены и формируют письма-запросы на бланках с логотипом Ozon».

По данным «Фонтанки», на момент публикации ни одной из пострадавших компаний не удалось вернуть ни деньги, ни украденный товар.

AM LiveПодписывайтесь на канал "AM Live" в Telegram, чтобы первыми узнавать о главных событиях и предстоящих мероприятиях по информационной безопасности.

RSS: Новости на портале Anti-Malware.ru