• IT-Karriere:
  • Services:

Kaspersky-Analyse: Fast jeder Geldautomat lässt sich kapern

Immer wieder gibt es Berichte über gehackte Geldautomaten. In einer ausführlichen Analyse macht Kaspersky eine ganze Reihe von Sicherheitsdefiziten dafür verantwortlich.

Artikel veröffentlicht am ,
Manche Geldautomaten erlauben einen leichten Zugriff für Kriminelle.
Manche Geldautomaten erlauben einen leichten Zugriff für Kriminelle. (Bild: Kaspersky)

Nach Ansicht des Sicherheitsunternehmens Kaspersky setzen Banken beim Einsatz von Geldautomaten häufig unsichere Technik ein. Fast jeder Geldautomat weltweit könne illegal gekapert werden, teilte das Unternehmen am Donnerstag mit. Das läge "an der weitverbreiteten Nutzung veralteter und unsicherer Software, Fehlern in der Netzwerkkonfiguration sowie Mängeln bei der physischen Sicherheit von Geldautomaten". Bei den Banken herrsche zudem der Irrglaube vor, Cyberkriminelle würden nur Online-Banking-Prozesse attackieren.

Stellenmarkt
  1. Heinrich-Heine-Universität, Düsseldorf
  2. DRÄXLMAIER Group, München

Dass es solche Defizite gibt, ist seit längerem bekannt. So liefen Anfang 2014 noch 95 Prozent aller Geldautomaten weltweit mit Windows XP. Laut Kaspersky verwendet die "überragende Mehrheit" der Geräte weiterhin dieses Betriebssystem, das seit zwei Jahren nicht mehr gepatcht wird. Zudem würden die Programmierer, die die Geldautomaten betreuten, lieber auf Updates verzichten, um die Geräte nicht anfassen zu müssen. "Die Folge ist, dass auf vielen Cash-Maschinen bis heute noch die ungepatchte kritische Sicherheitslücke MS08-067 zu finden ist, die das entfernte Ausführen von Code ermöglicht", schreibt Kaspersky.

Veralteter XFS-Standard

Problematisch sei zudem, dass die Interaktion zwischen der Infrastruktur und weiteren Hardware-Einheiten sowie den Barauszahlungs- und Kreditkartenprozessen weiterhin auf dem XFS-Standard basiere. Die "veraltete und unsichere" Technik erfordere keine Autorisierung der durchzuführenden Befehle. Das bedeute: "Jede Anwendung, die auf einem Geldautomaten installiert und ausgeführt wird, kann jeder weiteren Geldautomaten-Hardware-Einheit Befehle erteilen - inklusive dem Kartenleser und der Bargeldausgabe." Ein installierter Schädling erhalte daher nahezu die komplette Kontrolle über das Gerät. Er könne die PIN-Pad-Eingaben auslesen, Kartendaten speichern oder Geld auswerfen.

Wie solche Hacks funktionieren, hatte im vergangenen Jahr ein Vorfall in Deutschland gezeigt. Dabei war es einem unbekannten Täter gelungen, mit Hilfe eines USB-Sticks an einem Tag an zwei weit voneinander entfernten Orten zwei Automaten zu plündern. Laut Kaspersky wird dies durch Schwachstellen der "physischen Security" ermöglicht. "Die Konstruktion und Installation von Geldautomaten ermöglicht sehr häufig Dritten Zugang zum im Gehäuse installierten PC; oder zum Netzwerk, das die Maschine mit dem Internet verbindet", schreiben die Sicherheitsexperten.

Geräte nicht ausreichend gesichert

In einer ausführlichen Analyse zu dem Thema weist Kaspersky darauf hin, dass die Steuerungskomponenten anders als die Geldausgabeeinheit meist nur unzureichend mit einem einfachen Schloss gesichert seien. "Übrigens kann man sowohl Schlösser als Satz oder auch einzelne Schlüssel problemlos im Internet bestellen, da jeder Hersteller für seine Geräte gleichartige Schlösser installiert."

Das ermögliche es den Kriminellen, entweder speziell programmierte Minicomputer (Black-Box) im Geldautomaten zu installieren, um die Fernkontrolle über den Automaten zu bekommen, oder den Geldautomaten mit einer gefälschten Prozesszentrale zu verbinden. Die gefälschte Prozesszentrale imitiere die Banksoftware und könne Zahlungsdaten anleiten. Mit Hilfe einer solchen Software könnten die Angreifer jedwede Befehle ausführen.

