搜索

[8333] 2014-10-09_揭秘：恶意软件是如何操纵ATM机的

文档创建者：s7ckTeam
浏览次数：3
最后更新：2025-01-17
2014-10-09_揭秘：恶意软件是如何操纵ATM机的 揭 秘 ： 恶 意 软 件 是 如 何 操 纵 A T M 机 的 F r e e B u f   2 0 1 4 - 1 0 - 0 9 作 者   R a b b i t _ R u n 卡 巴 斯 基 实 验 的 全 球 研 究 和 分 析 团 队 对 东 欧 一 起 针 对 多 款 卡 巴 斯 基 实 验 的 全 球 研 究 和 分 析 团 队 对 东 欧 一 起 针 对 多 款 A T M 机 的 网 络 犯 罪 进 行 了 取 证 调 查 。 调 查 过 程 中 ， 机 的 网 络 犯 罪 进 行 了 取 证 调 查 。 调 查 过 程 中 ， 该 团 队 该 团 队 发 现 了 一 款 新 型 的 恶 意 软 件 发 现 了 一 款 新 型 的 恶 意 软 件 T y u p k i n ， 该 恶 意 软 件 使 用 了 控 制 活 动 时 段 和 会 话 密 钥 等 技 术 来 躲 避 检 测 ， 该 恶 意 软 件 使 用 了 控 制 活 动 时 段 和 会 话 密 钥 等 技 术 来 躲 避 检 测 。 。 而 且 该 软 件 一 而 且 该 软 件 一 直 在 不 断 演 化 发 展 种 。 同 时 ， 该 恶 意 软 件 从 一 个 侧 面 揭 示 了 网 络 犯 罪 对 金 融 行 业 的 威 胁 的 变 化 趋 势 。 直 在 不 断 演 化 发 展 种 。 同 时 ， 该 恶 意 软 件 从 一 个 侧 面 揭 示 了 网 络 犯 罪 对 金 融 行 业 的 威 胁 的 变 化 趋 势 。 A T M 机 的 大 致 构 造 （ 费 老 大 劲 找 的 ， 主 要 为 了 科 普 ） 一 、 起 源 一 、 起 源 今 年 年 初 ， 受 一 家 金 融 机 构 的 委 托 ， 卡 巴 斯 基 实 验 的 全 球 研 究 和 分 析 团 队 对 东 欧 一 起 针 对 多 款 A T M 机 的 网 络 犯 罪 进 行 了 取 证 调 查 。 在 调 查 过 程 中 ， 我 们 发 现 一 款 恶 意 软 件 能 够 让 攻 击 者 直 接 操 纵 A T M 机 来 掏 空 A T M 机 的 现 金 箱 。 在 调 查 的 时 候 ， 该 恶 意 软 件 活 跃 在 东 欧 银 行 机 构 所 属 的 超 过 5 0 个 A T M 机 上 。 根 据 提 交 到 V i r u s T o t a l 的 数 据 ， 我 们 相 信 该 恶 意 软 件 已 经 传 播 到 其 他 几 个 国 家 ， 包 括 美 国 、 印 度 和 中 国 。 因 为 该 恶 意 软 件 所 感 染 设 备 的 性 质 ， 我 们 没 有 卡 巴 斯 基 安 全 网 络 （ K S N ） 的 数 据 来 确 定 感 染 范 围 。 然 而 ， 基 于 V i r u s T o t a l 的 统 计 数 据 ， 我 们 可 以 看 到 以 下 国 家 提 交 过 该 恶 意 软 件 的 样 本 。
由 卡 巴 斯 基 实 验 检 测 到 的 新 款 恶 意 软 件 B a c k d o o r . M S I L . T y u p k i n ， 影 响 一 个 重 要 A T M 制 造 商 生 产 的 并 运 行 着 微 软 W i n d o w s   3 2 位 操 作 系 统 的 A T M 机 。 该 恶 意 软 件 运 用 了 几 项 狡 猾 的 技 术 来 逃 避 检 测 。 首 先 ， 它 只 在 晚 间 某 个 特 定 时 间 出 于 激 活 状 态 。 再 者 ， 它 为 每 个 会 话 分 配 一 个 会 话 密 钥 ， 该 密 钥 是 基 于 随 机 种 子 生 成 的 。 只 有 知 道 会 话 密 钥 ， 攻 击 者 才 能 和 受 感 染 的 A T M 进 行 交 互 。 当 密 钥 被 正 确 的 输 入 后 ， 该 恶 意 软 件 会 显 示 每 个 现 金 箱 中 有 多 少 现 金 可 用 ， 并 允 许 攻 击 者 直 接 操 作 A T M 从 选 定 的 现 金 箱 中 取 出 4 0 张 钞 票 。 （ 还 不 是 涸 泽 而 渔 ， 想 细 水 长 流 啊 ） 。 大 部 分 的 分 析 样 本 是 在 2 0 1 4 年 3 月 编 译 的 。 然 而 ， 该 恶 意 软 件 已 经 发 展 演 化 了 一 段 时 间 。 在 最 近 的 变 种 中 （ 版 本 d ） ， 该 恶 意 软 件 实 现 了 反 调 试 （ a n t i - d e b u g g i n g ） 和 抗 仿 真 （ a n t i - e m u l a t i o n ） 技 术 ， 并 使 受 感 染 的 系 统 上 禁 用 M c A f e e   S o l i d c o r e 。 