Yazılar

Çok sayıda markayı hedefleyen ilk ATM zararlısı

cok-sayida-markayi-hedefleyen-ilk-atm-zararlisiDiebolt, NCR gibi üreticilere ait ATM para çekme makinelerini hedef alan zararlı yazılım gelişmiş özellikleriyle dikkat çekiyor.

ATM cihazlarından para sızdırmaya yarayan zararlı yazılımlar 2013 yılından beridir kullanılıyor. Fakat geçtiğimiz hafta ilk kez birden fazla üreticiye ait ATM cihazlarını hedef alan zararlı yazılım tespit edildi. Adı “Suceful” olan zararlı yazılım ilk kez 25 Ağustos tarihinde VirusTotal sitesine Rusya’dan yüklendi. O zaman henüz geliştirme aşamasındaydı.

Suceful, Diebolt veya NCR ATM cihazlarında kullanılan tüm kredi kartı, debit kartların track verilerini okuyabiliyor. Ayrıca kartların çiplerini okuyarak ATM’in sensörlerini de atlatabiliyor. Yine ATM’in PIN kodu girilen panelini de kontrol ederek şifreyi elde etmek mümkün. Belki de Suceful’un en ilginç özelliği istediği zaman kredi kartını fiziksel olarakta çalmaya imkan vermesi. Örneğin işlem sonrası kullanıcıya kartı çıkartılıp verilmiyor. Kullanıcı da yardım istemek için ATM’in başından ayrıldığında uzaktan tetiklenerek kart dışarı çıkartılıp fiziksel olarak da çalınabiliyor.

cok-sayida-markayi-hedefleyen-ilk-atm-zararlisi-2

Ploutus, Padpin gibi önceki ATM zararlılarını yüklemek için ATM cihazının içerisine ulaştıktan sonra CD, USB gibi yollarla zararlı yazılımı yüklemek veya çalışanlardan birine yaptırmak gerekiyordu. Burada işlemlerin çoğu işletim sistemi üzerinden yürütülüyordu. Suceful ise ATM üreticilerinin ATM cihazıyla haberleşmesini sağlayan XFS Manager ile birlikte çalışarak bu zorunluluğu ortadan kaldırabiliyor. XFS Manager üretici bağımsız ve Java ile kodlanmış bir yazılım. Özellikle NCR marka ATM cihazları ülkemizde de bankalar tarafından sıkça kullanılıyor.

Sızdırılan bilgiler sayesinde ATM’ler hackleniyor

sizdirilan-bilgiler-sayesinde-atmler-hackleniyorBaidu’da yayınlanan NCR ATM API dokümanları suçluların ATM odaklı zararlı yazılımlar geliştirmeleri için ciddi bir yardımcı kaynak oluşturdu. Yakın zamandaki artan ATM saldırılarının sebebi olarak bu olay gösteriliyor.

Kısa süre öncesine kadar Tyupkin adlı zararlı yazılım kullanılarak Avrupa çapında 50 kadar ATM cihazından zorla nakit para çekilmişti. Aslında Tyupkin bu türün tek örneği değil. 2013 Mayıs ayında Padpin adında bir zararlı yazılım, Ekim 2013’te ise Ploutus adlı bir zararlı yazılım yine benzer amaçla geliştirilerek aktif olarak kullanılmıştı.

Ploutus zararlı yazılımında saldırgan zararlı bulaştırdığı ATM cihazına SMS gönderiyor, ondan sonra da cihazın yanına giderek çıkardığı paraları alarak uzaklaşıyordu. Bu teknik dünyanın farklı köşelerindeki kriminaller tarafından kullanılmaya başlanmıştı. Zararlıyı bulaştırırken ise izlenen yol oldukça ilginç. Kişi illegal yolla ulaştığı USB portundan cep telefonunu USB tethering ile bağlayarak internet erişimini paylaştırıyor, sonrasında ATM cihazının içine gizlediği telefona uzaktan SMS göndererek ilgili komutları işlemesini sağlıyordu. Bu aynı zamanda telefonun pilinin de şarj olmasını sağlıyordu.

Elbette bu gibi zararlı yazılımları geliştirmek için söz konusu ATM cihazlarının yazılım ve donanım yapılarının iyi şekilde bilinmesi gerekiyor. Sızdırılan bazı dokümanlar ise bu riskin çoktan gerçekleştiğine işaret ediyor. Malezya’da kullanılan Padpin zararlı yazılımı sayesinde bir çete ATM cihazlarından 900 bin dolar para çekti. ATM’e bulaştırılan zararlı finansal servislerle ilgili çalışan DLL MSXFS.dll dosyasının bir uzantısı gibi davranarak API üzerinden ATM cihazında şifrenin girildiği tuşları izleyebiliyordu.

Tüm bu zararlı yazılımların, saldırıların, tekniklerin temelinde içeride tutulması gereken bazı özel dokümanların Çin merkezli arama motoru firması Baidu üzerinden sızdırılması ve ATM’lerin fiziksel güvenliklerinin yeterince sağlanamaması yatmakta.