Kaspersky: geldautomaten kwetsbaar door Windows XP
Volgens het Russische anti-virusbedrijf Kaspersky Lab laat de beveiliging van geldautomaten te wensen over, wat onder andere komt omdat de meerderheid op Windows XP draait en sommige banken zelfs programma's zoals Acrobat Reader 6.0, Radmin en TeamViewer op de apparaten installeren.
"De engineers die geldautomaten onderhouden denken vaak dat als de geldautomaat werkt het beter is om hem 'met rust te laten', oftewel geen updates te installeren. Als gevolg daarvan hebben sommige geldautomaten nog steeds het ernstige beveiligingslek MS08-067 waardoor willekeurige code kan worden uitgevoerd", zegt Olga Kochetov. Deze kwetsbaarheid werd onder andere door de beruchte Confickerworm gebruikt om miljoenen computers wereldwijd te infecteren.
Hardware
Naast de software hekelt Kaspersky Lab ook de hardware. Zo is het eenvoudig om een geldautomaat open te maken of bijvoorbeeld de usb-poort te benaderen en zo het systeem te infecteren. In sommige gevallen is het geldautomatensysteem zelfs zonder de automaat te openen toegankelijk, bijvoorbeeld via communicatiekabels of routers die aan de geldautomaat hangen. Na de infectie door malware kan de inhoud van de geldcassettes via bepaalde toetsencombinaties worden geleegd.
Een ander kritiekpunt is de XFS-standaard. Om met de geldautomaat te communiceren gebruikt de malware een aantal application programming interfaces (api's) genaamd XFS, wat staat voor "extensions for financial services". Via deze api's kan de apparatuur in de automaat met elkaar communiceren. Op deze manier is het voor de malware mogelijk om zonder autorisatie geld uit te laten geven of de geldcassettes te openen.
Kochetov adviseert fabrikanten van geldautomaten dan ook om de XFS-standaard te herzien. Zo zou er meer nadruk op veiligheid moeten liggen en zou er tweewegs-authenticatie tussen de onderdelen en legitieme software moeten worden gebruikt. Ook zou er encryptie moeten worden gebruikt voor alle data die tussen de hardware-onderdelen van de geldautomaat en de computer binnenin worden uitgewisseld. Banken krijgen het advies om fabrikanten aan te moedigen veilige producten te ontwikkelen en kwetsbaarheden snel te patchen.
Helaasje voor Kaspersky: dit zijn voornamelijk xp sp2 machines en je zou het bijna niet gokken: maar daar draait hun product helemaal niet op!
Ook nog een leuk weetje:
ATMs in Rusland en Europa zijn heel verschillend...
Helaasje voor Kaspersky: dit zijn voornamelijk xp sp2 machines en je zou het bijna niet gokken: maar daar draait hun product helemaal niet op!
ATMs in Rusland en Europa zijn heel verschillend...
En waarom is dat verkeerd?
Ook nog een leuk weetje:
ATMs in Rusland en Europa zijn heel verschillend...
Waarschijnlijk wel maar er draait nog genoeg XP in Europa, VS en mogelijk de rest van de wereld:
VS/GB: http://info.rippleshot.com/blog/windows-xp-still-running-95-percent-atms-world
GB: http://www.theregister.co.uk/2015/12/08/xp_embedded_atm_security_cutoff_panic/
VS: http://money.cnn.com/2014/03/04/technology/security/atm-windows-xp/
ATM's leuk om in weer eens in te duiken. http://www.atmmarketplace.com/articles/xfs-hype-versus-reality/ komt het OS/2 debacle weer langs. Geen ander reel alternatief dan... juist.
XFS https://en.wikipedia.org/wiki/CEN/XFS is een open CEN standaard omdat elke leverancier op zich een te kleine markt heeft om iets behoorlijks te doen. Het voorkomen van een vendor-lockin (hardware) lijkt me een goed streven. http://www.cen.eu/work/areas/ict/ebusiness/pages/cwa13449.aspx stamt al uit 1998 er is ook een J/XFS voor Java aangestuurde machines. Het ziet er voor mij uit als hardware aansturing vanuit 1 machine. Dat zou een Pi mogen zijn.
Idee van Kasperksy? Als je elk onderdeel als aparte computereenheid gaat zijn onderling verbonden via (draadloos) internet dan gaat het het er anders uitzien. Dan ook nog eens leveranciers ieder met zijn eigen API.. Of je dat zou moeten willen? Ja als derder partij (kaspersky) komen er veel meer martk-opties in beeld.
ATM"'s die je zwaar beveiligd (wegens de inhoud) niet aan publiekelijk internet moet hangen en dan die uitgangspunten vergeten uit gemak / doorlopende zichtbare kosten? tja. tegen domheid is niets bestand.
Is het niet veel verstandiger om met een micro kernel (Minix achtig) te werken en dan eigen drivers etc te schrijven. Zo verklein je de kans dat boefjes thuis kunnen proberen hoe je een pin automaat over neemt.
Of nee alles op XP laten draaien is veel goed koper (op de korte termijn).
Hoeveel nog voor bedrijven security serieus nemen?
Helaasje voor Kaspersky: dit zijn voornamelijk xp sp2 machines en je zou het bijna niet gokken: maar daar draait hun product helemaal niet op!
ATMs in Rusland en Europa zijn heel verschillend...
Doe maar eens een controle, zul je zien dat het aantal banken met ATMs op xp sp3 een stuk lager uitvalt als op SP2.
En over die verschillen: Ja dat weet ik zeker.
Met eigen ogen gezien.
Dat de hardware niet geschikt is voor Windows 7 lijkt mij een zorg voor de bank en niet voor mij als consument.
De enige manier om dat probleem op te lossen is nieuwe ATMs, en zoals we allen weten: Dat kost geld en tijd en dat wil men in Nederland niet spenderen lijkt het.
Deze posting is gelocked. Reageren is niet meer mogelijk.
Junior DevOps Engineer
Certified Secure is op zoek naar een Junior DevOps Engineer. Deze functie is een stuk interessanter dan de term doet vermoeden! Om jou als potentiële nieuwe collega meteen te laten zien wat we doen hebben we speciaal voor jou een selectie gemaakt van een aantal leuke security challenges. Are you ready for a challenge?
Cybersecurity Trainer / Streamer
Toe aan een nieuwe nieuwe job waarmee je het verschil maakt? In de Certified Secure trainingen laat je deelnemers zien hoe actuele kwetsbaarheden structureel verholpen worden. Ook werk je actief mee aan de ontwikkeling van onze gamified security challenges. Bij het maken van challenges kom je telkens nieuwe technieken tegen, van Flutter tot GraphQL, van Elastic Search tot Kubernetes.
