在網絡普及的今天，狡猾的取款機劫匪在ATM前面板上鉆個3英寸的小洞，就能輕松清空整臺機器里的鈔票。
4月3號，俄羅斯安全公司卡巴斯基揭露了一種新的ATM攻擊方法，綜合利用了數字技術和非常精準的物理滲透技術。卡巴斯基團隊甚至逆向并演示了該攻擊——僅使用了便攜式電鉆和價值15美元的自制設備，便注入惡意指令觸發提款操作。
盡管沒有點明受影響的ATM制造商和銀行，卡巴斯基警告：俄羅斯和歐洲已出現了這種電鉆攻擊，該技術可致全世界的ATM機受到所裝錢款分分鐘被清空的威脅。
卡巴斯基分析師年度峰會上，代表該研究團隊發言的伊戈爾·索門科夫說：“我們想知道：一個小洞和一根連線能對ATM內部機制控制到何種程度？結果是，我們能做任何事情。取款機乖乖聽命，吐出鈔票，而且用超級簡單的微電腦就能做到這一切。”
鉆孔
對卡巴斯基而言，鉆孔ATM的傳說從去年秋天就開始了。當時，一家銀行客戶向其展示了一臺被清空的ATM機，機器上所留唯一證據，就是密碼小鍵盤上高爾夫球大小的一個洞。為隱藏其干凈利落的清空手術，竊賊甚至還用貼紙把洞給蓋上了。最終，研究人員接到了近一打類似的ATM劫案。警方逮捕其中一名嫌犯時，發現了一臺筆記本電腦，還有一根探進面板小洞的線纜。
僅僅是一臺筆記本電腦，一根連線，還有個洞，僅此而已。
卡巴斯基的研究人員搞了一臺同型號的ATM機放在他們的測試實驗室里，這機器自90年代起就廣為使用了。打開前面板，可以看到可能是竊賊通過小洞連接的一個串行端口。該端口連接到串聯起ATM機所有組件的內部總線上，從控制用戶界面的計算機到吐鈔器都連上了。然后，研究人員花了5周時間，用示波器和邏輯分析儀，從原始電信號解碼了ATM內部通訊協議。他們發現，該機器唯一的加密機制，就是用個弱異或(XOR)密鑰，而且機器各模塊間根本沒有真正的身份驗證。
說實話，這就意味著該ATM的任何部分基本上都可以往其他部分發送指令，這使得攻擊者可以冒充受ATM信任的計算機向吐鈔器發送假指令。
最終，研究人員打造出了自己的鉆洞吐鈔設備。他們這臺設備十分緊湊，甚至比被捕嫌犯的筆記本電腦還小，僅由一塊試驗電路板、一個Arduino微機上常見的Atmega微控制器、一些電容器、一個適配器和一塊9伏電池組成。總成本不足15美元。
在測試中，該設備可在數秒連接時間內觸發吐鈔，想吐出多少鈔票吐多少。攻擊速度的唯一限制，在于ATM“注意”到吐鈔器獨立運行并重啟的時候。不過，研究人員稱，在重啟“入場”前，他們便能卷走上萬美元。而且，這種攻擊是可以重復的，直到機器里的鈔票全部被拿走為止。
ATM已成常規目標
卡巴斯基稱已通告該機型ATM制造商，但此問題難以修復：受影響軟件不能被遠程更新。修復將涉及硬件更換，添加更多的身份驗證措施，或者增加物理安全措施。比如訪問控制和監視攝像頭，威懾竊賊，讓他們不敢親身出面打劫這些機器。
ATM常被黑客盯上。最近，從臺灣、泰國到俄羅斯的攻擊，都用惡意軟件感染銀行內部網絡，觸發ATM吐鈔。在緊密配合的行動中，錢騾從受害銀行的取款機人肉取走大堆鈔票。
3號的會議上，卡巴斯基的研究人員還揭露了一種新型的ATM惡意軟件，該軟件通過隱秘的無文件感染植入俄羅斯和哈薩克斯坦銀行的機器。其他物理接觸攻擊則簡單粗暴地打開取款機裝惡意軟件——無論巧妙開鎖還是直接毀壞面板鎖，或者使用這種對機器內部的物理訪問來直接將黑客工具連到吐鈔器上。
鉆孔取錢技術代表著一種更簡單更隱秘的深入ATM內部的途徑。突破銀行后端網絡需要更復雜的網絡入侵技術，打開機器面板植入惡意軟件，或者直接連接工具到吐鈔器則會觸發警報。在機器前面鉆個洞，就不會觸發同樣的警報。
某種意義上講，對ATM的物理攻擊，是個無法解決的問題。計算機安全專家一直在提醒：只要攻擊者采取物理控制，沒有任何計算機是安全的。但是，弱加密和組件間身份驗證的缺乏，會讓ATM特別難以防范物理攻擊——對不安全機器任意部件的訪問意味著對其最敏感核心的訪問。深夜佇立在漆黑街道上還滿腹現金的ATM是十分危險的，對其上電腦的數字安全多加考慮，是一筆很劃算的投資。
京公網安備 11010502049343號