Onderzoekers: aanvallers stalen met malware cash uit geldautomaten

Onderzoekers hebben malware voor geldautomaten aangetroffen die geavanceerder is dan bestaande malware voor dergelijke apparaten. De malware liet aanvallers geld uit de automaat halen. "Het is professionele malware", aldus een van de onderzoekers.

De malware richtte zich vooral op pinautomaten die nog Windows XP aan boord hebben. "Veel pinautomaten draaien nog op Windows XP", aldus de onderzoekers, die niet bij naam werden genoemd. De onderzoekers troffen de malware aan op een usb-stick die een aanvaller bij zich had toen hij zijn slag wilde slaan. De onderzoekers deden hun onthullingen uit de doeken tijdens de CCC-hackersconferentie in Hamburg, en suggereerden hun onderzoek in opdracht van een bank te hebben gedaan.

De onderzoekers toonden de aanval tijdens de conferentie in een virtuele machine, waarop de interface op een pinautomaat werd geëmuleerd. "We hebben hier helaas geen pinautomaat om te hacken", aldus een van de onderzoekers. Op de screenshots waren Portugese woorden te zien, evenals de aanduiding van de Braziliaanse real, wat er op wijst dat de opgepakte aanvaller zich richtte op een Braziliaanse bank.

De aanvallers injecteerden de malware door het pvc op de pinautomaat stuk te slaan, zodat een usb-aansluiting zichtbaar werd. Daarin staken ze een usb-stick met daarop een uitgeklede versie van Windows en de malware. Door de pinautomaat te laten rebooten, waarvan nog onduidelijk is hoe dat precies werd bewerkstelligd, werd de Windows-installatie op de usb-stick opgestart en de malware geïnstalleerd.

In een later stadium kwam een cash out-guy die het geld uit de automaat haalde. "Daar zat meestal een paar dagen tussen", aldus een van de onderzoekers tegenover Tweakers. "Ze wachtten op het goede moment, meestal net na het bijvullen van de pinautomaat."

De onderzoeker haalde het geld op door een speciale twaalfcijferige code in te voeren. De malware op de pinautomaat herkende die, en toonde een scherm waarop een tweede code moest worden ingevoerd. "Voor die code moest het 'hoofdkantoor' worden gebeld", zo zegt een van de twee beveiligingsonderzoekers.

Na het invoeren van de tweede code kon worden gezien hoeveel geld er in de pinautomaat zat en kon het geld ook daadwerkelijk uit de automaat worden gehaald. Daarnaast kon desgewenst eventuele netwerkconnectiviteit van de geldautomaten worden uitgeschakeld en was er zelfs functionaliteit om de gehele harde schijf te wissen.

"Het was professioneel ontworpen malware", aldus de andere van de twee beveiligingsonderzoekers. "De code was goed geschreven. Ze hebben waarschijnlijk een groot team gebruikt, er veel tijd in gestoken en er waarschijnlijk veel geld mee verdiend." Volgens de onderzoekster wisten de aanvallers veel van pinautomaten. "Waarschijnlijk hadden ze een pinautomaat om hun malware op te testen en hadden ze een bron binnen een fabrikant", stelt ze, waarbij ze aantekent dat het gaat om speculatie.

Volgens haar wist de malware zichzelf gaanderweg te verbeteren. "Bij sommige iteraties van de malware was een dll die bij het opstarten werd geladen wel erg opzichtig aanwezig, maar bij nieuwere versies was het nodig om beter te zoeken om hem te vinden." De malware kon desgewenst ook worden gedeïnstalleerd, waarbij het al zijn sporen probeerde uit te wissen.

Foto: Alexander Klöpping

Reacties (82)

[Ozzie]

Het artikel laat het net lijken alsof de kwetsbaarheid door Windows XP komt, maar dat vind ik erg suggestief.

Zulke geavanceerde malware die specifiek voor dit apparaat geschreven is had voor elk besturingssysteem geschreven kunnen worden. Als de pinautomaat een nieuwere versie van windows of zelfs een linux had gedraaid dan hadden de schrijvers van de malware waarschijnlijk gewoon een andere aanval gebruikt.

