Checker ATM Security: Sicherheitslücke ermöglicht Übernahme von Geldautomaten

Eine Sicherheitslücke in einer Sicherheitslösung für Geldautomaten konnte von Angreifern ausgenutzt werden, um illegal Geld auszuzahlen. Der Hersteller beschwichtigt und hat einen Patch bereitgestellt.

Artikel veröffentlicht am ,
Geldautomat in Berlin
Geldautomat in Berlin (Bild: Andreas Rentz/Getty Images)

Ausgerechnet Probleme mit der Sicherheitssoftware Checker ATM Security für Geldautomaten führen offenbar dazu, dass diese von Angreifern manipuliert werden können. Der Hersteller der Software, GMV, hat die Probleme mittlerweile behoben, wie The Register berichtet. Die Software soll Geldautomaten per Application Whitelisting, einer Firewall und Einschränkungen für Peripheriegeräte vor unerlaubtem Zugriff absichern.

Stellenmarkt
  1. Data Engineer (m/w/d)
    akf bank GmbH & Co KG, Wuppertal
  2. Referent Projekte und Key User Mobilität (m/w/d)
    TotalEnergies Marketing Deutschland GmbH, Berlin
Detailsuche

Die Sicherheitslücke mit der CVE-2017-6968 wurde von der Sicherheitsfirma Positive Technologies gefunden und an den Hersteller gemeldet. Damit der Exploit funktioniert, müssten Angreifer sich als Man-In-The-Middle zwischen den Kontrollserver und den Geldautomaten schalten. Dies könne entweder über einen physischen Zugriff auf das Netzwerkkabel geschehen oder per ARP-Spoofing, wie die Sicherheitsfirma mitteilt. Während der Zugriff auf das Netzwerkkabel bei in Banken installierten Geräten meist nicht möglich sein dürfte, kann dies insbesondere in Entwicklungs- und Schwellenländern durchaus möglich sein.

Buffer Overflow beim Schlüsselaustausch

Während des Schlüsselaustauschs für eine gesicherte Verbindung soll der Server der Angreifer in der Lage sein, einen Buffer-Overflow auf dem Geldautomaten zu erzeugen, weil der Client keine Begrenzung der möglichen Eingaben vornimmt. Auf diese Art und Weise könnten dem Automaten Kommandos gesendet werden, die auch zur unerlaubten Ausgabe von Geldscheinen führen können. Details zu dem Angriff nennt die Firma bislang nicht.

Der Hersteller bestätigt die Sicherheitslücke im Prinzip, ist aber der Ansicht, dass diese keine konkrete Bedrohung für Kunden darstelle. Zum einen seien keine aktiven Angriffe außerhalb von Laborbedingungen bekannt, außerdem würde ein Angriff genaue Kenntnis des Zielbetriebssystems erfordern. Wenn ein Geldautomat bereits auf Windows 7 oder neuer läuft, verhindere das Speichermanagement eine Vorhersage der betroffenen Bereiche und ein Exploit sei damit "fast unmöglich". Systeme mit Windows XP seien einfacher zu kompromittieren. Die betroffenen Softwareversionen 4.x und 5.x wurden nach Angaben des Herstellers mit einem Update versehen.

Bitte aktivieren Sie Javascript.
Oder nutzen Sie das Golem-pur-Angebot
und lesen Golem.de
  • ohne Werbung
  • mit ausgeschaltetem Javascript
  • mit RSS-Volltext-Feed


Aktuell auf der Startseite von Golem.de
Pornhub, Youporn, Mydirtyhobby
Gericht bestätigt Zugangsverbot für Pornoportale

Die Landesmedienanstalt NRW hat zu Recht gegen drei Pornoportale mit Sitz in Zypern ein Zugangsverbot verhängt.

Pornhub, Youporn, Mydirtyhobby: Gericht bestätigt Zugangsverbot für Pornoportale
Artikel
  1. Zip: Ratenzahlung in Microsoft Edge empört die Community
    Zip
    Ratenzahlung in Microsoft Edge empört die Community

    Die App Zip wird seit Microsoft Edge 96 standardmäßig aktiviert. Diese bietet Ratenzahlung an, schürt aber nur Hass in der Community.

  2. Kompakter Einstieg in die Netzwerktechnik
     
    Kompakter Einstieg in die Netzwerktechnik

    Die Golem Akademie bietet Admins und IT-Sicherheitsbeauftragten in einem Fünf-Tage-Workshop einen umfassenden Überblick über Netzwerktechnologien und -konzepte.
    Sponsored Post von Golem Akademie

  3. Razer Zephyr im Test: Gesichtsmaske mit Stil bringt nicht viel
    Razer Zephyr im Test
    Gesichtsmaske mit Stil bringt nicht viel

    Einmal Cyberpunk mit Beleuchtung bitte: Tragen wir Razers Zephyr in der U-Bahn, fallen wir auf. Allerdings ist das Produkt nicht ausgereift.
    Ein Test von Oliver Nickel

Du willst dich mit Golem.de beruflich verändern oder weiterbilden?
Zum Stellenmarkt
Zur Akademie
Zum Coaching
  • Schnäppchen, Rabatte und Top-Angebote
    Die besten Deals des Tages
    Daily Deals • Last Minute Angebote bei Amazon • Crucial-RAM zu Bestpreisen (u. a. 16GB Kit DDR4-3600 73,99€) • HP 27" FHD 165Hz 199,90€ • Razer Iskur X Gaming-Stuhl 239,99€ • Adventskalender bei MM/Saturn (u. a. Surface Pro 7+ 849€) • Alternate (u. a. Adata 1TB PCIe-4.0-SSD für 129,90€) [Werbung]
    •  /