Ο Barnaby Jack κέρδισε το τζάκποτ στο Black Hat την Τετάρτη. Δύο.

Έδειξε τις επιθέσεις σε δύο συστήματα που είχε αγοράσει ο ίδιος - ο τύπος γενικών μηχανημάτων ΑΤΜ που συνήθως βρίσκονται σε μπαρ και καταστήματα ευκολίας. Οι εγκληματίες έχουν χτυπήσει αυτόν τον τύπο μηχανής εδώ και χρόνια, χρησιμοποιώντας κάρτες σκουπίσματος ATM για την καταγραφή δεδομένων καρτών και αριθμών PIN ή, σε ορισμένες περιπτώσεις, απλά τραβώντας ένα φορτηγό και τραβώντας τα προς τα έξω.

[Περαιτέρω ανάγνωση: Πώς να αφαιρέσετε το κακόβουλο λογισμικό από Windows PC]

Αλλά σύμφωνα με τον Jack υπάρχει ένας ευκολότερος, πολύ πιο ανησυχητικός τρόπος για να βγάλεις τα χρήματα. Οι εγκληματίες μπορούν να συνδεθούν με τα μηχανήματα κάνοντας κλήση τους - ο Jack πιστεύει ότι πολλοί από αυτούς διαθέτουν εργαλεία απομακρυσμένης διαχείρισης που μπορούν να προσεγγιστούν μέσω τηλεφώνου - και στη συνέχεια να ξεκινήσουν μια επίθεση.

Μετά από να πειραματιστεί με τις μηχανές του, ένας τρόπος παράκαμψης του απομακρυσμένου συστήματος ελέγχου ταυτότητας και εγκατάστασης ενός σπιτικά rootkit, που ονομάζεται Scrooge, που του επιτρέπει να παρακάμπτει το υλικολογισμικό του μηχανήματος. Επίσης, ανέπτυξε ένα διαδικτυακό εργαλείο διαχείρισης, το οποίο ονομάζεται Dillinger, το οποίο μπορεί να παρακολουθεί τα κατεστραμμένα μηχανήματα και να αποθηκεύει κλεμμένα δεδομένα από άτομα που τα χρησιμοποιούν.

Οι εγκληματίες θα μπορούσαν να βρουν ευάλωτα ΑΤΜ χρησιμοποιώντας λογισμικό ανοικτού κώδικα "war-dial" χιλιάδων αριθμών, αναζητώντας εκείνους που ανταποκρίνονται λέγοντας ότι έχουν εγκαταστήσει το ευάλωτο λογισμικό διαχείρισης. Οι εγκληματίες έχουν ήδη χρησιμοποιήσει μια παρόμοια τεχνική μέσω του Διαδικτύου για να σπάσουν σε ευάλωτα συστήματα σημείων πώλησης.

Τα εργαλεία του Jack είναι απλά λογισμικό απόδειξης ιδέας, σχεδιασμένο να δείχνει πόσο ευάλωτοι είναι οι μηχανές, είπε. "Ο στόχος της ομιλίας είναι να προκαλέσει συζήτηση για τους καλύτερους τρόπους αποκατάστασης", δήλωσε.

«Ήρθε η ώρα να δώσουμε στις συσκευές αυτές μια γενική επισκευή», είπε ο Jack. "Οι εταιρείες που κατασκευάζουν τις συσκευές δεν είναι η Microsoft και δεν έχουν δέκα χρόνια συνεχείς επιθέσεις εναντίον τους."

Οι μηχανές Jack που είχαν καταστραφεί ήταν, ωστόσο, βασισμένες στο λειτουργικό σύστημα Windows CE της Microsoft. στην επίδειξη on-stage στο Black Hat, συνδέθηκε απομακρυσμένα με ένα ΑΤΜ και έτρεξε ένα πρόγραμμα που ονομάζεται Jackpot που προκάλεσε τα ΑΤΜ να φτύνουν μετρητά, παίζοντας μελωδία και εκτοξεύοντας τη λέξη "Τζάκποτ" στην οθόνη του μηχανήματος.

Σε ένα δεύτερο demo, μπήκε στο μηχάνημα, άνοιξε με ένα κλειδί που είχε αποκτήσει στο Internet και εγκατέστησε το δικό του firmware. Ένα μόνο τυποποιημένο κλειδί μπορεί να ανοίξει πολλούς διαφορετικούς τύπους μηχανών, ανέφερε, παρουσιάζοντας ένα άλλο σοβαρό πρόβλημα ασφάλειας.

Ο Jack είχε σχεδιάσει να παραδώσει τη συζήτηση στο περασμένο συνέδριο, αλλά τραβήχτηκε αφού οι πωλητές του ATM ζήτησαν περισσότερο χρόνο για να διορθώσουν τα θέματα που είχε ανακαλύψει.

Ο Robert McMillan καλύπτει την ασφάλεια των υπολογιστών και τη γενική τεχνολογία που σπάζει τα νέα για το

Η υπηρεσία ειδήσεων IDG

. Ακολουθήστε τον Robert στο Twitter στο @bobmcmillan. Η διεύθυνση ηλεκτρονικού ταχυδρομείου του Robert είναι [email protected]