Wat ik veel kwalijker vind is dat het blijkbaar mogelijk is om een pinapparaat vanaf USB te laten opstarten met unsigned code. Dat lijkt mij eerder een hardware probleem dan dat dat aan Windows valt te wijten.

[rob12424]

Het artikel laat het net lijken alsof de kwetsbaarheid door Windows XP komt, maar dat vind ik erg suggestief.

Zulke geavanceerde malware die specifiek voor dit apparaat geschreven is had voor elk besturingssysteem geschreven kunnen worden. Als de pinautomaat een nieuwere versie van windows of zelfs een linux had gedraaid dan hadden de schrijvers van de malware waarschijnlijk gewoon een andere aanval gebruikt.

Wat ik veel kwalijker vind is dat het blijkbaar mogelijk is om een pinapparaat vanaf USB te laten opstarten met unsigned code. Dat lijkt mij eerder een hardware probleem dan dat dat aan Windows valt te wijten.

Onder Linux kun je kernels Signeren. Besturingsysteem ook. zelfs pakketten. Daarnaast kun je ze ook checken vaak met mD5 hash of andere methode (combinaties daarvan)
Grub of Lilo kun je beveiligen.
Ook de bios zou je met ww uit kunnen rusten. Aangezien windows tot een aantal jaar terug nog met Rainbowtablets werkte....... Uiteindelijk is alles te hacken.

Ik ken overigens een hacker die voor een bank werkt. transactiesysteem is bijna altijd Linux/unix. Front end daarentegen bijna standaard windows (kantoorlij/pin automaten) net als bij de spaceshutle. de code van windows NT kennen ze door en door. Vergis je niet dit is geen standaard windows NT en daarnaast ziten er aardig wat firewalls en checks enz. bij een bank.

Wat ik frapant vindt is het stuk waarin staat dat ze voor 2de code hoofdkantoor moeten bellen? Is er dan sprake van "man in the middle attack""?

[enigmafan]

Wat ik frapant vindt is het stuk waarin staat dat ze voor 2de code hoofdkantoor moeten bellen? Is er dan sprake van "man in the middle attack""?

Waarschijnlijk is degene die de automaat leeghaalt een lowlevel boefje, die zomaar zou kunnen denken zelf wat van het geld achterover te drukken. De gegenereerde code bevat waarschijnlijk al gecodeerd hoeveel geld erin zit, zodat lowlevel niet kan zeggen "er zat 20000 in" terwijl er 30000 inzat. Of hij kan het wel zeggen, maar dan istie de lul.

[Blokker_1999]

Ja, je kan code en kernels signen (kan je onder windows trouwens ook) maar als je met signed code werkt ga je zelf ook bepalen welke certs je vertrouwd. Je kan dan bijvoorbeeld opgeven dat enkel je eigen certs te vertrouwen zijn.

Een wachtwoord op het bios is waardeloos, zo te wissen en gaat weer een generiek wachtwoord zijn dat voor alle automaten gelijk is, dat lekt toch weer uit.

En nee, de space shuttle draaide echt geen NT, toen die ontworpen werd was er van Windows zelfs nog geen sprake. Op het einde van de levensduur van de Shuttle had men zelfs problemen om de wisselstukken voor die computers te vinden.

En aangezien hoofdkantoor tussen " staat mag ik aannemen dat ze het hoofdkantoor van de criminele organisatie bedoelen. Dit om te voorkomen dat 1 van hun deze exploit gaat misbruiken om zichzelf te verrijken.

[SidewalkSuper]

Als je weet wat een FaceDancer is, en als je weet hoe het werkt, denk ik dat je het helemaal niet zo raar meer vindt dat het mogelijk is om via USB code te starten op een (Windows) machine

http://goodfet.sourceforge.net/hardware/facedancer21/
http://goodfet.sourceforge.net/hardware/facedancer11/

Emulating USB Devices with Python

[Verwijderd]

Niet helemaal, maar wel ongeveer een zelfde soort hack zoals Barnaby Jack heeft gevonden bij US ATM-geldautomaten. Net als de zwakheid in de wifi-benadering in pacemakers, waarover hij een lezing zou geven in juli dit jaar en een dag ervoor dood werd aangetroffen in zijn motelkamer. RIP Barnaby J.

