成本不足15美元的設備把取款機掏空

在網(wǎng)絡普及的今天，狡猾的取款機劫匪在ATM前面板上鉆個3英寸的小洞，就能輕松清空整臺機器里的鈔票。

4月3號，俄羅斯安全公司卡巴斯基揭露了一種新的ATM攻擊方法，綜合利用了數(shù)字技術和非常精準的物理滲透技術。卡巴斯基團隊甚至逆向并演示了該攻擊——僅使用了便攜式電鉆和價值15美元的自制設備，便注入惡意指令觸發(fā)提款操作。

盡管沒有點明受影響的ATM制造商和銀行，卡巴斯基警告：俄羅斯和歐洲已出現(xiàn)了這種電鉆攻擊，該技術可致全世界的ATM機受到所裝錢款分分鐘被清空的威脅。

卡巴斯基分析師年度峰會上，代表該研究團隊發(fā)言的伊戈爾·索門科夫說：“我們想知道：一個小洞和一根連線能對ATM內(nèi)部機制控制到何種程度？結果是，我們能做任何事情。取款機乖乖聽命，吐出鈔票，而且用超級簡單的微電腦就能做到這一切?！?/p>

鉆孔

對卡巴斯基而言，鉆孔ATM的傳說從去年秋天就開始了。當時，一家銀行客戶向其展示了一臺被清空的ATM機，機器上所留唯一證據(jù)，就是密碼小鍵盤上高爾夫球大小的一個洞。為隱藏其干凈利落的清空手術，竊賊甚至還用貼紙把洞給蓋上了。最終，研究人員接到了近一打類似的ATM劫案。警方逮捕其中一名嫌犯時，發(fā)現(xiàn)了一臺筆記本電腦，還有一根探進面板小洞的線纜。

僅僅是一臺筆記本電腦，一根連線，還有個洞，僅此而已。

卡巴斯基的研究人員搞了一臺同型號的ATM機放在他們的測試實驗室里，這機器自90年代起就廣為使用了。打開前面板，可以看到可能是竊賊通過小洞連接的一個串行端口。該端口連接到串聯(lián)起ATM機所有組件的內(nèi)部總線上，從控制用戶界面的計算機到吐鈔器都連上了。然后，研究人員花了5周時間，用示波器和邏輯分析儀，從原始電信號解碼了ATM內(nèi)部通訊協(xié)議。他們發(fā)現(xiàn)，該機器唯一的加密機制，就是用個弱異或(XOR)密鑰，而且機器各模塊間根本沒有真正的身份驗證。

說實話，這就意味著該ATM的任何部分基本上都可以往其他部分發(fā)送指令，這使得攻擊者可以冒充受ATM信任的計算機向吐鈔器發(fā)送假指令。

最終，研究人員打造出了自己的鉆洞吐鈔設備。他們這臺設備十分緊湊，甚至比被捕嫌犯的筆記本電腦還小，僅由一塊試驗電路板、一個Arduino微機上常見的Atmega微控制器、一些電容器、一個適配器和一塊9伏電池組成?？偝杀静蛔?5美元。

在測試中，該設備可在數(shù)秒連接時間內(nèi)觸發(fā)吐鈔，想吐出多少鈔票吐多少。攻擊速度的唯一限制，在于ATM“注意”到吐鈔器獨立運行并重啟的時候。不過，研究人員稱，在重啟“入場”前，他們便能卷走上萬美元。而且，這種攻擊是可以重復的，直到機器里的鈔票全部被拿走為止。

ATM已成常規(guī)目標

卡巴斯基稱已通告該機型ATM制造商，但此問題難以修復：受影響軟件不能被遠程更新。修復將涉及硬件更換，添加更多的身份驗證措施，或者增加物理安全措施。比如訪問控制和監(jiān)視攝像頭，威懾竊賊，讓他們不敢親身出面打劫這些機器。

ATM常被黑客盯上。最近，從臺灣、泰國到俄羅斯的攻擊，都用惡意軟件感染銀行內(nèi)部網(wǎng)絡，觸發(fā)ATM吐鈔。在緊密配合的行動中，錢騾從受害銀行的取款機人肉取走大堆鈔票。

3號的會議上，卡巴斯基的研究人員還揭露了一種新型的ATM惡意軟件，該軟件通過隱秘的無文件感染植入俄羅斯和哈薩克斯坦銀行的機器。其他物理接觸攻擊則簡單粗暴地打開取款機裝惡意軟件——無論巧妙開鎖還是直接毀壞面板鎖，或者使用這種對機器內(nèi)部的物理訪問來直接將黑客工具連到吐鈔器上。

鉆孔取錢技術代表著一種更簡單更隱秘的深入ATM內(nèi)部的途徑。突破銀行后端網(wǎng)絡需要更復雜的網(wǎng)絡入侵技術，打開機器面板植入惡意軟件，或者直接連接工具到吐鈔器則會觸發(fā)警報。在機器前面鉆個洞，就不會觸發(fā)同樣的警報。

某種意義上講，對ATM的物理攻擊，是個無法解決的問題。計算機安全專家一直在提醒：只要攻擊者采取物理控制，沒有任何計算機是安全的。但是，弱加密和組件間身份驗證的缺乏，會讓ATM特別難以防范物理攻擊——對不安全機器任意部件的訪問意味著對其最敏感核心的訪問。深夜佇立在漆黑街道上還滿腹現(xiàn)金的ATM是十分危險的，對其上電腦的數(shù)字安全多加考慮，是一筆很劃算的投資。

生成海報

免責聲明：本網(wǎng)站內(nèi)容主要來自原創(chuàng)、合作伙伴供稿和第三方自媒體作者投稿，凡在本網(wǎng)站出現(xiàn)的信息，均僅供參考。本網(wǎng)站將盡力確保所提供信息的準確性及可靠性，但不保證有關資料的準確性及可靠性，讀者在使用前請進一步核實，并對任何自主決定的行為負責。本網(wǎng)站對有關資料所引致的錯誤、不確或遺漏，概不負任何法律責任。任何單位或個人認為本網(wǎng)站中的網(wǎng)頁或鏈接內(nèi)容可能涉嫌侵犯其知識產(chǎn)權或存在不實內(nèi)容時，應及時向本網(wǎng)站提出書面權利通知或不實情況說明，并提供身份證明、權屬證明及詳細侵權或不實情況證明。本網(wǎng)站在收到上述法律文件后，將會依法盡快聯(lián)系相關文章源頭核實，溝通刪除相關內(nèi)容或斷開相關鏈接。