Per Touch und QR-Code: Bitcoin-Geldautomat ohne Tastatur geknackt
Einer Gruppe von Sicherheitsforschern von IOActive Labs ist es gelungen, allein anhand von Touchscreen-Eingaben und einem QR-Code die vollständige Kontrolle über einen Bitcoin-Geldautomaten (ATM) zu erlangen. Versuchsobjekt war das Modell Douro ATM des Herstellers Lamassu, bei dem die Forscher im Rahmen ihrer Untersuchungen drei ausnutzbare Schwachstellen identifizieren konnten.
Ein Bitcoin ATM ist ein spezieller Geldautomat, der es Benutzern ermöglicht, gängige Fiatwährungen wie Euro oder US-Dollar in Bitcoin (BTC) einzutauschen, ohne sich dafür bei einer Kryptowährungsbörse registrieren zu müssen. Finanziert werden die Geräte über eine von den Betreibern erhobene Gebühr. Die Automaten akzeptieren in der Regel sowohl Bargeld als auch elektronische Zahlungen, beispielsweise über Paypal.
Angriff erfolgte ohne Tastatur
Zuerst stellten die Forscher fest, dass sie unmittelbar nach dem Bootvorgang des Automaten für einige Sekunden mit dem Fenstermanager des darauf installierten Linux-Betriebssystems interagieren konnten. Das reichte immerhin aus, um ein Terminalfenster zu öffnen, wenngleich dieses noch mit geringen Zugriffsrechten ausgestattet war.
Im Anschluss wollten die Forscher den Mechanismus zur Softwareaktualisierung für eine Rechteausweitung missbrauchen. Sie suchten dafür einen Weg, eine spezielle Javascript-Datei zu erstellen und auszuführen, ohne eine Tastatur zu verbinden.
"Wir hatten zwar physischen Zugang zu den Geräten, sodass es einfach gewesen wäre, sie zu öffnen und eine Tastatur anzuschließen, aber das Ziel war es, die Kontrolle ohne invasiven Eingriff zu erlangen" , heißt es im Bericht von IOActive Labs(öffnet im neuen Fenster) .
Per QR-Code zum Root-Zugriff
Das Team entschied sich daher für einen anderen Ansatz und bettete den Javascript-Code in einen QR-Code ein. Letzteren konnte der Bitcoin ATM über die verbaute Kamera lesen. Die dafür erforderliche Anwendung ließ sich über die Touch-Bedienelemente des Gerätes starten.
Unmittelbar nach dem Lesen des QR-Codes konnten die Forscher den damit übertragenen Quellcode über den Touchscreen des Geldautomaten kopieren und ausführen, um ein Terminal mit Root-Rechten zu erhalten. Der Vorgang ist in einem Video zu sehen(öffnet im neuen Fenster) , in dem der Angriff demonstriert wird.
Mit dem Root-Zugriff sei es ihnen im Anschluss auch gelungen, das Root-Passwort in weniger als einer Minute zu knacken, behaupten die Forscher. Das gleiche Passwort sei sogar "für alle Geräte" gültig gewesen.
Die entdeckten Schwachstellen wurden wohl schon im Juli 2023 an den Hersteller gemeldet. Rund zwei Monate später hat Lamassu ein Sicherheitsupdate bereitgestellt, das die Lücken schließt. Details dazu hat das Unternehmen in einem Security Bulletin(öffnet im neuen Fenster) veröffentlicht.
- Anzeige Hier geht es zu Kryptowährungen - Investments in Bitcoin & Altcoins bei Amazon Wenn Sie auf diesen Link klicken und darüber einkaufen, erhält Golem eine kleine Provision. Dies ändert nichts am Preis der Artikel.