Ik heb deze automaten weleens gezien bij Olivetti Leiden in het testlab, echt al een tijd geleden (werkte daar als schoonmaker in de avond, tijdelijk bijbaantje) en die geldautomaten draaiden op Windows (XP) Embedded. Alles lag erbij, losse cardreaders etc.- alles stond aan en ik had best een kopie van de software c.q. firmware kunnen maken denk ik achteraf. Zelfs de losse EPROMS lagen gewoon op tafel, voor o.a. deze machines Was toen nog niet echt bezig met computers op securitygebied etc.- anders… Lame dat een pinautomaat zich zo laat rippen, stuk PVC kapotrammen, stick erin en go bananas!
Ik vind dit soort hacks toch wel geniaal op een bepaalde manier, vernuftig- het mag natuurlijk niet, maar het is wel spitsvondig imo. Zolang er geen specifiek rekeningnummer benadeeld is, gedoog ik het maar- banken kunnen toch wel wat hebben en dat zal ze dwingen meer focus te leggen op security, wat iedereen ten goede komt.

[Exitz]

Waarover hij een lezing zou geven in juli dit jaar en een dag ervoor dood werd aangetroffen in zijn motelkamer. RIP Barnaby J.
Nooit iets gelezen op tweakers over de dood van deze man!

[SiGNe]

Ik dacht zelf dat ie in een auto zat die opeens versnelde, tegen een boom aan knalde en in de fik vloog (of zelfs eerst in de fik vloog en daarna pas tegen de boom knalde) maar dat kan ook een andere hacker zijn geweest.
Er waren er 2 die daags voor de onthulling van groots nieuws op vrij mysterieuze wijze om het leven zijn gekomen, er was in beide gevallen in elk geval totaal geen aanleiding voor zelfmoord ook al werd dat el door de politie beweerd.

Op Tweakers is daar geloof ik geenmelding van gemaakt, op Fok! wel (Plus forumdiscussie)

[Kobus Post]

Doet me denken aan een presentatie op DefCon over het hacken van pinautomaten.
Die had gewoon een pinautomaat besteld, thuis laten afleveren en toen gehackt. Hij had dan meerdere hacks, eentje via het netwerk (authentification bypass) en een via een usb stick.

Dexe dus -> http://www.youtube.com/watch?v=FkteGFfvwJ0

[Verwijderd]

Deze film wordt mede mogelijk gemaakt dankzij de BANKEN [kwakzalver praktijken financiele bijsluiter? :)]

BONUS- BLACK HAT- Barnaby Jack - Jackpotting Automated Teller Machines Redux - Video
http://www.youtube.com/watch?v=Ss_RWctTARU

[kippy]

"De aanvallers injecteerden de malware door het pvc op de pinautomaat stuk te slaan, zodat een usb-aansluiting zichtbaar werd"

En dat valt niet op.... en daarna vullen ze de automaat weer gewoon bij. Vind het maar een beetje een vreemd verhaal.

[Daos]

Heb je weleens een automaat gevuld zien worden? Ik denk dat dat aan de achterkant/binnen gebeurt

In NL wordt/werd er vaak skim-apparatuur op de kaartlezer geplaatst en een camera boven het toetsenpaneel gehangen. Of werd de geldgleuf dichtgemaakt (cash trapping). Dat valt ook allemaal niet snel op.

[sprankel]

Skim apperatuur werkt niet meer, of althans niet in BE. Vroeger gebruikten de oudere types automaten de magnetische streep op de achterkant om identificatie te doen. De pin code werd via het netwerk doorgestuurd en het centraal systeem deed een controle.

De nieuwere types gebruiken de chip welke een microchip betreft. Aan de chip kan je enkel dingen vragen, niet opvragen. De automaat of je pinbakje voor homebanking vraagt dus aan de chip, wil jij een security code generen? De chip zal vervolgens de pin vragen en als alles goed gaat zal hij een antwoord geven. Maar je kan de chip niet uitlezen. En bij x aantal foutieve pogingen zou de chip een soort van self destruct moeten uitvoeren.

