Une proportion stupéfiante de 85 % des distributeurs automatiques de billets peut être piratée et amenée à distribuer de l’argent gratuit en seulement 20 minutes, selon un nouveau rapport.

Les experts en sécurité bancaire Positive Technologies ont décrit dans un rapport cette semaine un certain nombre de tentatives réussies d’accès au système d’exploitation d’un distributeur automatique de billets.

Ils ont ciblé des DAB appartenant à GRGBanking, NCR et Diebold Nixdorf et ont trouvé quatre grandes catégories de vulnérabilités : une sécurité réseau insuffisante ; une sécurité périphérique insuffisante ; une configuration incorrecte des systèmes ou des dispositifs ; et des vulnérabilités dans la configuration du contrôle de l’application.

Les chercheurs de l’équipe ont écrit dans leur rapport qu’en raison de la sécurité insuffisante du réseau, un criminel ayant accès au réseau de guichets automatiques peut « cibler les services réseau disponibles, intercepter et usurper le trafic, et attaquer l’équipement du réseau. »

« Les criminels peuvent également usurper les réponses du centre de traitement ou obtenir le contrôle du guichet automatique. »

Image : Positive Technologies Report

Vulnérabilités des GAB

Ils ont constaté que 58 % des GAB testés risquaient de voir des acteurs menaçants pénétrer dans le réseau par le biais de mauvaises pratiques de cybersécurité, comme des logiciels obsolètes et une faible protection par pare-feu.

Par le biais des vulnérabilités CVE-2017-8464 et CVE-2018-1038, ils ont pu permettre d’exécuter du code arbitraire à distance et d’élever ensuite les privilèges ; il en résultait la possibilité de  » désactiver les mécanismes de sécurité et de contrôler la sortie des billets de banque du distributeur. »

Hit it Hard

De loin, le type d’attaque le plus réussi était un piratage direct du distributeur automatique de billets lui-même, bien que cela nécessite un accès physique.

Si l’attaquant parvient à manipuler le DAB de manière à pouvoir débrancher le câble Ethernet et connecter un appareil, il est alors en mesure de mener des attaques sur le service réseau ou des attaques de type man-in-the-middle.

Cette méthode a fonctionné 85 % du temps sur les DAB testés, les chercheurs ayant constaté que : « Parfois, le modem est situé à l’extérieur de l’armoire du GAB, de sorte qu’un attaquant n’aurait même pas besoin d’ouvrir le GAB pour effectuer des modifications. »

Voir aussi : Les 7 groupes de Magecart : les pirates déposent du code de contre-espionnage dans les skimmers JavaScript

La méthode la plus rapide est aussi la plus bruyante, Positive Technologies a réalisé des attaques de type Black Box qui n’ont pris que 10 minutes pour obtenir de l’argent liquide de la machine.

Une attaque de type Black Box se fait en perçant un trou sur le côté du boîtier du DAB pour avoir accès aux câbles reliant la caisse du DAB à l’OS du DAB. Un outil prêt à l’emploi est alors connecté au DAB laissant les acteurs de la menace retirer autant d’argent qu’ils le souhaitent.

En conclusion, les chercheurs notent que les cyberattaques sur les DAB diminueront au fur et à mesure que des méthodes préventives telles que des logiciels à jour et de bonnes pratiques seront mises en œuvre.

Cependant, ils déclarent que la première étape à réaliser est de :  » sécuriser physiquement l’armoire du distributeur automatique de billets et ses environs. L’exploitation de la plupart des vulnérabilités que nous avons trouvées serait impossible sans un accès à l’ordinateur de bord et aux ports périphériques. »

.