研究人員在德國儲蓄銀行Sparkasse使用的自動取款機中發(fā)現(xiàn)信息泄露和硬件錯誤配置漏洞。

[[155192]]

這位研究人員發(fā)現(xiàn)，其自動取款機和自助終端在軟件升級期間會被誘騙暴露大量敏感信息后，自動開始進行修復(fù)升級。

該問題是被德國安全公司“漏洞實驗室(Vulnerability Lab)”的首席執(zhí)行官兼創(chuàng)始人本杰明·昆茲梅吉里發(fā)現(xiàn)的。這位研究員當時正在使用一臺Sparkasse終端，忽然之間這臺機器就將他的銀行卡吐出并將狀態(tài)設(shè)置成了“暫時不可用”。

與該設(shè)備的互動導(dǎo)致屏幕上彈出了一個Windows命令行窗口，不停顯示升級過程的種種細節(jié)。就是這個時候，該研究員意識到，這臺終端是因為正在進行軟件升級才變成暫時不可用的。

軟件升級通常是在后臺進行，但正如昆茲梅吉里發(fā)現(xiàn)的，該升級過程的進程和細節(jié)都能通過與該設(shè)備的互動而拉到前臺呈現(xiàn)出來。昆茲梅吉里將他與該機器的互動描述為“計時攻擊”，但出于防止濫用的目的，他拒絕透露更多的細節(jié)。

昆茲梅吉里發(fā)現(xiàn)該漏洞的時候，錄制了一段該終端上命令行窗口中顯示的信息的視頻。仔細審查該視頻后，他發(fā)現(xiàn)這一更新過程暴露了大量敏感信息，包括該銀行主要系統(tǒng)分支的用戶名、序列號、防火墻設(shè)置、網(wǎng)絡(luò)信息、設(shè)備ID、自動取款機設(shè)置和兩個系統(tǒng)密碼。

昆茲梅吉里還發(fā)現(xiàn)，該自助終端的鍵盤在更新正在進行的時候竟然沒被禁用。由于這些設(shè)備擁有完整的鍵盤，攻擊者便可利用底層Windows操作系統(tǒng)彈出的命令行窗口執(zhí)行系統(tǒng)命令。這位安全專家還指出，他與該機器的互動還導(dǎo)致讀卡器能被用于其它操作。

被測試的設(shè)備是由德國Wincor Nixdorf公司制造的，這家公司制造、銷售、安裝、和維護零售及銀行業(yè)硬件和軟件。漏洞實驗室稱，受影響的ATM機和自助終端用的是Windows 7 和Windows XP操作系統(tǒng)。

在給《SecurityWeek》提供的咨詢中，漏洞實驗室描述了幾種可能的攻擊場景。一個場景中，攻擊者記錄下更新過程中屏幕上顯示的信息，用這些信息對目標銀行的局域網(wǎng)進行中間人攻擊。值得注意的是，攻擊者需要能夠進入到位于銀行建筑里的局域網(wǎng)才能進行這樣的攻擊。

這個安全公司稱，能進入銀行局域網(wǎng)的攻擊者還可以利用該被暴露的信息捏造一個看起來來自于服務(wù)提供商的偽造更新來重新設(shè)置ATM機。

研究人員還相信，攻擊者可能通過篡改ATM機使其崩潰并破壞其日志或調(diào)試機制而進行欺詐性交易。

漏洞實驗室警告道：如果騙子們能確定計劃更新的時間和日期，他們可以對多個ATM機和自助終端發(fā)起更大型的協(xié)同的攻擊，并將獲得的信息用于未來的攻擊行動。

據(jù)漏洞實驗室稱，記錄下屏幕上顯示的所有信息僅耗時17分鐘。

雖然只測試了Sparkasse使用的機器，該安全公司相信，使用Wincor Nixdorf的ATM機和自助終端的其他銀行可能也受此漏洞的影響。

漏洞實驗室說，該信息泄露和硬件錯誤配置漏洞最先是在5月份的時候被報告給了Sparkasse的安全和數(shù)據(jù)保護團隊，而該問題的存在在漏洞報告送達該銀行位于法蘭克福的財務(wù)安全中心之后不久即被確認。

作為試點計劃的一部分，該公司已經(jīng)在德國黑森州卡塞爾市的部分ATM機上鋪開了解決該漏洞的更新升級進程。漏洞實驗室稱，在新的配置被測試通過后，該更新將在其他地區(qū)安裝。

文件顯示，Sparkasse感謝了昆茲梅吉里所做的努力，獎勵給他一筆未透露數(shù)額的獎金。昆茲梅吉里表示，這還是第一次一家德國銀行因發(fā)現(xiàn)自助終端和ATM機里的漏洞而致謝安全研究員。

在德國，涉及到ATM機被黑的安全事件并非聞所未聞。上周，柏林警方宣布，他們一直在找尋一名將ATM機前置面板拆下后利用接入的U盤從ATM機上非法取走現(xiàn)金的男子。這一技術(shù)早在幾年前就為人所知了。

監(jiān)控視頻記錄下了疑犯的形象，調(diào)查員們放出了幾張疑犯的照片，希望有人能認出他。