在網(wǎng)絡(luò)普及的今天，狡猾的取款機(jī)劫匪在ATM前面板上鉆個(gè)3英寸的小洞，就能輕松清空整臺(tái)機(jī)器里的鈔票。

4月3號(hào)，俄羅斯安全公司卡巴斯基揭露了一種新的ATM攻擊方法，綜合利用了數(shù)字技術(shù)和非常精準(zhǔn)的物理滲透技術(shù)?？ò退够鶊F(tuán)隊(duì)甚至逆向并演示了該攻擊——僅使用了便攜式電鉆和價(jià)值15美元的自制設(shè)備，便注入惡意指令觸發(fā)提款操作。

盡管沒(méi)有點(diǎn)明受影響的ATM制造商和銀行，卡巴斯基警告：俄羅斯和歐洲已出現(xiàn)了這種電鉆攻擊，該技術(shù)可致全世界的ATM機(jī)受到所裝錢款分分鐘被清空的威脅。

卡巴斯基分析師年度峰會(huì)上，代表該研究團(tuán)隊(duì)發(fā)言的伊戈?duì)枴に鏖T科夫說(shuō)：“我們想知道：一個(gè)小洞和一根連線能對(duì)ATM內(nèi)部機(jī)制控制到何種程度？結(jié)果是，我們能做任何事情。取款機(jī)乖乖聽(tīng)命，吐出鈔票，而且用超級(jí)簡(jiǎn)單的微電腦就能做到這一切。”

鉆孔

對(duì)卡巴斯基而言，鉆孔ATM的傳說(shuō)從去年秋天就開始了。當(dāng)時(shí)，一家銀行客戶向其展示了一臺(tái)被清空的ATM機(jī)，機(jī)器上所留唯一證據(jù)，就是密碼小鍵盤上高爾夫球大小的一個(gè)洞。為隱藏其干凈利落的清空手術(shù)，竊賊甚至還用貼紙把洞給蓋上了。最終，研究人員接到了近一打類似的ATM劫案。警方逮捕其中一名嫌犯時(shí)，發(fā)現(xiàn)了一臺(tái)筆記本電腦，還有一根探進(jìn)面板小洞的線纜。

僅僅是一臺(tái)筆記本電腦，一根連線，還有個(gè)洞，僅此而已。

卡巴斯基的研究人員搞了一臺(tái)同型號(hào)的ATM機(jī)放在他們的測(cè)試實(shí)驗(yàn)室里，這機(jī)器自90年代起就廣為使用了。打開前面板，可以看到可能是竊賊通過(guò)小洞連接的一個(gè)串行端口。該端口連接到串聯(lián)起ATM機(jī)所有組件的內(nèi)部總線上，從控制用戶界面的計(jì)算機(jī)到吐鈔器都連上了。然后，研究人員花了5周時(shí)間，用示波器和邏輯分析儀，從原始電信號(hào)解碼了ATM內(nèi)部通訊協(xié)議。他們發(fā)現(xiàn)，該機(jī)器唯一的加密機(jī)制，就是用個(gè)弱異或(XOR)密鑰，而且機(jī)器各模塊間根本沒(méi)有真正的身份驗(yàn)證。

說(shuō)實(shí)話，這就意味著該ATM的任何部分基本上都可以往其他部分發(fā)送指令，這使得攻擊者可以冒充受ATM信任的計(jì)算機(jī)向吐鈔器發(fā)送假指令。

最終，研究人員打造出了自己的鉆洞吐鈔設(shè)備。他們這臺(tái)設(shè)備十分緊湊，甚至比被捕嫌犯的筆記本電腦還小，僅由一塊試驗(yàn)電路板、一個(gè)Arduino微機(jī)上常見(jiàn)的Atmega微控制器、一些電容器、一個(gè)適配器和一塊9伏電池組成。總成本不足15美元。

在測(cè)試中，該設(shè)備可在數(shù)秒連接時(shí)間內(nèi)觸發(fā)吐鈔，想吐出多少鈔票吐多少。攻擊速度的唯一限制，在于ATM“注意”到吐鈔器獨(dú)立運(yùn)行并重啟的時(shí)候。不過(guò)，研究人員稱，在重啟“入場(chǎng)”前，他們便能卷走上萬(wàn)美元。而且，這種攻擊是可以重復(fù)的，直到機(jī)器里的鈔票全部被拿走為止。

