Utilizzando strumenti software fatti in casa e sfruttando una falla di sicurezza nel meccanismo di autenticazione utilizzato per aggiornare il firmware sugli sportelli automatici ATM , un ricercatore di sicurezza ha violato dei bancomat di proprietà di Triton e Tranax e ha impiantato un rootkit che erogava contanti su richiesta.
Barnaby Jack, direttore della ricerca presso IOActive Labs, ha utilizzato un laptop con uno strumento software personalizzato chiamato “Dillinger” (dal nome del famoso rapinatore di banche) per sovrascrivere il sistema operativo interno della macchina, assumere il controllo completo dell’ATM e inviare comandi per per far emettere denaro su richiesta.
Alla conferenza sulla sicurezza di Black Hat, Jack ha mostrato due diversi attacchi contro gli sportelli automatici basati su Windows CE: un attacco fisico che utilizza una chiave master acquistata sul web e una chiavetta USB per sovrascrivere il firmware della macchina oltre ad un attacco remoto che ha sfruttato un difetto nel modo in cui gli sportelli automatici autenticano gli aggiornamenti del firmware.
Basta una chiavetta
Non ha fornito dettagli tecnici che consentirebbero a chiunque di riprodurre le tecniche di attacco, ma ha suggerito che un hacker esperto potrebbe sfruttare queste debolezze se i produttori di ATM continuano a creare software con falle di sicurezza aperte.
Sebbene gli attacchi siano stati dimostrati contro gli sportelli automatici effettuati da Tranax e Triton, Jack ha avvertito che i suoi attacchi avrebbero potuto essere eseguiti contro un’ampia varietà di marchi di sportelli automatici e ha invitato il settore dei servizi finanziari a investire in sicurezza, audit blackbox e test di penetrazione.
Basta una chiavetta USB che può essere acquistata per 10 euro su centinaia di siti web. “Con questa, posso camminare fino a un bancomat appartato e avere accesso a slot USB e SD/CF. In alcuni casi, aprire e inserire la mia chiave USB è stato più veloce dell’installazione di uno skimmer“, ha affermato.