Исследование уязвимостей было представлено экспертами компании Positive Technologies Владимиром Кононовичем и Алексеем Стенниковым на конференции по информационной безопасности Black Hat в Лас-Вегасе. Проблема заключается в возможности установки устаревшего и менее защищенного ПО на контроллер диспенсера, которое позволяет злоумышленнику выполнить атаку типа Black Box — подключить одноплатный компьютер к диспенсеру, используя недостатки защиты сервисной зоны банкомата, и отправить команду на снятие наличных. В настоящее время компания NCR устранила уязвимости.
«Исследование показало, что шифрованию подвергаются не все запросы от управляющего компьютера к диспенсеру, а только критически значимые (на взгляд производителя), как например выдача наличных, — отметил руководитель группы анализа защищенности аппаратных средств Positive Technologies Алексей Стенников. — Однако для некоторых других запросов отсутствие шифрования представляет не меньшую опасность».
Первая уязвимость CVE-2017-17668 связана с недостаточной защитой механизма записи памяти в контроллере диспенсера NCR S1. Если устройство функционирует на базе прошивки, выпущенной до версии 0x0156, неаутентифицированный пользователь имеет возможность выполнить произвольный код, обойти запрет понижения версии встроенного ПО и установить устаревшие версии прошивки с известными уязвимостями.
Аналогичная уязвимость CVE-2018-5717 выявлена в диспенсере NCR S2, для ее устранения необходима установка прошивки 0x0108.
Логические атаки на банкоматы с использованием физического или сетевого доступа в последние годы случаются все чаще. Так, согласно данным Европейской ассоциации по безопасности транзакций (EAST), за первое полугодие 2017 года в Европе было совершено 114 атак типа Black Box на банкоматы в 11 странах. В 2017 году эксперты PositiveTechnologies отмечали, что количество логических атак на банкоматы с применением вредоносного ПО в Европе в 2016 году выросло на 287% по сравнению с предыдущем годом. Ущерб от краж с использованием одной только вредоносной программы GreenDispenser в 2015–2016 годах в банках Восточной Европы составил около 180 тыс. долл. США. В 2018 году участники конкурса Leave ATM Alone международного форума по практической безопасностиPositive Hack Days 8 могли на практике проверить защищенность современных банкоматов, имеющих различные уязвимости, в том числе слабое шифрование.
