Existe uma grande tradição na conferência anual de segurança Defcon, em Las Vegas, de hackear caixas eletrônicos (ATMs).
Desbloqueá-los com técnicas de arrombamento, manipulá-los para roubar dados pessoais e PINs dos usuários, criar e aperfeiçoar malware para ATM e, claro, hackeá-los para expelir todo o seu dinheiro.
Muitos desses projetos visam o que é conhecido como ATMs de varejo, dispositivos independentes como aqueles que você encontraria em um posto de gasolina ou em um bar.
Mas, na sexta-feira(16), o pesquisador independente Matt Burch apresenta descobertas relacionadas aos ATMs “financeiros” ou “empresariais” usados em bancos e outras grandes instituições.
Burch está demonstrando seis vulnerabilidades na solução de segurança amplamente implantada da fabricante de ATMs Diebold Nixdorf, conhecida como Vynamic Security Suite (VSS).
As vulnerabilidades, que a empresa afirma terem sido todas corrigidas, poderiam ser exploradas por atacantes para contornar a criptografia do disco rígido de um ATM não atualizado e assumir o controle total da máquina.
E embora haja correções disponíveis para os bugs, Burch alerta que, na prática, as correções podem não ser amplamente implantadas, potencialmente deixando alguns ATMs e sistemas de saque expostos.
“Vynamic Security Suite faz várias coisas - tem proteção de endpoint, filtragem de USB, acesso delegado, e muito mais”, diz Burch.
Mas a superfície de ataque específica que estou aproveitando é o módulo de criptografia de disco rígido.
E há seis vulnerabilidades, porque eu identificaria um caminho e arquivos para explorar, e então reportaria à Diebold, eles corrigiriam esse problema, e então eu encontraria outra forma de alcançar o mesmo resultado. São ataques relativamente simplistas.
As vulnerabilidades que Burch encontrou estão todas na funcionalidade do VSS de ativar a criptografia de disco para discos rígidos de ATM.
Burch diz que a maioria dos fabricantes de ATM confia na criptografia do Windows do BitLocker da Microsoft para esse propósito, mas o VSS da Diebold Nixdorf usa uma integração de terceiros para executar uma verificação de integridade.
O sistema é configurado em uma configuração de dual-boot que tem partições Linux e Windows.
Antes do sistema operacional ser inicializado, a partição Linux executa uma verificação de integridade de assinatura para validar que o ATM não foi comprometido, e então o inicializa no Windows para operação normal.
“O problema é que, para fazer tudo isso, eles descriptografam o sistema, o que abre a oportunidade”, diz Burch.
“A deficiência central que estou explorando é que a partição Linux não era criptografada.” Burch descobriu que ele poderia manipular a localização de arquivos críticos de validação do sistema para redirecionar a execução do código; em outras palavras, conceder a si mesmo o controle do ATM.
O porta-voz da Diebold Nixdorf, Michael Jacobsen, disse que Burch divulgou inicialmente as descobertas para eles em 2022 e que a empresa tem mantido contato com Burch sobre sua apresentação na Defcon.
A empresa afirma que as vulnerabilidades que Burch está apresentando foram todas abordadas com correções em 2022.
Burch observa, porém, que conforme retornou à empresa com novas versões das vulnerabilidades ao longo dos últimos anos, ele entende que a empresa continuou a abordar algumas das descobertas com correções em 2023.
E Burch acrescenta que acredita que a Diebold Nixdorf abordou as vulnerabilidades em um nível mais fundamental em abril com a versão 4.4 do VSS que criptografa a partição Linux.
Publicidade
Tenha acesso aos melhores hackers éticos do mercado através de um serviço personalizado, especializado e adaptado para o seu negócio. Qualidade, confiança e especialidade em segurança ofensiva de quem já protegeu centenas de empresas. Saiba mais...