Sicherheit von ATM

[hkt2012]

Der Government Saving Bank sind durch gehackte ATM ein Schaden von 12 Millionen Baht enstanden.

Wie immer (nicht nur in TH) gibt es wohl keine Aussagen über den Einfallvektor?

 

[longhair]

Wie immer (nicht nur in TH) gibt es wohl keine Aussagen über den Einfallvektor?

Mit hoher Wahrscheinlichkeit waren das verranzten XP basierte ATMs. Da gibts vermutlich hunderte remote code exection exploits und um die physikalische Zugriffssicherheit ist's in Thailand ja oft nicht so gut bestellt. Ich weiss nicht viele frei zugängliche Netzwerkkabel oder Switche gesehen habe. Einfach ein UMTS Router zu dem Kabelsalat werfen und in das Netz klemmen. Der Rest findet sich dann sicherlich...

 

[hkt2012]

Mit hoher Wahrscheinlichkeit waren das verranzten XP basierte ATMs. Da gibts vermutlich hunderte remote code exection exploits und um die physikalische Zugriffssicherheit ist's in Thailand ja oft nicht so gut bestellt. Ich weiss nicht viele frei zugängliche Netzwerkkabel oder Switche gesehen habe. Einfach ein UMTS Router zu dem Kabelsalat werfen und in das Netz klemmen. Der Rest findet sich dann sicherlich...

Afaik waren die unverschlüsselten Anbindungen eines der grössten Probleme - aber nach Aussage einer Bankmitarbeiterin (müsste so 2013 gewesen sein) sollte das schnellstmöglich gelöst werden.
Deswegen wäre das interessant zu wissen.

Ansonsten hast Du natürlich Recht, wenn man weiss wo die Schnittstellen sind kann man auch eben ein kleines Loch bohren und einen Arduino etc mitlaufen lassen (oder darüber infizieren).

 

[schamotti]

Verstehe nur Bahnhof!

Wäre schön wenn es verständlicher,einfacher erklärt würde!
Bin wahrscheinlich nicht der einzige der nur Bahnhof versteht.

 

[rainzman]

^^ ist wohl so ähnlich wie wir früher auf die Atari Spielautomaten mit einem Elektrofeuerzeug Freispiele draufgeklickt haben

 

[hkt2012]

Neu Verstehe nur Bahnhof!

Es gibt, nicht nur in Thailand, diverse Angriffsmöglichkeiten auf Geldautomaten.

1. Sich in den Datentransfer "einhacken". Schau mal hinter die freistehenden ATMs, da siehst Du dann ein Telefon oder Netzwerkkabel. Im besten Falle noch ein Modem das dazwischen hängt.

Das Ding (bzw. die Leitung) wird genutzt, um die Karte zu verifizieren .... Darf der Abheben, wieviel etc.
In TH ist diese VErbindung zum. bis 2012/13 selten verschlüsselt gewesen.
Sprich: Da hängst Du dich zwischen und hast alle Daten, die Du brauchst um Schindluder zu treiben.

2. Viele ATMs laufen mit alten Betriebssystemen. Windows NT und XP, um zwei zu nennen.
Die haben Sicherheitslücken ohne Ende.
Kommst Du irgendwie physikalisch an die Geräte ran, kannst Du Trojaner installieren. Der Rest ist ein Kinderspiel.
Nicht nur in Thailand!

3. Viele ATMs sind von der Gestaltung her Jahre und Jahrzehnte alt.
Den bösen Jungs ist bekannt, wo die Wartungsschnittstellen sind (u.a. auch triviale USB Ports).
Kannst Du das Gehäuse aufbohren, reicht mit viel Glück ein angeschlossener USB Stick, oder ein MiniComputer, um den ATM zu hacken oder zu infizieren.

Beispiellinks

Kriminelle knacken Geldautomaten in Taiwan und sollen zwei Millionen Euro erbeutet haben
Kaspersky: Fast alle Geldautomaten unsicher
Kommandozeilen-Zugriff: Sicherheitslücke in Geldautomaten der Sparkasse
(Alles ein bisschen gemixt, aber nur mal um ein Gefühl zu bekommen von welcher Technik wir reden)

usw.

