ATM Hack le da dinero a cambio de dinero

Barnaby Jack alcanzó el premio gordo en Black Hat el miércoles. Dos veces.

Explotando errores en dos cajeros automáticos diferentes, el investigador de IOActive logró que escupieran dinero a pedido y registraron datos confidenciales de las tarjetas de las personas que los usaban.

Mostró los ataques en dos sistemas que él mismo había comprado: el tipo de cajeros automáticos genéricos que generalmente se encuentran en bares y tiendas de conveniencia. Los delincuentes han estado golpeando este tipo de máquina durante años, usando skimmers ATM para registrar datos de tarjetas y números de PIN, o en algunos casos simplemente levantando un camión y arrastrando las máquinas.

[Lectura adicional: cómo eliminar el malware de su Windows PC]

Pero según Jack, hay una forma más fácil y más alarmante de sacar el dinero. Los delincuentes pueden conectarse a las máquinas marcándolos -Jack cree que un gran número de ellos tienen herramientas de administración remota a las que se puede acceder por teléfono- y luego lanzar un ataque.

Después de experimentar con sus propias máquinas, Jack desarrolló una forma de eludir el sistema de autenticación remota e instalar un rootkit casero, llamado Scrooge, que le permite anular el firmware de la máquina. También desarrolló una herramienta de administración en línea, llamada Dillinger, que puede realizar un seguimiento de las máquinas comprometidas y almacenar datos robados de las personas que los usan.

Los delincuentes pueden encontrar cajeros vulnerables mediante el uso de software de código abierto para llamar a cientos de miles de números, buscando a aquellos que responden diciendo que tienen instalado el software de administración vulnerable. Los delincuentes ya han utilizado una técnica similar a través de Internet para entrar en sistemas vulnerables de punto de venta.

Las herramientas de Jack son solo un software de prueba de concepto, diseñado para mostrar cuán vulnerables son realmente las máquinas, dijo. "El objetivo de la charla es provocar discusiones sobre las mejores formas de remediar", dijo.

"Es hora de revisar estos dispositivos", dijo Jack. "Las empresas que fabrican los dispositivos no son Microsoft. No han tenido 10 años de ataques continuos contra ellos".

Las máquinas que Jack pirateó estaban, sin embargo, basadas en el sistema operativo Windows CE de Microsoft.

En un dramático demostración en el escenario en Black Hat, se conectó remotamente a un cajero automático y ejecutó un programa llamado Jackpot que hacía que los cajeros escupieran efectivo, mientras tocaban una melodía y salpicaban la palabra "Jackpot" en la pantalla de la máquina.

En una segunda demostración, caminó hacia la máquina, la abrió con una llave que había obtenido en Internet e instaló su propio firmware. Una única llave estándar puede abrir muchos tipos diferentes de máquinas, dijo, presentando otro grave problema de seguridad.

Jack había planeado pronunciar la charla en la conferencia del año pasado, pero fue retirada después de que los vendedores de ATM pidieran más tiempo para repararla. los problemas que descubrió.

Robert McMillan cubre las últimas noticias de seguridad informática y tecnología general para The IDG News Service. Sigue a Robert en Twitter en @bobmcmillan. La dirección de correo electrónico de Robert es [email protected]