Leçons importantes à tirer du Black Hat ATM Hack

Un chercheur en sécurité nommé Barnaby Jack a étonné les participants à la conférence de sécurité de Black Hat en piratant des guichets automatiques dans une session intitulée "Jackpotting Automated Teller Machines Redux". Il y a quelques leçons importantes à apprendre des hacks que Jack a démontrés, et ils s'appliquent à plus que des machines ATM.

Les exploits de Jack - un impliquant un accès physique au guichet automatique en utilisant une clé principale disponible en ligne, et l'autre à distance pour accéder - axé sur les guichets automatiques de Triton et Tranax. Cependant, la question n'est pas nécessairement limitée à ces deux. Jack a expliqué à son auditoire qu'il n'a pas encore trouvé un guichet automatique qu'il ne pouvait pas récupérer et récupérer de l'argent.

C'est un hack impressionnant. Qui n'aimerait pas marcher jusqu'à un guichet automatique et le faire vomir de l'argent comme si vous aviez frappé le jackpot sur une machine à sous Vegas? Mais la plupart des entreprises ne possèdent pas de guichets automatiques, alors pourquoi les administrateurs informatiques se soucient-ils du hack ATM?

[Plus d'informations: Comment supprimer les malwares de votre PC Windows]

La réponse est non seulement ATM Machines. La machine ATM n'est qu'un exemple sensationnel d'une mauvaise sécurité physique combinée à une faible sécurité numérique sur une plate-forme héritée ou de niche. Les ordinateurs sont partout, mais beaucoup d'entre eux ne sont pas surveillés pour des raisons de sécurité ou mis à jour régulièrement pour les protéger.

Toralv Dirro, chercheur en sécurité chez McAfee, explique dans un article de blog: Beaucoup d'appareils et de machines exécutent en interne des ordinateurs et des systèmes d'exploitation assez standard: les distributeurs automatiques de billets, les voitures, les appareils médicaux et même votre téléviseur peuvent avoir un tel ordinateur à l'intérieur, permettant des mises à jour sur un réseau. Dirro poursuit en expliquant que plus le système est complexe, plus il a de chances d'avoir des failles qui peuvent être découvertes et exploitées avec suffisamment de temps. Bon nombre de ces systèmes - en particulier les logiciels qui exploitent le guichet automatique de la station d'essence d'angle - sont relativement complexes et doivent être régulièrement mis à jour pour assurer leur sécurité et leur protection.

Il y a aussi des répercussions sur la sécurité nationale. De nombreux services publics tels que l'eau et l'électricité, les usines de fabrication, les trains et les métros, et d'autres éléments de l'infrastructure critique qui constituent la colonne vertébrale de la productivité, du commerce et de la sécurité dépendent des systèmes archaïques. mis à jour, mais ont probablement des failles exploitables pour un attaquant qui a l'air assez fort.

Pour aggraver les choses, beaucoup de ces systèmes étaient autonomes, mais ont été connectés à Internet au fil du temps, permettant d'y accéder et de les exploiter à distance.. Le piratage de la machine ATM démontre la nécessité de fournir une meilleure sécurité pour ces systèmes.

Il est irréaliste de s'attendre à ce que ces systèmes existants et de niche soient constamment mis à jour. L'exécution de pare-feux ou la protection anti-logiciels malveillants courants est également très peu pratique. Toutefois, comme le souligne Dirro, «l'avenir consiste à utiliser le contrôle des applications, le contrôle de configuration et le contrôle des modifications pour verrouiller ces systèmes. Vous pouvez donc effectuer des mises à jour et des modifications autorisées sans exécuter de code non autorisé.»