3種盜竊ATM案例分享 遠、近端遙控及物理攻擊

去年台灣曾發生自動櫃員機(ATM)失竊案件,曾經傳出疑犯已經進入本港的消息,情況一度緊張。其實在去年,在台灣以外也曾經發生過相似的ATM失竊案件,手法各有不同,銀行分別向卡巴斯基實驗室尋求協助,在今年的SAS 2017上,研究人員與大家分享在個案中被用上的3種攻擊ATM方法。

ATMitch:遠端遙控惡意程式
ATM被洗劫一空,但銀行的搜證隊伍找不到惡意的檔案、可疑的指紋、沒有任何物理干擾的跡象,也沒有不法的電路板或裝置可以控制機器,但是ATM內的鈔票卻不翼而飛。

銀行的員工只找到一個名為 kl.txt 的檔案,然後便與卡巴斯基實驗室聯絡,並開始展開調查工作。卡巴斯基實驗室的研究人員從檢視該檔案開始,根據紀錄檔案的內容設定YARA規則(搜索字符串,尋找相關的樣本),找出與事與有關連的其他樣本,結果成功找到曾經在哈薩克斯坦和俄羅斯出現過的 tv.dll,隨後被稱為 ATMitch。

ATMitch透過已公開而未被修復的程式漏洞,滲透目標銀行的伺服器,黑客使用開源編碼或一般程式工具感染銀行的電腦,但是惡意程式令自己隱身在電腦記憶體內,而非一般的硬盤,由於沒有檔案所以難以被察覺,更會隨著系統重開而令追蹤惡意程式的痕跡消失。

黑客透過銀行電腦,遠端在ATM上安裝其他軟件,令動作看起來合法,當安裝完成之後,黑客便取得ATM的全權控制權,只需要鍵入簡單指令,就可以命令ATM吐出全部鈔票,而且在完成以上動作之後,惡意程式會刪除所有證據,令研究人員難以追查。

Bl@ckb0x_m@g1k:簡單而聰明的技巧
另一個救助個案,ATM的紀錄同樣沒有任何線索,機器完好無缺,而閉路電視就被遮擋所以無法錄下案發經過。當銀行把ATM送到卡巴斯基實驗室的辦公室,研究人員把裝置拆卸並有所發現,一個藍芽接收器連接著ATM的USB插頭,而硬盤內是藍芽鍵盤的驅動程式。

有了以上線索,重組案情變得簡單。某人把藍芽接收器安裝在ATM,然後等待3個月令紀錄清除,犯人再帶著藍芽鍵盤回去,遮擋閉路電視,利用藍芽鍵盤把ATM重啟進入服務模式,並透過服務模式把鈔票偷光。

電鑽:物理電鑽
其非所以盜取ATM的方法都屬於智慧型,以下的個案就是銀行找到物理干擾的明顯證據,一個直徑大約4厘米的鑽印落在PIN鍵盤的附近(雖然ATM看起來很堅固,其實有部份是塑膠零件),很明顯是一個電鑽造成的破壞。

類似的情況在俄羅斯和歐洲都有出現,直至警方抓到疑犯和一部手提電腦,案件的真相就逐漸浮現。卡巴斯基的研究人員在自己的實驗室以提款機進行測試,發現能夠透過鑽印把能夠把 10-pin 連接線與ATM接駁,再向內部的電腦著手令鈔票吐出。

以上部份個案的做案過程並沒有想像中的精密,成本也意料地低,此外研究人員又發現,部份ATM欠缺遠端更新功能,更新需要技術人員親身前往裝置,令部份ATM欠缺安全漏洞更新,讓黑客有機可乘。即使卡巴斯基實驗室的保安方案能夠協助銀行抓住ATMitch惡意程式,卻無辦法防範電鑽,這方面需要閉路電視拍下犯人的一舉一動。

 

Comments are closed