Nu de magneetstrook is simpel uit te lezen en dus te kopiëren. De chip kan je niet uitlezen (of je moet een achterdeurtje vinden) maar de chip moet wel langer in contact staan om er iets mee te doen terwijl magneetstrook even passeren langs de lezer genoeg is.

Nu met skimming kan je de criminelen nog gemakkelijk vatten en de klanten moeten geen onaangenaam contact hebben met criminelen. Ze zullen altijd blijven proberen mensen te bestelen net zoals met auto's. Vroeger konden ze de ruit inslaan, knopje omhoog, juiste draadjes verbinden, op de juiste plaats een tikje tegen het stuurslot en ze waren weg. Nu breken ze in, eisen ze dat je geld en juwelen afgeeft, nog een tik tegen je hoofd omdat je eerst de pincodes van de kluis en bankkaart niet wilde geven. Word je vastgebonden waarna ze met de dure bolide gaan lopen. Mijn punt is, je wilt het zeker niet te gemakkelijk maken maar langs de andere kant ook even nadenken voor je ze het te moeilijk maakt.

[Blokker_1999]

Met skimapparatuur is het nog altijd mogelijk om de magneetstrip achteraan de kaart te gebruiken. Die magneetstrip word bij ons dan niet meer gebruikt of uitgelezen, in andere landen is deze nog wel van toepassing. Het is dus perfect mogelijk om de magneetstrip uit te lezen, pincode af te vangen, naar het buitenland te verzenden en daar dus misbruik te maken van de gestolen data.

[Jelle E]

Daar zou ik graag aan toe willen voegen dat nog lang niet alle pinautomaten op de EMV-chip over zijn, hier in Wageningen weet ik het alleen zeker van twee automaten. Je kan dus wel met een sterke magneet de magneetstrip 'onschadelijk' maken, maar dan zal je mogelijk zo nu en dan beperkingen tegenkomen.

[mhkool]

In Brazilie worden alle geldautomaten aan de voorkant gevuld door drie mannen met pistool en 1 met een geweer. Ik woon in Brazilie en heb het al talloze malen gezien.

[Verwijderd]

Hier ook een andere methode uit Brazilie:
http://www.dailymotion.co...o-paulo-awesome-scam_news

Persoonlijk heb ik wel bewondering voor de personen die dit hebben gemaakt. Deze "casemod' is zeer realistisch.

[MMaI]

voor inspiratie van deze hack zie presentatie @ DefCON 18 (2010) http://www.youtube.com/watch?v=w1KfSSDh3gU

[Probook8979]

Dankjewel voor de video.

[Plofkotje]

Jammer dat Barnaby Jack (degene die deze presentatie geeft) overleden is, toch mooi dat er mensen doorgaan met zijn grootste hobby, ATM's hacken.

[sprankel]

Niet alleen dat,

USB poorten staan open, deze dienen geblokkeerd te staan. => fout van de systeembeheerders security

Een code nodig die van het hoofdkantoor moest komen. => hulp van binnenuit + fout in control set security (lees om een dergelijke code te kunnen krijgen dient een 2de persoon, liefst leidinggevende authorisatie te geven alvorens de 1ste persoon de code kan opvragen wat normaal standaard procedure is in de bankenwereld)

"Daar zat meestal een paar dagen tussen" => normaal dient het personeel van de bank de automaten dagelijks te controleren op verschillende punten inclusief controle dat er niet aan geprutst is door vandalisme of om apperatuur te plaatsen zoals camera's om pincodes af te kijken. Gezien het meerdere kantoren betreft => fout in het beleid van de kantoren
(En normaal zal een intern spoedbericht plaatsvinden als men een nieuwe manier van fraude ontdekt en waar ze bijkomend op moeten letten)

Dan is nog de vraag hoe ze aan de knowhow en de test geld machine zijn geraakt.

Al bij al gezegd, eigen schuld dikke bult.

