Diebold Nixdorf alerta sobre uma nova classe de ataques de 'caixa preta' em caixas eletrônicos em toda a Europa

A fabricante de caixas eletrônicos Diebold Nixdorf está alertando os bancos sobre um novo tipo de ataque de “caixa preta” em caixas eletrônicos que foi recentemente detectado em toda a Europa.

Os ataques de “caixa preta” em caixas eletrônicos são um tipo de ataque de jackpot – quando os cibercriminosos fazem um caixa eletrônico cuspir dinheiro. Um ataque de jackpot pode ser executado com malware instalado em um caixa eletrônico ou usando uma “caixa preta”.

Um ataque de caixa preta ocorre quando um intruso desaperta a caixa externa de um ATM para acessar suas portas ou abre um buraco na caixa para acesso direto à sua fiação interna ou outros conectores ocultos.

Usando esses pontos de acesso, o invasor conecta um dispositivo de “caixa preta” – geralmente um laptop ou uma placa Raspberry Pi – aos componentes internos do caixa eletrônico, que ele usa para enviar comandos ao caixa eletrônico do caixa eletrônico e liberar dinheiro dos cassetes de armazenamento. .

Os ataques de jackpotting de caixa preta em caixas eletrônicos vêm ocorrendo há mais de uma década. Eles têm sido extremamente populares entre gangues criminosas, pois a técnica é mais barata e mais simples de executar do que usar equipamentos de fraude em caixas eletrônicos, clonar cartões e ter que lavar o dinheiro – um processo que geralmente leva meses para ser concluído.

Os ataques de caixa preta permitem que agentes de ameaças menos qualificados comprem rapidamente o equipamento de caixa preta e o malware de que precisam e comecem a acumular dinheiro em caixas eletrônicos em poucos dias.

Num alerta de segurança enviado na quarta-feira, a Diebold Nixdorf, o maior fabricante mundial de ATM, disse que os seus investigadores tomaram conhecimento de uma nova variação de ataques de caixa negra que está a ser usada em certos países da Europa.

Diebold Nixdorf diz que os novos ataques foram observados usados ​​apenas contra terminais ATM ProCash 2050xe [PDF], com os invasores conectando-se ao dispositivo através de portas USB. A empresa explica:

Caixa eletrônico Diebold Nixdorf PRoCash 2050xe

"Nos incidentes recentes, os invasores estão se concentrando em sistemas externos e destruindo partes do painel frontal para obter acesso físico ao compartimento principal. Em seguida, o cabo USB entre o dispensador CMD-V4 e os componentes eletrônicos especiais, ou o cabo entre a eletrônica especial e o PC ATM foram desconectados. Este cabo é conectado à caixa preta do invasor para enviar comandos de distribuição ilegítimos.

Mas não foi esta técnica que chamou a atenção de Diebold Nixdorf. Embora os invasores geralmente implantem malware ou seu próprio código para interagir com o componente do terminal ATM, o fornecedor do ATM disse que durante esses ataques recentes os perpetradores parecem ter obtido uma cópia do software ATM (firmware), que instalaram no caixa preta e usavam para interagir com o terminal.

“A investigação sobre como essas peças foram obtidas pelo fraudador está em andamento”, disse a empresa. Atualmente, Diebold Nixdorf acredita que os invasores podem ter se conectado a um caixa eletrônico e encontrado seu software armazenado de forma insegura em um disco rígido não criptografado.

Uma fonte do setor bancário disse hoje à ZDNet que o alerta Diebold Nixdorf é o resultado direto de uma investigação sobre uma série de ataques de jackpotting em caixas eletrônicos que ocorreram na Bélgica no mês passado, em junho de 2020.

Os ataques forçaram o banco de poupança belga Argenta a fechar 143 caixas eletrônicos no mês passado, depois de sofrer dois misteriosos ataques de jackpot em caixas eletrônicos, um em junho e outro no fim de semana passado.

Os ataques, considerados os primeiros incidentes de jackpot na história da Bélgica, utilizaram a mesma técnica descrita no alerta da Diebold Nixdorf, com os atacantes a ligarem-se ao multibanco via USB e a esvaziarem o terminal. Apenas caixas eletrônicos da Diebold Nixdorf foram atacados, segundo o Brussels Times, que noticiou os incidentes.

Numa entrevista hoje, Manuel Pintag, analista de segurança cibernética e especialista em fraude bancária da Telefónica, disse à ZDNet que esta técnica específica já tinha sido vista antes, embora não em toda a Europa, mas na América Latina.