二 、 分 析 二 、 分 析 A T M 攻 击 攻 击 根 据 位 于 受 感 染 A T M 机 的 安 全 摄 影 机 所 记 录 的 影 像 ， 攻 击 者 能 够 操 作 A T M 机 并 通 过 可 引 导 光 盘 来 安 装 恶 意 软 件 。 攻 击 者 拷 贝 下 列 文 件 到 A T M 机 中 ： C : W i n d o w s s y s t e m 3 2 u l s s m . e x e % A L L U S E R S P R O F I L E % S t a r t   M e n u P r o g r a m s S t a r t u p A p t r a D e b u g . l n k
经 过 环 境 的 检 测 之 后 ， 该 恶 意 软 件 移 除 . l n k 文 件 ， 并 在 注 册 表 中 创 建 一 个 键 ： [ H K E Y _ L O C A L _ M A C H I N E S o f t w a r e M i c r o s o f t W i n d o w s C u r r e n t V e r s i o n R u n ] " A p t r a D e b u g "   =   " C : W i n d o w s s y s t e m 3 2 u l s s m . e x e " 然 后 ， 该 恶 意 软 件 就 能 通 过 标 准 库 M S X F S . d l l （ 金 融 服 务 扩 展 ， X F S ） 与 A T M 机 进 行 交 互 了 。 这 个 恶 意 软 件 运 行 一 个 无 限 循 环 来 等 待 用 户 的 输 入 。 为 了 更 加 难 以 被 检 测 ， T y u p k i n 默 认 情 况 下 只 在 周 日 和 周 一 的 晚 上 接 受 命 令 。 它 接 受 以 下 命 令 ： X X X X X X   –   S h o w s   t h e   m a i n   w i n d o w . （ 显 示 主 窗 口 ） X X X X X X   –   S e l f   d e l e t e s   w i t h   a   b a t c h   f i l e . （ 通 过 b a t c h 文 件 进 行 自 删 除 ） X X X X X X   –   I n c r e a s e s   t h e   m a l w a r e   a c t i v i t y   p e r i o d . （ 增 加 恶 意 软 件 的 活 跃 时 段 ） X X X X X X   –   H i d e s   t h e   m a i n   w i n d o w . （ 隐 藏 主 窗 口 ） 输 入 命 令 之 后 ， 操 作 者 必 须 按 下 A T M 机 键 盘 上 的 回 车 键 。 T y u p k i n 使 用 会 话 密 钥 来 防 止 其 他 用 户 误 打 误 撞 参 透 玄 机 。 在 输 入 “ S h o w s   t h e m a i n   w i n d o w ” 命 令 之 后 ， 该 恶 意 软 件 显 示 信 息 “ " E N T E R   S E S S I O N   K E Y   T O P R O C E E D ! ” （ 输 入 会 话 密 钥 后 继 续 ） 。 该 恶 意 软 件 的 操 作 者 必 须 了 解 算 法 并 根 据 所 显 示 的 种 子 来 生 成 一 个 会 话 密 钥 。 只 有 当 密 钥 被 正 确 的 输 入 ， 攻 击 者 才 可 以 与 受 感 染 的 A T M 机 进 行 交 互 。 然 后 ， 该 恶 意 软 件 显 示 以 下 信 息 ： C A S H   O P E R A T I O N P E R M I T T E D . （ 允 许 的 现 金 操 作 ） T O   S T A R T   D I S P E N S E   O P E R A T I O N   - （ 开 始 取 款 操 作 ） E N T E R   C A S S E T T E   N U M B E R   A N D   P R E S S   E N T E R . （ 输 入 现 金 箱 的 编 号 并 按 回 车 ）
