Raspberry Pi – одноплатный компьютер размером с банковскую карту, изначально разработанный как бюджетная система для начальных программистов с опытом знания ОС. Разрабатывается Raspberry Pi Foundation. (Это благотворительная организация, основанная в 2009 году для содействия изучению фундаментальных компьютерных наук в школе).
Распб самый продаваемый компьютер всех времен в Великобритании. Почему?
Рассмотрим версию 3В+ (стоимость 35 долларов).
Она включает в себя:
· 1 гиг ОЗУ
· 4 ядра частотой 1.4ГГЦ каждый
· 4 порта USB
· Ethernet USB2.0
· Модуль Wi-Fi 802.11 ac
· Bluetooth 4.2
По Raspbian – установлено по умолчанию, но его чаще всего переустанавливают на Unix-подобные системы.
К примеру, в теме моего доклада будет использоваться Kali Linux. Итак, Кали Линукс – операционная система, основанная на Debian, включающая в себя более 600 предустановленных программ для тестирования безопасности компьютерных систем или сетей средствами моделирования атаки злоумышленника. Среди которых nmap – сканер портов, wireshark – анализатор трафика, различные взломщики паролей, программный пакет для тестирования беспроводных сетей и так далее.
В общем, активно используется как у представителей отдела безопасности компьютерных сетей, так и пользователей с нехорошими наклонностями к взлому этих сетей.
Мы используем Распб, так как:
- Он соответствует минимальным требованиям для Кали 1 гигабай Озу и 20 гигов физической памяти (у нас есть юсби порты, ну и память докупить не проблема).
- Он дешевый, т.е его не жалко оставлять или выкинуть после использования.
- Он миниатюрный, можно спрятать куда-нибудь и проводить атаки дистанционно.
И так далее. Плюсов больше чем минусов. Перейдем к самим атакам.
Я рассмотрю самый запоминающиеся интернету случай взлома банка.
В 2014 году проходила конференция по компьютерной безопасности Black Hat Europe 2014 в Амстердаме, где был описан новый способ взлома банкоматов. Герой нашего дня – Распбери Пай. Вы спросите, как?
Для проверки защищенности тестового банкомата, пережившего три форума Positive Hack Days, был выбран популярный миниатюрный контроллер Raspberry Pi. Устройство легко прячется внутри корпуса и не привлекает внимания технического персонала, который, к примеру, меняет бумагу во встроенных принтерах и потому имеет ключи от сервисной зоны.
Найти документацию с описанием интерфейсов банкоматов не так сложно, и об этом еще пять лет назад писал Алексей Лукацкий в своих «Мифах информационной безопасности». Оборудование АТМ и платежных терминалов, независимо от производителя, имеет общий API для доступа и управления различными модулями и работает на платформе Windows в соответствии с единым стандартом «расширений для финансовых услуг» (XFS).
Зная API, можно получить контроль над хост-компьютером банкомата и напрямую управлять различными периферийными устройствами, установленными внутри шкафа ATM, — картридером, клавиатурой для набора PIN-кода, сенсорным дисплеем, диспенсером банкнот и т. п. Не стоит забывать также об уязвимостях операционной системы банкомата, а их у Windows их на этот случай много.
Прежде чем установить Raspberry Pi и подключить устройство к портам Ethernet, USB или RS-232, банкомат необходимо вскрыть. В верхней части ATM находится сервисная зона. Именно здесь расположен компьютер, управляющий устройствами банкомата, сетевое оборудование (в том числе плохо защищенные GSM/GPRS-модемы). Сервисная зона практически не контролируется, так как используется обслуживающим персоналом для различных работ. Получить к ней доступ значительно проще, чем к сейфу с деньгами, расположенному внизу. Ее можно открыть несложными в изготовлении ключами или совсем простыми подручными средствами.
Но просто открыть мало — надо сделать это быстро и незаметно.
На конференции Black Hat исследователи Positive Technologies продемонстрировали, сколько времени потребуется злоумышленникам, чтобы установить микрокомпьютер в сервисную зону ATM для использования его в роли сниффера — перехватчика PIN-кода и номера кредитной карты — или аппаратного скиммера, который не оставляет следов на внешнем виде банкомата. Понадобилось две минуты, чтобы разблокировать корпус банкомата, интегрировать микрокомпьютер, замаскировать и подключить его к интернету.
В процессе подготовки к выступлению Raspberry Pi был запрограммирован для управления периферийными модулями ATM. К микрокомпьютеру подключался Wi-Fi-адаптер, к которому можно было подключиться с любого устройства, со смартфона например. Команды на выдачу денег в диспенсер отправлялись посредством специально реализованного веб-интерфейса. В качестве примера была показана выдача нескольких банкнот, а после некоторой доработки отправляемого кода банкомат сразу же расставался со всеми заложенными купюрами. К слову, в каждой кассете типичного ATM помещается от двух до трех тысяч купюр, и таких кассет обычно четыре — для нескольких номиналов.
Надо ли говорить, что в ходе эксперимента банкомат выдавал купюры, не оставляя никаких записей в своем компьютере, а встроенная видеокамера банкомата хоть и работала, но, как и другие устройства внутри захваченного ATM, контролировалась с помощью Raspberry Pi.
Что может помочь?
Ситуацию могла бы изменить совместная работа производителей банковского оборудования над новой открытой спецификацией, которая бы обеспечила безопасное взаимодействие и эффективную проверку подлинности компонентов ATM: чтобы любой желающий, раздобыв ключ от сервисной зоны, не смог так просто подключить к системе все что угодно.
