Barnaby Jack z IOActive Labs, pokazał na konferencji Black Hat w jaki sposób można zmusić bankomaty do wypłacenia nieuprawnionej osobie dowolnej ilości gotówki. Ekspert zademonstrował dwa typy ataku na zakupione przez siebie przez internet dwa bankomaty.

Jeden atak wymagał fizycznego dostępu do maszyny, drugi został przeprowadzony zdalnie. "Każdy bankomat, który badałem, zawierał błąd pozwalający na wypłacenie pieniędzy" - stwierdził Barnaby Jack po swoim pokazie.

Mężczyzna poinformował, że przeanalizował bankomaty czterech producentów. Dwa z nich zabrał ze sobą na Black Hat. Oba korzystały z systemu Windows CE.

Podczas pierwszego z pokazów Jack wykorzystał... klucz, który kupił w Internecie za 10 dolarów. Klucz ten otwiera bankomat, a dzięki temu możliwe było podłączenie do płyty głównej urządzenia klipsu USB z odpowiednio spreparowanym oprogramowaniem.

Drugi atak został przeprowadził za pomocą stworzonego przez siebie oprogramowania "Dilinger", które wykorzystuje błąd w oprogramowaniu odpowiedzialnym za monitorowanie procesu uwierzytelniania się. Dzięki niemu zainstalował rootkita o nazwie "Scrooge".

Zaatakowane maszyny wyprodukowały firmy Triton i Tranax. Pierwsza z nich zastosowała już dodatkowe zabezpieczenia, uniemożliwiające instalowanie w bankomacie oprogramowania bez cyfrowego podpisu.

[źródło: www.arcabit.pl]