Специалисты нашли уязвимость в банкоматах Diebold-Nixdorf

Исследователям удалось обойти защиту от атак типа black box и произвести выдачу наличных.

Проблему обнаружили в банкоматах Wincor Cineo с диспенсерами RM3 и CMD-V5 (в настоящее время марка Wincor принадлежит компании Diebold Nixdorf). При наличии доступа к USB-порту контроллера диспенсера атакующий может установить устаревшую или же модифицированную версию прошивки (например, с отключенным шифрованием), чтобы обойти шифрование и произвести выдачу наличных. Специалисты напоминают, что диспенсер управляет кассетами, которые задействуются в процессе выдачи наличных, и расположен в нижней, более защищенной части банкомата (в сейфе).

Большинство предыдущих поколений банкоматов не могли противостоять атакам типа black box, в ходе которых к диспенсеру подключаются компьютеры или мобильные устройства, на диспенсер отправляется специальный код, и банкомат начинает выдавать деньги. В 2018 году, по оценкам Positive Technologies, для такой атаки были уязвимы 69% исследованных банкоматов, а взломать их можно было за несколько минут.

Более современные ATM, в том числе Wincor Cineo, имеют встроенную защиту от атак black box. Между компьютером банкомата и диспенсером устанавливается сквозное шифрование, компьютер отправляет диспенсеру зашифрованные команды, и хакер, не имеющий ключей шифрования, которые хранятся на компьютере банкомата, не сможет извлечь деньги.

«В случае с Wincor Cineo нам удалось разобраться в шифровании команд, которое используется во взаимодействии ПК и контроллера, и обойти защиту от атаки типа black box, — рассказал Владимир Кононович, старший специалист отдела безопасности промышленных систем управления Positive Technologies. — На популярном сайте объявлений был куплен такой же контроллер, управляющий выдачей, какой установлен в серийных ATM Wincor. Найденные в контроллере ошибки в коде и старые ключи шифрования дали возможность подключиться к ATM с помощью собственного компьютера (как в случае с классической атакой black box), обойти шифрование и произвести выдачу наличных. В настоящее время схема атаки состоит из трех пунктов: подключение компьютера к банкомату, загрузка устаревшей и уязвимой прошивки, а в финале — эксплуатация этих уязвимостей для получения доступа к содержимому кассет внутри защищенного сейфа».

По словам Владимира, возможно, некоторые производители рассчитывают на security through obscurity — слабую изученность проприетарных протоколов, труднодоступность оборудования для поиска уязвимостей в таких устройствах. Однако исследование показывает, что списанное оборудование несложно найти в открытой продаже и изучить, чем могут воспользоваться преступные группировки.

Обе уязвимости были обнаружены Владимиром Кононовичем и Алексеем Стенниковым еще в феврале 2018 года, и в том же месяце о них был уведомлен производитель. Так как с момента уведомления истекло более трех лет, уязвимости, по заверению экспертов Diebold Nixdorf, были исправлены, то есть Positive Technologies имела право раскрыть информацию о багах.

Проблемы получили оценку 6,8 балла по шкале CVSS v3.0. Первая ошибка BDU:2021-04967 была выявлена в прошивке диспенсера модели CMD -V5 (все версии до 141128 1002 CD5_ATM.BTR и 170329 2332 CD5_ATM.FRM включительно). Вторая уязвимость BDU:2021-04968 обнаружена в прошивке диспенсера модели RM3/CRS (все версии до 41128 1002 RM3_CRS.BTR и 170329 2332 RM3_CRS.FRM включительно).
Для исправления этих проблем кредитным организациям необходимо запрашивать у производителей банкоматов последнюю версию прошивки. Кроме того, в качестве дополнительного фактора защиты вендору рекомендуется включить физическую аутентификацию для оператора во время установки прошивок.