Möglich wäre auch sowas
Fast unauffindbar: Skimming mit Deep-Insert-Wanzen in Bankautomaten

 

[KWLiebling]

Was ich nicht verstehe, wenn das alles so einfach ist, warum passiert dann nicht viel mehr? Der Schaden ist doch momentan im Promille-Bereich (wenn überhaupt) gegenüber den Umsätzen, die mit Automaten erzeugt werden. Das verstehe ich auch immer nicht, wenn ich jeden zweiten Tag (mindestens) von irgendwelchen riesigen Sicherheitslücken bei Windows, Android etc,etc. lese.
Und wenn ich schon mal dabei bin, meiner Meinung nach wird uns auch der IS nur groß und stark geredet. Wenn das die Mehrheit wollte, würde es diese Gruppierung wohl schon lange nicht mehr geben. Und wenn die tatsächlich so gefährlich wären, wie uns gern eingeredet wird um von anderen Problemen abzulenken, würden uns überall auf der Welt Bomben um die Ohren fliegen mit deutlich größeren Auswirkungen als bisher.
Und das mir keine Mißverständnisse aufkommen, ich bin froh darüber, das es nicht so schlimm ist, wie immer herbeigeredet.

 

[teletubbi]

Was ich nicht verstehe, wenn das alles so einfach ist, warum passiert dann nicht viel mehr?

Ich vermute mal, nur ein Gefühl ohne beweisbare Tatsachen, das wesentlich mehr passiert als publik gemacht wird.
Denn der Imageschaden dürfte bei den Banken höher bewertet werden als der materielle Verlust. Und das fürchten Banker mehr als der Teufel das Weihwasser.

 

[KWLiebling]

Da ist was dran aber wenn sie auf Grund des Schadens kein Geld mehr verdienen ist auch nicht gut, wobei verdienen ja nicht das richtige Wort ist, generieren wäre wohl besser. Als ich gelesen hatte, das du geantwortet hast dachte ich zuerst wieder an einen Rüffel wegen OT, welcher ja auch berechtigt wäre...

 

[hkt2012]

@KWLiebling

12 Mio THB, 2 Mio Eur usw. Die Nachrichten gibt es eigentlich regelmässig.

So "gering" sind die Schäden nicht, wie TT ja schon sagt, kleinere Vorfälle werden wohl eher nicht an die Öffentlichkeit kommen.

Ausserdem ist es in DE (und den meisten anderen Ländern) ja auch was ganz anderes:
ATMs meist nur in Videoüberwachten Räumen, voll verkleidet, Netzverbindung verschlüsselt etc. Da fällt das schon auf, wenn Du dich an der Verkleidung zu schaffen machst.
Ein Grund, warum ich in TH nur in Shopping Malls oder Banken Geld ziehe, aber niemals an so einem freistehendem Ding

 

[longhair]

Ich kann mich noch an einen Fall erinnern, in dem eine Hackergruppe eine Bank aus Dubai o.ä. gehackt haben, sich von der Bank Kreditkartendaten angeeignet und auch das Kreditlimit dieser Karten deaktiviert haben, die Kreditkartendaten wurden wiederum genutzt um damit Blankokarten zu beschreiben - die dann auch kein Kreditlimit haben und dann wurde in einer konzertierten Aktion von mehreren dutzend Mann an einem Wochenende etwa 45 Millonen USD von ATMs abgehoben. Da sind einzelne Täter durch Manhattan von ATM zu ATM gefahren und haben einen nach dem anderen leer gemacht. Das Geld wurde kofferweise weggetragen.

http://www.nytimes.com/2013/05/10/n...45-million-global-cyber-bank-thefts.html?_r=0

Und das ist nur die Spitze des Eisbergs. Eine andere Hackergruppe hat sich komplett auf die Infiltration von Banken spezialisiert, man schätzt, dass etwa 100 Banken betroffen waren und die geschätzte Beute beläuft sich auf etwa 1 Milliarde USD. Für einzelne sind das immense Summe aber volkswirtschaftlich ist es noch zu vernachlässigen.

Hackers stole from 100 banks and rigged ATMs to spew cash

Im Darknet kann man für 50 oder 100 USD valide Kreditkartenkopien bestellen. Kreditlimit ist dann so zwischen 1000 und 5000 USD. Und da erkennt man auch das Problem an dem Geschäftsmodell der Hacker. Das Geld zu stehlen ist für jemanden mit ausreichend Geduld und Ahnung nicht so schwer, aber das Geld aus dem System zu bekommen und zu waschen ist unsäglich arbeitsintensiv, teuer und das Entdeckungsrisiko ist verdammt hoch. Das ist meiner Meinung nach auch ein Grund, warum nicht mehr passiert.

