早前台灣銀行 ATM 被盜證明了要攻擊這些看似安全的 ATM 設備,其實絕非難事!在業界其實久不久就會有專家分享入侵 ATM 的方法,以行動告知銀行,希望她們能注意 ATM 的安全性。

而近日卡巴斯基實驗室亦就銀行被無檔案病毒 (Fileless Malware) 攻擊,導致有自動櫃員機(ATM)內的鈔票全部被盜事件發表調查報告。銀行職員在 ATM 沒有發現任何物理破壞和惡意程式,但內裡的鈔票全部不翼而飛,於是專家對神秘失竊事件抽絲剝繭,不但明白網絡罪犯使用的盜竊手法,更複製攻擊找出銀行的保安漏洞。

ATMitch 個案解構

在 2017 年 2 月,卡巴斯基實驗室公開了針對銀行的無檔案病毒攻擊調查報告,犯罪份子利用僅存放在記憶體的惡意程式感染銀行網絡,但是他們有甚麼目的?在 ATMitch 的個案可以找到答案。

當銀行方面的搜證專家從 ATM 的硬盤中,復原兩個含有惡意程式紀錄的檔案 (kl.txt 和 logfile.txt),再把資料分給卡巴斯基實驗室,調查便正式展開。失竊個案只留下兩個檔案,由於犯人在犯案之後把惡意程式銷毀,所以無法恢復惡意程式的執行檔案,不過這樣並無法阻止卡巴斯基實驗室的調查工作。

刪除與重組案情

在紀錄檔之內,專家成功在純文字中找到資料,協助他們建立 YARA 規則進行公共惡意程式搜查和尋找樣本。YARA 規則作用為搜索字符串,協助分析人員搜尋、組合和分類相關惡意樣本,並以系統或網上可疑行為模式的相似性,劃出他們的關連。

經過一天等待,專家找到一個目標惡意程式樣本 – tv.dll 或隨後被稱為 ATMitch,它只曾經在兩個地方出現,分別是哈薩克斯坦和俄羅斯。

透過遠端操作,惡意程式在目標銀行的 ATM 上安裝和執行。當安裝完成並與 ATM 連線,ATMitch 惡意程式就能夠像合法的軟件一樣與 ATM 通訊,使黑客能夠執行一連串指令,例如收集存放在 ATM 內的鈔票數量,更重要的是,犯人只需要一個按鍵,就能夠隨時令 ATM 吐出鈔票。

誰是犯人?

事件的幕後主腦仍然是未能確定,在盜竊行動的第一階段,他們利用開源漏洞代碼、普通視窗工具和未知域名,幾乎完全無法確定組織的身份。不過,在 ATM 階段的攻擊用上的 tv.dll 就含有俄語,符合條件的已知組織就只有 GCMAN 和 Carbanak。

卡巴斯基實驗室首席安全研究員 Sergey Golovanov 表示,駭客可能仍然活躍,但不要恐慌,與這類型攻擊周旋需要保安專家為目標機構提供特殊的技術。由於洩漏的數據利用普通合法的工具就能執行,在攻擊之後,犯人可能銷毀所有數據以防被追蹤,記憶體搜證分析惡意程式及其功能變得重要。從個案證明,小心妥善的事後應對工作,有助解決萬存準備的網絡罪行。


 無檔案病毒襲擊銀行?揭神秘盜竊 ATM 方法!

 https://www.facebook.com/hkitblog