Egy biztonsági kutató úgy tört fel ATM-eket és POS terminálokat, hogy mindössze az okostelefonját használta. Ez most nem egy újabb Mr. Robot epizód, az illető számos valóban létező szoftveres hibát használt ki ahhoz, hogy a gépeket manipulálja, ráadásul egy lassan 10 éve létező és ismert sebezhetőség segítségével. Az általa alkalmazott trükk lehetővé tette a gépek összeomlasztását, hitelkártya adatok gyűjtését, sőt, extra pénz felvételére is lehetősége nyílt az ATM-ekről.
A filmeknek köszönhetően sokféle elképzelés létezik a bankautomatákat vagy egyéb pénzügyi rendszereket feltörő hackerekről, akik jóval több pénzt vesznek le egy ATM-ből, mint amennyi a bankszámlájukon van. Léteztek, és talán most is léteznek olyan megoldások, amelyekkel sikeresen végrehajtható egy ilyen informatikai bűntény, ám ehhez szükséges az adott gépek hardverének megpiszkálása. Most azonban egy kutató úgy hozta össze ezt a bravúrt, hogy nem kellett hozzányúlni a POS terminálokhoz vagy ATM-ekhez, mindössze annyit tett, hogy a telefonját meglengette egy érintésmentes kártyaolvasó felett.
“Csúsztassa be lopott hitelkártyáját!” Terminátor 2 – Az Ítélet Napja
Történetünk főszereplője Joseph Rodriguez, az IOActive biztonsági tanácsadója, aki a Wired-nek adott interjújában elárulta, miként sikerült kihasználnia a különböző plázákban, vendéglátóipari egységekben és üzletekben egyaránt megtalálható ATM-ek és POS rendszerek NFC architektúrájának hibáit. Semmi másra nem volt szüksége, mint egy NFC chippel felszerelt telefonra, valamint egy általa fejlesztett Android alkalmazásra, ezekkel képes volt megfertőzni a gépek NFC olvasóit. Ezt követően a biztonsági szakembernek módjában állt hitelkártya adatokat gyűjteni, észrevétlenül megváltoztatni a tranzakciók értékét, de azt is elérte, hogy bizonyos bankautomaták csak úgy készpénzt adjanak ki. Mondjuk az utóbbihoz az is kellett, hogy manipulálja az ATM szoftverében lévő különböző sebezhetőségeket.
Rodriguez azt állítja, hogy simán módosítani lehet a firmware-t, és amint ez megtörtént, fizetéskor egy 50 dolláros tétel árát át lehet írni 1 dollárra, úgy, hogy közben a képernyőn látott adatok szerint tranzakció teljesen rendben van. Magyarul a dolog teljesen észrevehetetlen. Ezenkívül használhatatlanná lehet tenni az adott eszközt, de arra is van mód, hogy zsaroló programokat telepítsünk – nyilatkozta a szakember. Ha a támadásokat láncba rendezzük és egy speciális payload csomagot küldünk az ATM rendszerébe, akkor a készpénzfelvételhez jókora extra összeget adhatunk, és ehhez mindössze egy érintésre van szükség a telefonnal.
A szakértő a kutatását úgy kezdte, hogy NFC olvasókat és pénztárgépeket vásárolt az eBay-en. Nem sokkal később arra lett figyelmes, hogy a legtöbb ilyen gép nem validálja a hitelkártyáról az olvasóra érkező adatcsomagok méretét. Erre a megfigyelésre alapozva fejlesztett egy Android alkalmazást, amely lehetőséget biztosít hatalmas, több százszor nagyobb adatcsomagok indítására, mint amekkorákat a gép kezelni tud. Így egy úgynevezett “puffertúlcsordulást” idéz elő, amely lehetővé teszi a támadó számára, hogy megrongálja az eszköz memóriáját, és saját kódot futtasson. Ráadásul ez nem is egy újkeletű sebezhetőség, már lassan 10 éve ismert.
A biztonsági szakértő állítása szerint nagyjából egy évvel ezelőtt tájékoztatta a megfelelő szerveket, gyártókat és márkákat az általa felfedezett biztonsági résről, de elmondása szerint a fizikailag is frissítésre szoruló készülékek száma hatalmas, a foltozás pedig rengeteg időt vesz igénybe. Ráadásul rengeteg POS terminál egyáltalán nem kap rendszeres szoftverfrissítést, ami még veszélyesebbé teszi az általa észlelt hibát.
Forrás: AndroidAuthority
