ATM’ler bu seferde hackerların tehdidi altında

Bazı ATM’lerin hoparlörlerinde bulunan küçük bir hata, onların hack’lenerek para fıskiyesine dönmesine sebep oluyor.

Bir cihaz için asla “asla hack’lenmez” demeyin. ATM üreticisi Diebold Nixdorf bu gerçeği, şiketine ait bir ATM’nin para fışkırtan bir fıskiyeye çevirlmesinden sonra öğrendi. Diebold Nixdorf’a ait popüler Opteva ATM’lerinde bulunan bir USB açığı basit bir hack ile kırılabiliyor ve cihazın içindeki tüm paraların dışarı atılmasına sebep oluyor.

Geçtiğimiz hafta düzenlenen Black Hat etkinliğinde IOActive’in “Gömülü Cihazları Kırma” panelinde, araştırmacılar sadece bilgisayarların değil, telefon ve sunucuların da hack’lenebildiğini, kısacası içinde çip bulunan ve internet bağlantısı olan her şeyin kırılabildiğini gösterdi.

Gömülü sistemler, isminden de anlaşılacağı gibi, tek bir işlev için seri üretilmiş cihazlara verilen isim. Bu cihazların arasında yazıcılar, tarayıcılar, güvenlik kameraları, kiosk’lar ve tabii ki ATM’ler var. Bu cihazların tek bir işlevleri olduğu için güvenlikleri de ona göre geliştiriliyor, yani bir çok gömülü sistemin güvenlik sistemi yok bile.

IOActive’e göre bir cihazın güvenliği onun en zayıf parçası kadar iyi. Bu da gömülü sistemleri kolay hedefler haline getiriyor.

Geçmişte güvenlik şirketlerinin kavram ispatı için arabaları, akıllı ev sistemlerini ve hatta silahları bile hack’lediler. ATM’ler mekanik olarak ne kadar güvenli olsa da, bazı dijital açıklar gözden kaçabiliyor.
‘Challenge accepted’

IOActive güvenlik sistemleri müdürü Mike Davis, daha önce Diebold Nixdorf ile bu konuda bir çok kez görüştüğünü bildirdi. Davis, Nixdorf’a ATM’lerinni hoparlörlerinin bulunduğu üst kısımda bir güvenlik hatası olduğunu ve buradan bir USB girişe erişilebildiğini söyledi.

Davis “Biraz sihir ile, şaka yapmıyorum, ATM’nin açılması saniyeler sürdü” dedi.

Bunu öğrenen Diebold Nixdorf, Davis’e göre açığı büyük bir tehlike olarak görmedi çünkü paralar ATM’nin alt kısmında bulunan bir kasada saklanıyordu. Şirket, bu açığın para çalınmasına olanak tanımayacağını söyleyince Davis şunları söyledi:

“O zaman biz de ‘challange accepted’ diyoruz. Cihaza para vermesini istememiz yeterli olacaktır diye düşünüyoruz.”

Ardından IOActive ekibi ortaya çıkan USB girişine bir netbook bağladı ve ATM’nin otomatik fon dağıtıcı sistemine bir kod aşıladı. Bu sistem gömülü cihazın ne kadar paranın dışarı çıkacağını kontrol eden bir bot. Ekip bu sistemi kırarak kasadaki bütün paranın dışarı atılmasını sağladı.

Diebold Nixdorf ile birlikte çalışarak diğer ATM’lerde de bulunabilecek muhtemel güvenlik açıklarını düzetlme teklifi eden IOActive’in teklifi reddedildi. Sebep olarak ise hacklenen bu ATM modelinin eski olduğu söylendi.

Şirketi temsil eden bir sözcü, “Doğru bakım ve yamaları almazsa, özellikle yaklaşık 10 yaşında her hangi bir gömülü bir sistemin tehlike altına girme riski artar” dedi.
Diebold Nixdorf 2008-2008 yılları arasında üretilen ATM’lerinden kaçının halen kullanımda olduğunu açılamadı ve çoğu durumda, yazılımların güncel tutulmasının finansal kurumlara bağlı olduğunu söyledi. Bu olaylardan beri bahsi geçen güvenlik açığının giderildiğinden emin değiliz.