 

[hkt2012]

@longhair

Der Witz (gerade bei CCs) ist ja, dass selbst EMV mittlerweile nicht mehr sicher ist und immer noch als 100% sicher vermarktet wird.

Weiss halt nur der normale User nix von.

 

[longhair]

@longhair

Der Witz (gerade bei CCs) ist ja, dass selbst EMV mittlerweile nicht mehr sicher ist und immer noch als 100% sicher vermarktet wird.

Weiss halt nur der normale User nix von.

Wäre ja noch schöner, denn wenn das alle wüssten, müsste die Bank im Betrugsfall ja dem Kunden ein Fehlverhalten nachweisen und nicht wie momentan, dass der Kunde der Bank nachweisen muss, dass Ihr System Mist ist...

 

[KWLiebling]

Ich denke jeder "normale" User weiß, das es nichts 100%-ig sicheres gibt.

 

[kalle11]

... und die beste Software nutzt nix, wenn man nach dem Befüllen des Automaten den Schlüssel stecken läßt!

Banks: "Our ATM security is international standard' - oops, we left the keys in the lock

 

[uscmai]

Ich denke auch, das nur ein Bruchteil der auftretenden Fälle publik wird.
Auch in Deutschland und Europe lassen sich ja durchaus komplett frei stehende ATM finden, auch hier habe ich schon diverse Netzwerk- und andere Kabel hinten raus laufen sehen. Klar die stehen dann in einer Tank- oder Raststätte, aber ob die Mitarbeiter dort das wirklich interessiert, wenn da Jemand mit einer Firmen Kleidung dran anfängt rum zu schrauben?

Gruß USCMAI

 

[Lobir]

Ich denke, dass nicht so viel in Deutschland passiert, wie viele denken. Denn ich höre immer nur, wie einfach ein ATM zu knacken wäre, aber in Wirklichkeit passiert nicht sooo viel. Ich hab ein bisschen Kontakt in diese Ecke der ATM-Welt. Daher weiß ich, dass in D i.d.R. schon mal die Festplatten verschlüsselt sind. Der Datenverkehr zwischen ATM und Zentrale natürlich auch. Hier benutzt jedes Gerät einen "persönlichen" Schlüssel. Falls also an einem ATM der Schlüssel geknackt werden sollte, ist er für andere Geräte nutzlos! Nicht zu vergessen, der Datenverkehr zwischen dem PC im ATM und dem Vereinzelermodul im Tresor ist ebenso verschlüsselt.
Die USB-Ports sind standardmäßig deaktiviert. Es laufen regelmäßig Penetrationstests. Da bezahlen Banken eine interne oder auch extrerne Truppe dafür, die Kontrolle über einen ATM zu gewinnen. Werden Lücken gefunden, schließt man diese.
Das Skimming ist auch nicht mehr das Problem wie vor wenigen Jahren.
In Deutschland betrachte ich das Problem von der Größenordnung her als vernachlässigbar. Natürlich sollte man trotzdem wachsam sein. Passieren kann immer was, eine 100% kann es trotz allem nicht geben.

Im Ausland und besonders in dem von uns geliebten Thailand sieht die Sache anders aus. Was ich da schon zu sehen bekommen habe - ohne Worte! Offene Tresortüre, die Kassetten noch drin und niemand weit und breit zu sehen. Das Netzwerkkabel offen zugänglich usw.
Ich gehe davon aus, dass es mich irgendwann auch mal erwischt. Natürlich wollte ich das Geld für ein armes Mädchen aus dem Isaan abheben, die das Geld dringend für die kranke Mutter, den Wasserbüffel, Schulden begleichen usw. braucht...

Aber das kennt ihr ja!

 

[hkt2012]

Geldautomaten: Secret Service warnt vor Periscope-Skimming - Golem.de

lalala

 

[gogolores]

Mit hoher Wahrscheinlichkeit waren das verranzten XP basierte ATMs. Da gibts vermutlich hunderte remote code exection exploits und um die physikalische Zugriffssicherheit ist's in Thailand ja oft nicht so gut bestellt. Ich weiss nicht viele frei zugängliche Netzwerkkabel oder Switche gesehen habe. Einfach ein UMTS Router zu dem Kabelsalat werfen und in das Netz klemmen. Der Rest findet sich dann sicherlich...

Das sind nicht typischerweise thailändische Probleme. Und Windows XP ist nicht das allergrößte Problem.

IT-Experte: Kriminelle greifen Kartendaten aus Bankomaten ab