Hul i Windows XP er en åben dør for at trække penge ud af automater
(27/03-2014) – Mange ved det ikke, men 95 % af pengeautomaterne ude i verden (og altså også i Danmark) kører på Windows XP.
Windows XP er et styresystem, som blev udgivet for 13 år siden, og fra den 8. april i år (om halvanden uge fra skrivetidspunktet) holder Microsoft op med at understøtte og patche det gamle system.
Okay, nu er det sandt, at det ikke kun er fordi XP er gammel, at der er et problem med det. OS/2 er et godt stykke over 25 år gammelt (det udkom i 1987), men det bliver stadig brugt i nogle få pengeautomater og i New-Yorks metro system. Grunden? OS/2 bryder aldrig sammen, og der kan gå årtier, før man skal genstarte noget som helst.
Det, at Microsoft stopper med at understøtte Windows XP, vil ramme bankerne hårdt, hvis disse ikke tager sig sammen og moderniserer deres system.
En del hackere venter spændt på den dag, Microsoft vil holde op med at understøtte styresystemet, for at kunne boltre sig. For finder man et hul i systemet efter den 08/04-2014, kan man være sikker på, at dette ikke bliver lukket nogensinde. Det er som at finde Eldorado!
Det kan være tilfældet med det nye hul, som bliver udnyttet i skrivende øjeblik. Om Microsoft får tid til at lukke det inden for tiden er uvist … Men … Når kunden er verdensbanker og ikke almindelige brugere, er der en chance for, at det kan nås.
Men foreløbigt kan det altså lade sig gøre at trække penge ud af 95 % af verdens pengeautomater blot ved at spørge pænt om det … Med to SMS’er!
Hackingen foregår i to tempi: Først skal man sende en virus til automaten, en trojanhest, som hedder Backdoor.Ploutus.B (en engelsk version af en tidligere mexikansk version som hed Backdoor.Ploutus. Kan du spansk, så behøver du ikke den engelske version.
Backdoor.Ploutus gør, at man kan indtaste ordrer i automaten.
Først kobler hackeren en mobiltelefon til automaten (det gør man ved at forcere eller åbne den øverste del af automaten og koble en hvilken som helst smartphone som giver mulighed for tethering (se den lille video lavet af Symantec i bunden af artiklen, som fortæller hvordan man gør).
Når man bruger USB-Tethering får man så en delt forbindelse for automaten og mobiltelefonen, så automaten forbindes med bankens servere. Derefter sender hackeren SMS-kommandoer til telefonen, som konverterer kommandoerne til korrekt udformede datapakker, som bliver sendt fra automaten til bankens server. Serveren regner med at efterspørgslen kommer fra en “ren” automat og slipper slanterne.
Så er det bare om at tage pengene.
For at dette kan virke, skal hackeren sende to SMS’er.
Den første SMS skal indeholde en korrekt aktiverings ID så Ploutus bliver aktiveret i automaten.
Den anden SMS skal have en korrekt kommando, som beder om pengene.
Ja, det lyder kompliceret når man ikke kender disse kommandoer, men det er ikke så svært når det kommer til stykket.
Modtrækket?
Well… Først og fremmest skulle bankerne hurtigst muligt opgradere deres systemer til Windows 7 eller 8. Med alle deres gebyrer og andet pladder kan man ikke bilde mig ind, at de ikke har råd! (Så venner, vi kan vist regne med en stigning i gebyrer, for det skal vi vel allesammen selv betale for, skal I se!).
De kunne også have bedre overvågning (kameraer, for eksempel), så når nogen begynder at splitte top-delen af en automat ad, så lægger man ligesom mærke til det.
De kunne også, ganske enkelt, låse BIOS’en så man ikke kan boote fra uautoriseret medie (som DVD, CD, USB-nøgle, m.m.).
De kunne også kryptere disken 100 %, så man ikke kan pille ved den (det ville nok sløve systemet lidt, men det er det værd i det lange løb).
… Altså, der er nogle ting de kan gøre for at forhindre det … Som dog alle koster penge. Men mon ikke det er på tide at modernisere alt det her? (Chill)