[Powermage]

Ik denk dat met 'hoofdkantoor' het hoofdkantoor van de bende bedoeld werd zodat de geld ophaler niet de boel kan oplichten...

[Whatts]

Gaatje boren op de juiste plaats, sticker erover en niemand die het ziet...

[X-Fighter]

Ze zullen dat ook wel tegelijk repareren hoor

Tis niet dat ze daar een gapend gat laten staan...

[Verwijderd]

Ach ja als er een automaat stuk is denken ze er waarschijnlijk niet gelijk aan dat er malware op geinstalleerd is.
Nieuw frontje erop en gaan.

[Niemand_Anders]

Wat opvallender is, is dat er uberhaupt een vrije USB aansluiting aanwezig is en dan is het BIOS dan ook nog eens zo slecht afgesteld dat deze ook nog van een USB device kan opstarten..

Hoe moeilijk is het om in te stellen dat alleen vanaf de harde schrijf opgestart mag worden en dan een wachtwoord op het BIOS te zetten. Je zou bijna denken dat een kleuter verantwoordelijk was (is) voor de beveiliging van pinautomaten..

[Amadeus1966]

op een een of andere manier lijkt me dit een sterk verhaal.
de fysieke en zichtbare schade, de camera's van de automaten.....
en tot zover ik weet hangen ze allemaal in een netwerk.


ik zeg niet dat het onmogelijk is, maar het eea komt mij zeer sterk over.

[BarôZZa]

Die camera was een jaar geleden juist nog het probleem omdat deze juist was aangesloten via USB: http://krebsonsecurity.co...rity-camera-for-keyboard/

Vergeet niet dat we hier in Nederland snel denken aan die pinautomaten die in de muur zitten, maar in het buitenland juist enorm veel van die losse units worden gebruikt Vergelijkbaar met de ING pinautomaten die je in de Albert Heijn ziet en vaak op rustigere plekken. Die moeten ook geupgrade kunnen worden en het is kostentechnisch gezien praktisch onmogelijk om overal geheel proprietary hardware voor te gebruiken.

[Amadeus1966]

Klopt idd wat je zegt.

Doch waarom zo moeilijk doen met software,
Als ik een dergelijke kraak zou doen dan ben ik meer van de rechtoe rechtaan methode.
weet je wel hoeveel units je in een trailer kwijt kan ;-)

[FreshMaker]

Met het risico op track&trace, en de interne beveiligingen ( verfbom e.d )

Dus een gaatje maken, "snel" een hack installeren, en dan een paar dagen laten sluimeren.
Als de hack/schade niet is opgemerkt, en de machine is bijgevuld, op een rustig moment je slag slaan.
Het lijkt zelfs een hollywood manier, James Bond zou het ook zo kunnen toepassen.


Nette manier, in plaats van een half gebouw ontwrichten wat 'hier' gebeurde

[Jeffroiscool]

Waarom zit er een USB aansluiting op een pinautomaat (neem dan een board zonder of koppel ze gewoon niet aan)?
Waarom draait er banksoftware onder Windows?

Erg vreemd verhaal inderdaad.

[Hyronymus]

Die USB aansluiting is inderdaad vreemd waarom zou het niet op Windows mogen draaien? En denk je dat een alternatief OS niet te hacken valt?

[johnkeates]

Iedereen kan aan Windows komen. Als je een OS draait dat niet publiek beschikbaar is kunnen mensen zich ook niet voorbereiden.

[mashell]

Als je een OS draait dat niet publiek beschikbaar is kun je als leverancier ook maar moeilijk vaststellen hoe veilig het is. Van Windows XP, Linux etc weten we dat tamelijk precies. Omdat we gezien hebben, in de afgelopen jaren, dat iets veiligs bouwen knap moeilijk is, ben je dus vaak beter af met iets dat niet super veiligs als XP dan met iets zelf geknutselts.

[johnkeates]

Het is niet perse zo dat je dan zelf iets moet ontwikkelen, er zijn genoeg commercieel verkrijgbare software te krijgen hoor.