当 操 作 选 择 了 现 金 箱 的 编 号 之 后 ， A T M 机 会 吐 出 4 0 张 钞 票 。 当 输 入 的 会 话 密 钥 不 正 确 时 ， 该 恶 意 软 件 禁 用 本 地 网 络 并 显 示 消 息 ： D I S A B L I N G   L O C A L A R E A   N E T W O R K . . . （ 禁 用 本 地 网 络 ） P L E A S E   W A I T . . . （ 请 等 待 ） 我 们 并 不 清 楚 恶 意 软 件 为 什 么 要 禁 用 本 地 网 络 ， 可 能 为 了 延 迟 或 干 扰 远 程 调 查 。 三 、 调 查 结 论 三 、 调 查 结 论 近 些 年 来 ， 我 们 留 意 到 使 用 分 离 设 备 和 恶 意 软 件 攻 击 A T M 机 的 事 件 呈 现 大 幅 上 升 趋 势 。 解 读 全 世 界 有 关 分 离 器 劫 持 金 融 数 据 的 报 告 ， 我 们 也 见 证 了 一 个 全 球 性 的 执 法 行 动 ， 逮 捕 并 起 诉 了 一 批 网 络 犯 罪 分 子 。 众 所 周 知 ， 当 消 费 者 把 卡 插 入 到 银 行 或 加 油 站 的 A T M 机 上 时 ， 犯 罪 分 子 能 够 利 用 分 离 器 窃 取 消 费 者 的 信 用 卡 和 借 记 卡 数 据 。 此 事 也 引 起 了 人 们 增 强 了 人 们 的 安 全 意 识 并 提 醒 人 们 在 使 用 公 共 A T M 时 要 采 取 一 定 的 防 范 措 施 。 目 前 ， 我 们 注 意 到 网 络 犯 罪 所 带 来 的 威 胁 沿 着 金 融 链 条 逐 渐 向 上 演 变 并 把 枪 口 直 接 瞄 向 了 金 融 机 构 。 具 体 表 现 在 通 过 直 接 地 感 染 A T M 机 或 直 接 地 针 对 银 行 实 施 A P T 攻 击 。 T y u p k i n 恶 意 软 件 就 是 其 中 的 一 个 典 型 案 例 ， 攻 击 者 顺 势 而 上 并 开 始 寻 找
A T M 基 础 设 施 的 弱 点 。 事 实 上 ， 大 量 的 A T M 机 运 行 着 存 在 已 知 缺 陷 的 操 作 系 统 并 缺 乏 相 应 的 安 全 解 决 方 案 。 这 是 另 一 个 亟 需 解 决 的 问 题 。 四 、 安 全 建 议 四 、 安 全 建 议 我 们 建 议 部 署 我 们 建 议 部 署 A T M 机 的 金 融 机 构 和 公 司 考 虑 以 下 的 安 全 建 议 ： 机 的 金 融 机 构 和 公 司 考 虑 以 下 的 安 全 建 议 ： ①   审 查 A T M 机 的 物 理 安 全 ， 考 虑 购 买 高 质 量 的 安 全 解 决 方 案 。 ②   更 改 所 有 的 A T M 机 默 认 的 上 池 锁 （ u p p e r   p o o l   l o c k ） 和 密 钥 。 避 免 使 用 供 应 商 提 供 的 默 认 主 密 钥 。 ③   安 装 并 确 保 A T M 安 全 警 报 能 够 正 常 工 作 。 ④   关 于 如 何 验 证 您 的 A T M 机 是 否 被 感 染 的 说 明 ， 请 通 过 i n t e l r e p o r t s @ k a s p e r s k y . c o m 联 系 我 们 。 对 于 如 何 全 面 扫 描 A T M 系 统 并 删 除 这 个 恶 意 软 件 ， 请 使 用 免 费 的 卡 巴 斯 基 病 毒 删 除 工 具 （ 下 载 地 址 ） 五 、 对 于 部 署 五 、 对 于 部 署 A T M 操 作 员 的 一 般 建 议 操 作 员 的 一 般 建 议 ①   确 保 A T M 机 处 于 一 个 被 安 全 摄 像 机 所 监 控 的 开 放 的 、 视 野 开 阔 的 环 境 中 。 A T M 机 应 该 被 安 全 地 固 定 在 地 板 上 ， 并 安 装 一 个 防 套 索 装 置 来 威 慑 犯 罪 分 子 。 ②   经 常 检 查 A T M 机 是 否 添 加 了 第 三 方 设 备 （ 分 离 器 ） 。 ③   警 惕 犯 罪 分 子 发 起 的 社 工 攻 击 ， 伪 装 成 检 查 员 或 安 全 报 警 、 安 全 摄 像 机 以 及 部 署 的 其 他 设 备 。 ④   认 真 对 待 入 侵 警 报 ， 向 执 法 部 门 报 告 任 何 潜 在 的 违 法 犯 罪 活 动 ； ⑤   考 虑 给 A T M 添 加 仅 够 一 天 活 动 所 需 的 现 金 ； ⑥   对 于 商 家 和 用 户 的 更 多 建 议 请 参 考 ： 链 接 [ 参 考 信 息 来 源 参 考 信 息 来 源   卡 巴 斯 基 实 验 室 卡 巴 斯 基 实 验 室 ， 内 容 有 所 删 减 ， 尽 量 保 留 了 原 文 本 意 。 译 自 ， 内 容 有 所 删 减 ， 尽 量 保 留 了 原 文 本 意 。 译 自 R a b b i t _ R u n ， 喜 欢 文 章 请 点 赞 鼓 励 。 转 ， 喜 欢 文 章 请 点 赞 鼓 励 。 转 载 请 注 明 来 自 载 请 注 明 来 自 F r e e B u f . C O M ] 阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理