Производители банкоматов устранили уязвимости, позволившие злоумышленникам снимать наличные без ограничений
Производители банкоматов Diebold Nixdorf и NCR устранили ряд уязвимостей программного обеспечения, которые позволяли киберпреступникам выполнять произвольный код с системными привилегиями или без них, а также выполнять незаконное снятие наличные, подделывая команды для выдачи валюты.
Уязвимости в устройствах были обнаружены экспертами по информационной безопасности из Координационного центра CERT Университета Карнеги-Меллона.
В официальном сообщении экспертов по этому поводу сказано следующее: «USB-банкоматы Diebold Nixdorf ProCash 2100xe с Wincor Probase версии 1.1.30 не шифруют, не аутентифицируют и не проверяют целостность сообщений между модулем внесения наличных и чеков (CCDM) и главным компьютером. Киберпреступник, имеющий физический доступ к внутренним компонентам ATM, может перехватывать и изменять сообщения, такие как количество и стоимость валюты, а также отправлять измененные сообщения на хост-компьютере».
Атака с подделкой депозита начинается с того, что киберпреступник вносит самостоятельно деньги в банкомат и изменяет сообщения от CCDM на главный компьютер, чтобы указать большую сумму, чем было фактически внесено. А заканчивается атака тем, что злоумышленник снимает эту увеличенную сумму (обычно в банкомате другого финансового учреждения).
Аналогичная уязвимость (CVE-2020-10124) с таким же потенциалом атаки была обнаружена в банкоматах NCR SelfServ с APTRA XFS 04.02.01 и 05.01.00: программное обеспечение не шифрует, не аутентифицирует и не проверяет целостность сообщений между связкой «приемник (BNA) и главный компьютер».
Чтобы эксплуатировать эти уязвимости, киберпреступники должны иметь физический доступ к внутренним компонентам банкоматов. В случае успеха они могут взломать с хост-систему и украсть деньги.
В конце июля 2020 г. компания Diebold Nixdorf уже стала жертвой киберпреступных действий по этим уязвимостям – на оборудование было проведено несколько (неподтвержденных) атак с использованием «черных ящиков». К банкоматам злоумышленники подключали сторонние устройства и «заставляли» диспенсер (устройство для выдачи денег) думать, что он работает с главным компьютером.