Het gaat er meer om dat je niet meer aan de eisen van windows vast zit. Als x86+BIOS gebruikt kan in theorie elk bekend OS gebruikt worden om het systeem mee op te starten en te hacken, terwijl je bijv. met StrongARM + digitale handtekeningen + ROM boot + NetBoot met digitale handtekeningen een stuk verder komt. Enige probleem is dat windows dat dus niet ondersteunt, en je daarmee dus automatisch eerst naar een ander OS zal moeten zoeken.

Het kiezen van windows lijkt in de meeste gevallen vooral 'lekker makkelijk' te zijn, om dat je even snel wat software in elkaar kan draaien en gewoon een PC met een paar seriële poorten in je ATM stopt en daar alles eigelijk wel mee kan doen.

[RGAT]

Voor zover ik het begrijp wordt de malware geinstaleerd tijdens een reboot, dus of de ATM nou oorspronkelijk Windows, Linux, Android of zelfs Unix draait maakt dan natuurlijk niks uit zolang de juiste architectuur gebruikt wordt.
Verder snap ik niet waarom een ATM aan de voorkant, achter wat plastik, een usb poort zou hebben, ik zou die dan op z'n minst ergens achterin verwachten maar eigenlijk nam ik aan dat dergelijke apparaten via het netwerk constant gecontroleerd worden en vanaf een ROM opstarten o.i.d. om juist injectie van foute code of storingen te voorkomen...

[Blokker_1999]

Van een rom, leuk, zit er een bug in de software, kan je naar al je automaten een technicus gaan sturen om de rom te vervangen. Ik wil trouwens wel eens een rom zien waar je een modern OS in kan opslaan zonder dat de rom eenvoudig te vervangen is.

[Blokker_1999]

Security trough obscurity is no security at all.

[VincentdeVreede]

Ik vind ook vooral raar dat je door een stukje pvc kapot te slaan bij een usb aansluiting kan. Je zou toch zeggen dat je inderdaad de computer eerst even open moet schroeven om nieuwe dingen aan te kunnen sluiten.

[Techneut]

Inderdaad, maar meer nog, wat moet zo'n computer met een usb-aansluiting? In mijn beleving helemaal niets, totaal overbodig. Ik probeerde me even te verplaatsen in de plannen van die criminelen, persoonlijk zou ik niet eens hebben vermoed dat die usb erop zat. Laat staan dat die ook nog zo gemakkelijk bereikbaar zou zijn. Ze moeten denk ik hebben geweten dat het zo simpel zou zijn. Lijkt mij puur een gevolg van gemakzucht van de bank die de automaat beheert en blijkbaar hiervoor een standaard computer heeft gekocht. Nooit bij stil gestaan natuurlijk, uiterst stom, maar hopelijk een lesje voor de hele bankwereld. Overigens, waarom moet die computer sowieso direct bij de automaat staan en niet op een beveiligde plaats binnen het gebouw? Daarvoor zijn er dunkt me netwerkkabels.

[thegve]

Ach, PC op afstand en alleen Video + "toetsenbord" (knoppen) kabel naar voren? Met een beetje knutselwerk heb je in het formaat van een smartphone een kleine PC die de video kan aftappen/opnemen en aanpassen of zelfs een eigen fake "bank" interface heeft.
Maatregelen tegen alleen deze specifieke hack zijn ook weer zo nuttig niet. Denk dat het het nuttigst is om je hier gewoon op de fysieke beveiliging te concentreren (een sterker materiaal/metaal oid ipv kunststof), en wellicht als ze bezig zijn die USB poort op een betere plek maken.

[Reactie gewijzigd door thegve op 23 juli 2024 15:26]

[Woestijn]

In Nederland draaien de meeste pinautomaten ook gewoon Windows NT, dus zo'n vreemd verhaal is dat niet..

ING: http://media.dumpert.nl/foto/41cbe2d4_postbank_ja.jpg
ABN: http://bin.ilsemedia.nl/m/m1byt14w3gn5.jpg

Ben zelf al meerdere keren langs een automaat met een blue-screen gelopen

[Reactie gewijzigd door Woestijn op 23 juli 2024 15:26]

[wildhagen]

Windows NT zal denk ik inmiddels grotendeels zijn uitgefaseerd? Volgens mij draaien de meeste automaten inmiddels op XP of één of andere versie van Windows Embedded?