Kaspersky empfiehlt den Herstellern von Geldautomaten unter anderem, den XFS-Standard zu überarbeiten und eine Zwei-Faktor-Authentifizierung zwischen Hardware und legitimer Software einzuführen. So werde die Wahrscheinlichkeit einer unautorisierten Geldentnahme durch Trojaner und Angreifer, die direkt die Kontrolle über einen Automaten erlangen wollten, minimiert. Zudem müsse eine Art "authentifizierte Geldausgabe" eingeführt werden, um die Möglichkeit einer Attacke über gefälschte Prozesszentralen ausschließen zu können. Ebenfalls wird empfohlen, einen Verschlüsselungsschutz und eine Identitätskontrolle von den Daten zu implementieren, die zwischen Hardware-Einheiten und den PCs im Geldautomaten übertragen werden.

Wenige Fälle von Jackpotting bekannt

Der vor drei Jahren gestorbene Barnaby Jack hatte auf der Black-Hat-Konferenz im Jahr 2010 mehrere Verfahren zum Hacken von Geldautomaten präsentiert. Dabei hatte er unter anderem eine Schwachstelle in der standardmäßig aktivierten Fernwartungsfunktion ausgenutzt, um eine präparierte Firmware zu installieren. Ein Geldautomat des Herstellers Triton hatte eine Sicherheitslücke, die sich über einen Standardschlüssel ausnutzen ließ, der im Internet zum Kauf stand. Danach akzeptierte der Geldautomat die Hackersoftware als autorisiertes Update.

Trotz der genannten Sicherheitsdefizite kommen Geldautomaten-Hackings jedoch recht selten vor. Bis zum vergangenen Oktober soll es rund 20 Fälle in Europa gegeben haben, bei denen die Methode mit dem USB-Stick eingesetzt wurde.

Bitte aktivieren Sie Javascript.
Oder nutzen Sie das Golem-pur-Angebot
und lesen Golem.de
  • ohne Werbung
  • mit ausgeschaltetem Javascript
  • mit RSS-Volltext-Feed


Anzeige
Top-Angebote
  1. Heute um 18 Uhr Release der RTX 3060
  2. Heute um 18 Uhr Release der RTX 3060

tingelchen 30. Apr 2016

Ich hab zuerst gefragt ;) Nein hat es nicht. Oder, nicht nur. Wenn der Automat...

FreiGeistler 30. Apr 2016

Umleitungsfehler :-( Sind die SBB gerade am Umrüsten? Das war an einem Automat in...

Spiritogre 29. Apr 2016

Geldautomaten sind nicht mit dem Internet verbunden.


Folgen Sie uns
       


Samsung Galaxy S21 und S21 Plus vorgestellt

Die beiden Grundmodelle von Samsungs Galaxy-S21-Serie kommen ohne abgerundete Displays und mit bekannten Kameras.

Samsung Galaxy S21 und S21 Plus vorgestellt Video aufrufen
IT-Unternehmen: Die richtige Software für ein Projekt finden
IT-Unternehmen
Die richtige Software für ein Projekt finden

Am Beginn vieler Projekte steht die Auswahl der passenden Softwarelösung. Das kann man intuitiv machen oder mit endlosen Pro-und-Contra-Listen, optimal ist beides nicht. Ein Praxisbeispiel mit einem Ticketsystem.
Von Markus Kammermeier

  1. Anzeige Was ITler tun können, wenn sich jobmäßig nichts (mehr) tut
  2. IT-Jobs Lohnt sich ein Master in Informatik überhaupt?
  3. Quereinsteiger Mit dem Master in die IT

XPS 13 (9310) im Test: Dells Ultrabook ist besser denn je
XPS 13 (9310) im Test
Dells Ultrabook ist besser denn je

Wir dachten ja, bis auf den Tiger-Lake-Chip habe Dell am XPS 13 nichts geändert. Doch es gibt einige willkommene Änderungen.
Ein Test von Marc Sauter

  1. Dell-Ultrabook XPS 13 mit weniger vertikalen Pixeln
  2. Notebooks Dells XPS 13 mit Intels Tiger Lake kommt
  3. XPS 13 (9300) im Test Dells i-Tüpfelchen

Videokonferenzen: Bessere Webcams, bitte!
Videokonferenzen
Bessere Webcams, bitte!

Warum sehen in Videokonferenzen immer alle schlecht aus? Die Webcam-Hersteller sind (oft) schuld.
Ein IMHO von Martin Wolf

  1. Webcam im Eigenbau Mit wenigen Handgriffen wird die Pi HQ Cam zur USB-Kamera

    •  /