निम्न स्तर एनसीआर एटीएम हैकिंग

चित्र: साचा कोहल्मन , सीसी बाय-एसए 2.0

ऐसी प्रणालियाँ हैं जो मात्र नश्वर लोगों के पास डिफ़ॉल्ट रूप से पहुँच नहीं हैं। और ऐसी प्रणालियों के डेवलपर्स भोलेपन से मानते हैं कि वे शोधकर्ताओं की पैठ और गहरी आंखों से सुरक्षित हैं।

कम से कम एटीएम (एटीएम) लें। अक्सर ऐसे मामले आते हैं जब अज्ञात लोग एटीएम में आते हैं, एक लैपटॉप कनेक्ट करते हैं, पैसे लेते हैं और सिस्टम में कोई लॉग नहीं छोड़ते हैं। और " कटलेट " (मालवेयर जिसे कटलेट मेकर कहा जाता है) के साथ हाल की कहानियां इस बात की पुष्टि करती हैं कि कोई अजेय प्रणाली नहीं हैं - अनिर्दिष्ट हैं।

पढ़ाई शुरू

एक राय है कि एटीएम से पैसे चोरी करने का एकमात्र तरीका एक डंप ट्रक पर ड्राइव करना है, एटीएम को एक हुक उठाओ और इसे फाड़ दें, और फिर एक चक्की, एक क्रॉबर और एक गैस वेल्डिंग मशीन का उपयोग करें। लेकिन एक और तरीका है।

Ebay पर एक छोटी खोज के बाद, मेरे पास मेरी डेस्क पर एक फर्मवेयर के साथ NCR USB S1 डिस्पेंसर था । लक्ष्य निम्नानुसार थे:

• कंप्यूटर को USB से डिस्पेंसर को भेजने वाले कमांड को एन्क्रिप्ट करने के लिए एक बाईपास ढूंढें, विशेष रूप से बैंकनोट जारी करने के लिए;
• पिछले पैराग्राफ से आदेशों के लिए एन्क्रिप्शन कुंजी बनाने के लिए प्रमाणीकरण (कैसेट मरोड़ते) के लिए सुरक्षित तक भौतिक पहुंच की आवश्यकता के बारे में जानें।

प्रविष्टि

फर्मवेयर NXP ColdFire प्रोसेसर ( मोटोरोला 68040 , मेरा पसंदीदा प्रोसेसर) के लिए एक ईएलएफ फ़ाइल है, जो VxWorks v5.5.1 पर चल रहा है।



ईएलएफ फ़ाइल में, दो मुख्य भाग ब्याज के हैं - .xt और .data :

• उनमें से एक में एक कोड होता है जो हर समय घूमता है (चलो इसे मुख्य फर्मवेयर कहते हैं) जब डिस्पेंसर एटीएम के ऊपरी हिस्से में सिस्टम यूनिट से जुड़ा होता है।
• दूसरा है बूटलोडर कोड जो zlib (इसका स्थानीय नाम USB Secure Bootloader ) है, जो फर्मवेयर अपलोड करने और मुख्य कोड लॉन्च करने के लिए जिम्मेदार है।

और सबसे अच्छी बात यह है कि प्रतीक फ़ाइल में बिना बचे रहते हैं - इसे लें और कुछ दिलचस्प देखें।

मुख्य फर्मवेयर का आंतरिक उपकरण

यदि आप कोड को मुख्य घटकों में विभाजित करते हैं, तो आपको निम्न योजना मिलती है (प्रस्तुत करने के क्रम में):

1. एक धारा जो USB पैकेट प्राप्त करने और उन्हें सेवाओं के बीच वितरित करने से संबंधित है।
2. सेवाएँ मुख्य निष्पादन इकाइयाँ हैं, उनमें से प्रत्येक की अपनी भूमिका है और प्रत्येक के अपने कार्य (कक्षाएं) हैं।
3. कक्षाएं - यहां ये कार्य हैं जो एक विशेष सेवा नियंत्रकों की सहायता से कर सकते हैं।
4. नियंत्रक वास्तव में " श्रमिक " ( श्रमिक ) हैं जो उन्हें भेजे गए कार्यों, उनके कार्यान्वयन, साथ ही प्रतिक्रिया पैकेट के गठन को मान्य करने में शामिल हैं।

चूंकि फर्मवेयर में बहुत सारे कोड हैं, इसलिए सभी संभावित सेवाओं की खोज करके इसे शुरू करने का निर्णय लिया गया था, और फिर देखें कि कार्यों को कहाँ स्थानांतरित किया गया है।

नतीजतन, निम्नलिखित सेवाएं मिलीं, जो मुझे वही दिखना चाहिए जो मैं देख रहा हूं:

1) DispTranService (डिस्पेंसर ट्रांजैक्शन सर्विस) : एन्क्रिप्टेड कमांड, बैंकनोट्स के बंडलों के गठन, प्रमाणीकरण के साथ काम करते हैं। आप कह सकते हैं कि सबसे दिलचस्प यहाँ है।