Zou ook niet weten waarom men daar een compleet nieuw OS voor zou moeten schrijven. Die automaten hangen toch niet aan Internet, maar aan een dedicated lijn (meestal X.25) op een apart netwerk.

En als je fysiek toegang hebt (zoals in dit geval noodzakelijk ivm die usb-stick) maakt het gebruikte OS toch al niet zo veel meer uit.

[Blokker_1999]

Waarom zit er een USB aansluiting ... wat dacht je van onderhoud aan die machines? Of denk je dat als zoiets defect is men eenvoudig weg de machine kan verwijderen om de fout eruit te halen? Tuurlijk niet, men zal eerst proberen remote het probleem op te lossen, lukt dat niet moet een technicus ter plaatse het proberen, en dan is het eenvoudig als hij simpelweg het frontpaneel maar moet wegnemen om aan de interfaces te kunnen.

En waarom windows? Waarom niet eigenlijk? Je vind er nog altijd de meeste developers voor. En wanneer je je security in orde hebt is er in principe geen groter risico dan bij welk ander OS.

[VincentdeVreede]

Weet je wat nog makkelijker is voor een techicus? Een grote ijzeren deur met een slot waarachter de computer staat, deurtje open en hij kan overal bij en niemand anders

[Verwijderd]

Met een ander OS zijn er weer andere kwetsbaarheden. Dus Windows of iets anders is niet van belang. En een USB aansluiting vind ik ook niet zo vreemd: bijvoorbeeld voor firmware upgrades, net zoals je op veel andere apparaten ziet.

[Verwijderd]

Er zal een usb aansluiting opzitten juist op software updates uit te voeren, op deze manier word de malware ook uitgevoerd vermoed ik.

En op eender welk os dat je gebruikt zijn hacks uit te voeren. En een geheel nieuw os schrijven is allicht te duur en valt nog steeds te manipuleren als men de middelen maar heeft.

[digital_ownage]

Dat banksoftware op Windows draait is voor mij ook een raadsel. Toch is het zo. Ik heb zelf een defecte pin automaat bij mij in de buurt gezien met een windows rubriekje er op en zelf ook redelijk veel plaatjes gezien waaruit op te maken valt dat het op MS windows draait...

[coolbvrobin]

alles is te hacken, zo te zien weer.
alleen ik snap niet dat banken op het ouden systeem blijven!
want tja je gaat toch met belangrijke informatie om, en geld natuurlijk'.
Lijkt me mischien handig dat banken over gaan op Cloud systeem
dat het besturing systeem op afstand wordt uitgevoerd.

[CMD-Snake]

Het is hier de fabrikant van de pinautomaat die niet overstapt op iets nieuws. En de reden waarom kan een van velen zijn. Als ze Windows 7 Embedded gaan draaien moet je mogelijk je software opnieuw ontwikkelen. Het kost misschien geld wat ze niet willen uitgeven, noem maar op.

Toch maakt het je product kwetsbaar en kan je je reputatie kosten. Voor banken is dit een kostenpost en mogelijk kan het ook gevolgen voor hun leverancier van pinautomaten hebben. Minder orders of zelfs schadevergoedingen.

[Verwijderd]

De bank bepaalt uiteindelijk de requirements, niet de fabrikant.

[Blokker_1999]

De bank koopt uiteindelijk een COTS systeem. Zij gaan geen tijd en geld steken in de ontwikkeling van eigen hardware, neen, zij stappen naar bestaande fabrikanten en kopen daar automaten van. Ook de backend software word dan meestal meegeleverd en de bank krijgt niet veel meer mogelijkheden dan een eigen frontend erop te zetten. Zo blijven de kosten laag en dat is wat teld. Een minimum aan kosten.

