Car-tech

ATM Hack donne de l'argent sur demande

Pirater une carte de paiement à distance: un jeu d'enfant

Pirater une carte de paiement à distance: un jeu d'enfant
Anonim

Barnaby Jack a décroché le jackpot à Black Hat mercredi. Deux fois.

Exploitant des bogues dans deux guichets automatiques différents, le chercheur d'IOActive a pu les inciter à cracher de l'argent à la demande et à enregistrer des données sensibles sur les cartes des personnes qui les utilisaient

. systèmes qu'il avait achetés lui-même - le type de guichets automatiques génériques généralement trouvés dans les bars et les dépanneurs. Les criminels frappent ce type de machine depuis des années, en utilisant des skimmers ATM pour enregistrer les données de la carte et les numéros PIN, ou dans certains cas simplement en tirant un camion et en transportant les machines.

Windows PC]

Mais selon Jack, il y a un moyen plus facile et beaucoup plus alarmant de sortir l'argent. Les criminels peuvent se connecter aux machines en les appelant - Jack croit qu'un grand nombre d'entre eux ont des outils de gestion à distance accessibles par téléphone - et ensuite lancer une attaque.

Après avoir expérimenté ses propres machines, Jack a développé un moyen de contourner le système d'authentification à distance et d'installer un rootkit fait maison, nommé Scrooge, qui lui permet de remplacer le firmware de la machine. Il a également développé un outil de gestion en ligne, appelé Dillinger, qui permet de suivre les machines compromises et de stocker les données volées aux personnes qui les utilisent.

Les criminels pourraient trouver des distributeurs vulnérables en utilisant un logiciel de numérotation libre pour appeler des centaines de milliers de chiffres, à la recherche de ceux qui répondent en disant qu'ils ont installé le logiciel de gestion vulnérable. Les criminels ont déjà utilisé une technique similaire sur Internet pour pénétrer dans les systèmes de points de vente vulnérables.

Les outils de Jack sont juste des logiciels de preuve de concept, conçus pour montrer à quel point les machines sont réellement vulnérables. "L'objectif de cette conférence est de susciter des discussions sur les meilleurs moyens de remédier à la situation", a-t-il dit.

"Il est temps de refondre ces appareils", a déclaré Jack. "Les entreprises qui fabriquent les appareils ne sont pas Microsoft, elles n'ont pas eu 10 ans d'attaques continuelles contre elles."

Les machines que Jack a piratées étaient cependant basées sur le système d'exploitation Windows CE de Microsoft.

démonstration sur scène à Black Hat, il s'est connecté à distance à un guichet automatique et a lancé un programme appelé Jackpot qui a incité les guichets automatiques à cracher de l'argent, tout en jouant un morceau et éclaboussant le mot "Jackpot" sur l'écran de la machine. Dans une seconde démo, il s'approcha de la machine, l'ouvrit avec une clé qu'il avait obtenue sur Internet et installa son propre firmware. Une seule clé standard peut ouvrir de nombreux types de machines, a-t-il dit, présentant un autre problème de sécurité sérieux.

Jack avait prévu d'en parler lors de la conférence de l'année dernière, mais il a été retiré. les problèmes qu'il avait découverts.

Robert McMillan couvre la sécurité informatique et les nouvelles générales de dernière heure pour

The IDG News Service. Suivez Robert sur Twitter à @bobmcmillan. L'adresse électronique de Robert est [email protected]