搜索

[3117] 2016-08-31_近期泰国ATM提款机攻击与RIPPER恶意软件有关

文档创建者：s7ckTeam
浏览次数：4
最后更新：2025-01-16
2016-08-31_近期泰国ATM提款机攻击与RIPPER恶意软件有关 近 期 泰 国 A T M 提 款 机 攻 击 与 R I P P E R 恶 意 软 件 有 关 原 创   E 安 全   E 安 全   2 0 1 6 - 0 8 - 3 1 E 安 全 8 月 3 1 日 讯   安 全 公 司 火 眼 （ F i r e E y e ） 的 专 家 分 析 了 R I P P E R 恶 意 软 件 ， 他 们 认 为 攻 击 者 在 攻 击 泰 国 A T M 提 款 机 中 使 用 了 该 恶 意 软 件 。 本 月 初 ， 一 个 黑 客 组 织 使 用 恶 意 软 件 从 泰 国 A T M 提 款 机 盗 取 1 2 0 0 万 泰 铢 。 火 眼 表 示 ， R I P P E R 恶 意 软 件 于 2 0 1 6 年 8 月 2 3 日 首 次 上 传 到 在 线 扫 描 服 务 V i r u s T o t a l 。 这 个 恶 意 代 码 通 过 泰 国 的 I P 地 址 上 传 。 火 眼 的 专 家 将 此 恶 意 软 件 称 为 “ R I P P E R ” ， 因 为 研 究 人 员 发 现 恶 意 软 件 样 本 中 有 “ A T M R I P P E R ” 字 样 ， 这 表 明 该 软 件 使 用 的 是 前 所 未 见 的 技 术 。 来 自 中 欧 的 网 络 犯 罪 团 伙 从 泰 国 2 1 台 A T M 提 款 机 盗 取 超 过 1 2 0 0 万 泰 铢 。 泰 国 央 行 （ T h e   C e n t r a l   B a n k   o f   T h a i l a n d ， B o T ） 向 所 有 银 行 发 出 警 告 。 黑 客 似 乎 是 利 用 安 全 漏 洞 盗 取 A T M 提 款 机 的 现 钞 。   同 一 黑 客 团 伙 还 盗 取 了 台 湾 的 银 行 A T M 提 款 机 ， 盗 取 台 币 7 0 0 0 万 （ 折 合 2 2 0 万 美 元 ） 。 警 告 发 出 后 ， 泰 国 政 府 储 蓄 银 行 ( G o v e r n m e n t   S a v i n g s   B a n k ,   G S B ) 关 闭 了 3 0 0 0 台 存 在 安 全 漏 洞 的 A T M 提 款 机 。 火 眼 表 示 ， R I P P E R 恶 意 软 件 借 用 了 其 它 A T M 恶 意 软 件 的 多 个 功 能 ： 针 对 同 一 品 牌 的 A T M 提 款 机 。 盗 取 现 金 的 技 术 遵 循 与 P a d p i n （ T y u p k i n ） 、 S U C E F U L 和 G r e e n D i s p e n s e r 一 样 的 策 略 。
与 S U C E F U L 类 似 ， 能 控 制 读 卡 器 设 备 读 取 或 按 需 吐 卡 。 能 禁 用 本 地 网 络 接 口 ， 与 P a d p i n 恶 意 软 件 的 功 能 类 似 。 与 G r e e n D i s p e n s e r 类 似 ， 使 用 “ s d e l e t e ” 安 全 删 除 工 具 移 除 取 证 证 据 。 每 笔 提 现 限 制 为 4 0 张 钞 票 ， 这 是 A T M 提 款 机 供 应 商 允 许 的 最 大 取 现 金 额 。 R I P P E R 恶 意 软 件 还 具 有 新 功 能 ， 比 如 ， 专 门 针 对 三 大 主 要 A T M 厂 商 。 R I P P E R 恶 意 软 件 通 过 插 入 特 别 制 造 的 A T M 卡 （ 带 有 E M V 芯 片 ） 与 A T M 提 款 机 交 互 ， 攻 击 者 通 过 这 种 机 制 验 证 自 己 。 这 种 机 制 不 常 见 ， S k i m m e r 也 使 用 这 种 方 法 。 为 了 保 持 持 久 性 ， R I P P E R 恶 意 软 件 使 用 独 立 的 服 务 或 伪 装 成 合 法 的 A T M 进 程 。 当 R I P P E R 作 为 服 务 安 装 ， 首 先 终 止 “ d b a c k u p . e x e ” 过 程 ， 然 后 用 二 进 制 替 换 ， 之 后 安 装 持 续 服 务 “ D B a c k u p   S e r v i c e ” 。 R I P P E R 可 以 通 过 以 下 参 数 停 止 或 启 动 “ D B a c k u p   S e r v i c e ” ： “ 启 动 服 务 （ 启 动 服 务 （ s e r v i c e   s t a r t ） ） ”   或 或   “ 停 止 服 务 （ 停 止 服 务 （ s e r v i c e   s t o p ） ） ” R I P P E R 还 支 持 以 下 命 令 行 开 关 ： / a u t o r u n : 将 休 眠 1 0 分 钟 ， 然 后 在 幕 后 运 行 ， 等 待 交 互 。 / i n s t a l l :   R I P P E R 将 替 换 A T M 上 运 行 的 A T M 软 件 ， 步 骤 如 下 ： 一 经 执 行 ， R I P P E R 将 通 过 本 机 W i n d o w s “ t a s k k i l l ” 工 具 终 止 三 大 目 标 A T M 厂 商 内 存 中 运 行 的 进 程 。 火 眼 表 示 ， R I P P E R 将 检 查 目 标 A T M 厂 商 有 关 的 目 录 内 容 ， 并 用 自 身 取 代 合 法 的 可 执 行 文 件 。 这 种 技 术 允 许 该 恶 意 软 件 维 护 合 法 程 序 名 ， 从 而 避 免 被 怀 疑 。 当 R I P P E R 恶 意 软 件 在 没 有 任 何 参 数 的 情 况 执 行 ， 它 执 行 一 系 列 操 作 ， 比 如 与 本 地 外 围 设 备 连 接 （ 例 如 自 动 提 款 机 、 读 卡 器 和 P i n p a d ） 。 然 后 威 胁 通 过 恶 意 E M V 芯 片 检 测 卡 ， 开 启 计 时 器 允 许 攻 击 者 通 过 P i n p a d 控 制 A T M 提 款 机 。 攻 击 者 可 以 执 行 多 个 恶 意 操 作 ， 包 括 清 除 日 志 并 关 闭 A T M 本 地 网 络 接 口 。 R I P P E R 恶 意 软 件 和 该 犯 罪 团 伙 的 恶 意 代 码 相 似 之 处 如 下 ：
E 安 全 注 ： 本 文 系 E 安 全 编 辑 报 道 ， 转 载 请 联 系 授 权 转 载 请 联 系 授 权 ， 并 保 留 出 处 与 链 接 ， 不 得 删 减 内 容 。 联 系 方 式 ： ①   微 信 号 z h u - g e l i a n g   ② 邮 箱 e a p p @ e a s y a q . c o m @ E 安 全 ， 最 专 业 的 前 沿 网 络 安 全 媒 体 和 产 业 服 务 平 台 ， 每 日 提 供 优 质 全 球 网 络 安 全 资 讯 与 深 度 思 考 ， 欢 迎 关 注 微 信 公 众 号 「 E 安 全 」 （ E A Q a p p ） ， 或 登 E 安 全 门 户 网 站 w w w . e a s y a q . c o m   ,   查 看 更 多 精 彩 内 容 。 阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理