[fevenhuis]

Correctie het is Microsoft die zegt Windows XP tot April 2014 te ondersteunen en doet dat dan toch niet.

nieuws: Lek in Windows XP- en Server 2003-kernel wordt actief misbruikt

nieuws: Microsoft gaat zero day in XP dit jaar niet meer patchen

[Dennism]

Hoezo doen ze dat niet? Er staat alleen dat de patch dit jaar niet meer uitkomt, niet dat deze helemaal niet meer komt. Deze wordt waarschijnlijk gewoon in de patchronde van januari meegenomen.

[fevenhuis]

Dat betekent dus dat al die tijd dat Windows XP dus een kritieke exploit bevat. Als je een maand of langer wacht om deze te dichten, krijg je dus zaken als dit bericht.

Dat Microsoft niet alles kan voorzien lijkt mij duidelijk, daarom horen zij er voor te zorgen dat dit soort lekken z.s.m. gedicht worden.

[Reactie gewijzigd door fevenhuis op 23 juli 2024 15:26]

[Fr0ns]

Hoewel je gelijk hebt vind ik ook ver gaan om hier moeilijk om te doen. Mensen wachten zelf tot het uiterste en zien dan geen uitweg meer. Als het allemaal op deze laatste paar maanden aan moet komen is er ergens in het proces iets fout gegaan.

En nadat dit fossiel nog even aan de beademing mocht blijven van Microsoft hadden mensen die tijd moeten benutten om wat anders te zoeken, niet om af te wachten.

Het steeds terugkerende argument dat bedrijf X een obscuur pakket heeft gekocht in 1996 wat nog prima werkte op XP en het hele bedrijf van afhankelijk is is helaas geen argument.

[mhkool]

Alle computers die geen fysieke beveiliging hebben zijn inderdaad simpel te hacken. Het ontwerp van de geldautomaten in dan ook geheel vekeerd. De computer moet in de kluis zitten en mag een video kabel en toesenbordkabel naar buiten hebben. Een USB of andere interface naar buiten de kluis is uit den boze.

Besturen op afstand is natuurlijk geen goed idee. Dat is altijd weer te hacken door het verkeer tussen de centrale computer en de geldautomaat om te leiden.

[Blokker_1999]

Neen, niet mee in de kluis. Dan word onderhoud van die machines weer enorm gecompliceerd, dan heb je ineens een veelvoud aan mensen dat er toegang toe heeft met alle nachtmerries rondom security.

[Soldaatje]

waarvan nog onduidelijk is hoe dat precies werd bewerkstelligd

Als je bij een usb poort kan hoef je alleen maar een stroompin kort te sluiten en de voeding zal de PC opnieuw opstarten.

[thof]

Niet altijd, ik heb het ooit wel eens per ongeluk gehad. De chips of driver schakelde dan gewoon de poort netjes uit en gaf een melding. Maar wie weet hebben ze het zo wel gedaan.

[vali]

Dit is al vaker in het nieuws geweest.. In het verleden werd het door personeel van binnen uit uitgevoerd, nu is het een organisatie die precies weten waar ze moeten wezen. Ze wisten blijkbaar dat op de systemen de usb port gewoon gebruikt kan worden (wat ik echt absurd vind) en ook waar deze zich bevindt.

Hacks zoals deze hadden gemakkelijk voorkomen konden worden als ze hardware en software matig de systemen beter beveiligd hadden. Snap niet dat ze niet geleerd hadden van enkele jaren geleden, sinds personeel toen ook usb sticks met malware gebruikte.

[Verwijderd]

Als je bij de hardware kan komen is alles te hacken.
Het is wel triest dat het zo simpel is om die hardware in dit geval te bereiken. Een beetje flipperkast heeft al een betere inbraakbeveiliging.

[Great-Force]

Of ze nou Windows draaien of Linux, alle poorten voor externe apparatuur schreeuwen om problemen. Gewoon eenmalig installeren in de fabriek en dan via het netwerk up-to-date houden.
Hackers moeten dan eerst via het netwerk van de bank inbreken of hardwaremodden, maarja, valt ook echt niet op als je om 3 uur 's nachts bij de pinautomaat staat te solderen en met een laptopje via een bedraade of draadloze verbinding probeert te hacken.