ATM已成常規(guī)目標(biāo)

卡巴斯基稱已通告該機(jī)型ATM制造商，但此問(wèn)題難以修復(fù)：受影響軟件不能被遠(yuǎn)程更新。修復(fù)將涉及硬件更換，添加更多的身份驗(yàn)證措施，或者增加物理安全措施。比如訪問(wèn)控制和監(jiān)視攝像頭，威懾竊賊，讓他們不敢親身出面打劫這些機(jī)器。

ATM常被黑客盯上。最近，從臺(tái)灣、泰國(guó)到俄羅斯的攻擊，都用惡意軟件感染銀行內(nèi)部網(wǎng)絡(luò)，觸發(fā)ATM吐鈔。在緊密配合的行動(dòng)中，錢騾從受害銀行的取款機(jī)人肉取走大堆鈔票。

3號(hào)的會(huì)議上，卡巴斯基的研究人員還揭露了一種新型的ATM惡意軟件，該軟件通過(guò)隱秘的無(wú)文件感染植入俄羅斯和哈薩克斯坦銀行的機(jī)器。其他物理接觸攻擊則簡(jiǎn)單粗暴地打開取款機(jī)裝惡意軟件——無(wú)論巧妙開鎖還是直接毀壞面板鎖，或者使用這種對(duì)機(jī)器內(nèi)部的物理訪問(wèn)來(lái)直接將黑客工具連到吐鈔器上。

鉆孔取錢技術(shù)代表著一種更簡(jiǎn)單更隱秘的深入ATM內(nèi)部的途徑。突破銀行后端網(wǎng)絡(luò)需要更復(fù)雜的網(wǎng)絡(luò)入侵技術(shù)，打開機(jī)器面板植入惡意軟件，或者直接連接工具到吐鈔器則會(huì)觸發(fā)警報(bào)。在機(jī)器前面鉆個(gè)洞，就不會(huì)觸發(fā)同樣的警報(bào)。

某種意義上講，對(duì)ATM的物理攻擊，是個(gè)無(wú)法解決的問(wèn)題。計(jì)算機(jī)安全專家一直在提醒：只要攻擊者采取物理控制，沒(méi)有任何計(jì)算機(jī)是安全的。但是，弱加密和組件間身份驗(yàn)證的缺乏，會(huì)讓ATM特別難以防范物理攻擊——對(duì)不安全機(jī)器任意部件的訪問(wèn)意味著對(duì)其最敏感核心的訪問(wèn)。深夜佇立在漆黑街道上還滿腹現(xiàn)金的ATM是十分危險(xiǎn)的，對(duì)其上電腦的數(shù)字安全多加考慮，是一筆很劃算的投資。

生成海報(bào)

免責(zé)聲明：本網(wǎng)站內(nèi)容主要來(lái)自原創(chuàng)、合作伙伴供稿和第三方自媒體作者投稿，凡在本網(wǎng)站出現(xiàn)的信息，均僅供參考。本網(wǎng)站將盡力確保所提供信息的準(zhǔn)確性及可靠性，但不保證有關(guān)資料的準(zhǔn)確性及可靠性，讀者在使用前請(qǐng)進(jìn)一步核實(shí)，并對(duì)任何自主決定的行為負(fù)責(zé)。本網(wǎng)站對(duì)有關(guān)資料所引致的錯(cuò)誤、不確或遺漏，概不負(fù)任何法律責(zé)任。任何單位或個(gè)人認(rèn)為本網(wǎng)站中的網(wǎng)頁(yè)或鏈接內(nèi)容可能涉嫌侵犯其知識(shí)產(chǎn)權(quán)或存在不實(shí)內(nèi)容時(shí)，應(yīng)及時(shí)向本網(wǎng)站提出書面權(quán)利通知或不實(shí)情況說(shuō)明，并提供身份證明、權(quán)屬證明及詳細(xì)侵權(quán)或不實(shí)情況證明。本網(wǎng)站在收到上述法律文件后，將會(huì)依法盡快聯(lián)系相關(guān)文章源頭核實(shí)，溝通刪除相關(guān)內(nèi)容或斷開相關(guān)鏈接。