ATM’ler hangi metotlarla hackleniyor

Metot 1: Sahte süreç merkezi
Bu yöntem için saldırganın ağa bağlanması için için kablo kullanmasını gerektiriyor. Hacker, ATM’yi bankanın ağından çıkarıp sahte süreç merkezine bağlıyor.

Kutu, nakit çekme bölgelerini kontrol ediyor ve ATM’ye komutlar yolluyor. Seçilen nakit çekme bölgesinden para talep ediyor. Bu kadar basit: Saldırgan artık herhangi bir kart veya herhangi bir PIN kodu kullanabilir ve ayrıca para transferlerini bir saldırganın yaptığı anlaşılmıyor.

Metot 2: Birden çok ATM’ye dolaylı saldırı
Bu metot hedefteki bankanın içinde çalışan birini gerektiriyor. Suçlu, çalışandan ATM gövdesini açan anahtarı alıyor. Bu anahtarla suçlu direkt para alamıyor ancak ağ kablosunu bulabiliyor. Hacker, ATM’yi bankanın ağından çıkararak özel bir aygıtla tüm veriyi kendi sunucusuna yolluyor.

ATM’leri birbirine bağlayan ağlar genelde güvenlik nedenlerinden dolayı birbirinden ayrı olur ve ATM’ler kendilerini otomatik yapılandırmış olabilirler. Bu durumda bazı cihazlarla, sadece birine bağlı olsa bile birden çok ATM’nin verilerine ulaşılabilir.

Saldırının geri kalan kısmı metot 1’de anlattıklarımızın aynısı: Sahte bir işlem merkezi sunucuya yükleniyor, saldırgan ATM’nin tüm kontrolünü eline geçiriyor. Herhangi bir kart kullanarak modeline bağlı olmaksızın ATM’den tüm parayı çekebiliyor. Bu metodu başarılı şekilde uygulayabilmek için ATM’lerin tek ortak noktasının işlem sürecine bağlanan ATM’lerin protokollerinin aynı olması yetiyor.

Metot 3: Karakutu saldırısı
Önceden anlattığımız gibi, saldırgan ATM ana gövdesinin anahtarını alıyor ancak bu sefer makineyi bakım moduna sokuyor. Daha sonra hacker USB girişine karakutu takıyor. Karakutu, saldırganın nakit bölgelerini kontrol edebilmesini sağlıyor.

Saldırgan ATM ile uğraşırken, ekranda “Bakım ” ya da “Kullanım dışı” servis mesjaları geliyor ancak ATM hala para verebilir durumda oluyor. Dahası, karakutu akıllı bir telefon ile uzaktan kontrol edilebiliyor. Hacker ekrandaki bir tuşa basarak para alıyor ve karakutuyu delilleri yok ediyor.

Metot 4: Kötü amaçlı yazılım saldırısı
ATM’ye kötü amaçlı yazılım yüklemenin iki yolu var: Porta kötü amaçlı yazılım içeren USB takmak ya da makineyi uzaktan bankanın ağına girerek hacklemek.

Hedef ATM kötü amaçlı yazılımlara karşı güvende değilse hacker ATM’de kötü amaçlı yazılım çalıştırıp ATM’ye para vermesi yönünde komut verebilir. Ta ki ATM’nin içindeki para bitene kadar.

Tabiki her ATM hacklenebilir değildir. Yukarıda anlatılanlar sadece bir şeyler eksik unutulmuşsa olabilir. Bankanın ağı güvenli olmayabilir, ATM yazılımı değiştirirken onaylama gerekmeyebilir, uygulamalar için beyaz liste olmayabilir ya da ağ kablosu kolay erişilebilir bir yerdedir.

Ne yazık ki, bu tür problemler yaygın olarak var. Örneğin, Tyupkin Tojan’ı ile saldırganlara ATM’lere saldırma şansı tanıdılar. Kaspersky Lab uzmanları bankalara bu tür konularda yardım etmek için daima hazırlar: Danışmanlık servislerimizi öneriyoruz. Ayrıca bankanın altyapısını denetleyebilir ve saldırılara karşı güvenliğini test edebiliriz.