2) सुरक्षा सेवा : प्रमाणीकरण के बाद, एक सत्र कुंजी डिस्पेंसर की तरफ उत्पन्न होती है, जो कि कंप्यूटर के अनुरोध पर, इसे एन्क्रिप्टेड रूप में भेजा जाता है। यह कुंजी सभी महत्वपूर्ण आदेशों को एन्क्रिप्ट करेगी - जारी करना, बैंक नोटों का एक बंडल बनाना।



इसके बाद, एक अन्य सेवा ने मेरी आंख को पकड़ा: UsbDownloadService । इसका कार्य है, जब डिस्पेंसर कंप्यूटर से जुड़ा होता है और डिस्पेंसर फ़र्मवेयर संस्करण एटीएम कंप्यूटर पर संग्रहीत एक से मेल नहीं खाता है, तो फर्मवेयर अपलोड करने के लिए बूटलोडर पर जाएं, जिसके साथ ओएस को काम करना चाहिए (यह कंप्यूटर पर विक्रेता के सॉफ़्टवेयर के साथ फ़ोल्डर में निहित है)। यह सेवा फर्मवेयर संस्करण के बारे में जानकारी देना भी जानती है।

भौतिक प्रमाणीकरण

भौतिक प्रमाणीकरण उच्चतम स्तर पर लागू किया जाता है और एटीएम को बिना किसी प्राधिकरण के जारी करने के लिए यूएसबी के माध्यम से कमांड भेजने से बचाता है। इस मामले में, यह इस तथ्य में समाहित है कि केवल पैसे के साथ एक खुली तिजोरी के साथ आपको निम्न में से एक करने की आवश्यकता है:

• निचली कैसेट निकालें और डालें,
• डिस्पेंसर के साथ रैक के पीछे टॉगल स्विच को स्विच करें।

लेकिन यह सब केवल तभी आवश्यक है जब एक्सेस स्तर अधिकतम, यानी भौतिक पर सेट हो। उनमें से तीन हैं: USB (0), तार्किक (1) और भौतिक (2)। शेष दो का उपयोग सेवा प्रदाताओं और डेवलपर्स द्वारा फर्मवेयर को डीबग और परीक्षण करने के लिए किया जाता है। खैर, वेंडर डिफ़ॉल्ट रूप से उपयोग करने के लिए विक्रेता द्वारा अत्यधिक अनुशंसित है।

भेद्यता

निम्नलिखित महत्वपूर्ण भेद्यता का वर्णन करता है (लेख के प्रकाशन के समय विक्रेता द्वारा पहले से ही तय किया गया है), जिसने सेवा क्षेत्र तक पहुंच होने पर, नकदी निकासी सहित किसी भी डिस्पेंसर कमांड को निष्पादित करना संभव बना दिया, लेकिन सुरक्षित तक पहुंच के बिना (उदाहरण के लिए, एटीएम के सामने के पैनल में बने छेद के माध्यम से)।



जैसा कि यह निकला, UsbDownloadService आदेशों को स्वीकार करता है जिन्हें एन्क्रिप्शन की आवश्यकता नहीं होती है। लुभावना लगता है। लेकिन अचानक सब कुछ आगे संरक्षित है, और सिक्योर बूटलोडर नाम का भुगतान बंद हो जाएगा ?

(Spoiler: उचित नहीं है!)

हमें गहराई तक जाने की जरूरत है

जैसा कि पहले ही उल्लेख किया गया है, .data सेक्शन में एक भरा हुआ लोडर कोड होता है, जो लंबे समय तक मुझे दिलचस्पी नहीं देता था, और मेरे सहयोगियों ने फर्मवेयर की जांच करने पर इस पर ध्यान नहीं दिया।



जबकि बूटलोडर एक रहस्य था, सवाल खुला रहा: कंप्यूटर पर सॉफ़्टवेयर फर्मवेयर को कैसे बाढ़ता है? दरअसल, मुख्य फर्मवेयर में, कुछ भी नहीं मिला।



इसलिए, बूटलोडर को अनपैक किया गया है, ऑफसेट 0x100000 पर IDA में लोड किया गया है - अब आप जांच कर सकते हैं ... केवल कोई वर्ण नहीं है!

यह महत्वपूर्ण नहीं है: बूटलोडर कोड के साथ मुख्य फर्मवेयर की तुलना करना, नियंत्रक के डेटशीट को पढ़ना - और एक निश्चित चित्र उभरना शुरू होता है।



यह पता चला कि फर्मवेयर अपलोड करना, हालांकि यह संरक्षित दिखता है, वास्तव में ऐसा नहीं है। आपको बस यह जानना होगा कि इसे सही तरीके से कैसे भरना है।

इस प्रक्रिया की पूरी समझ के लिए बहुत प्रयास और समय व्यतीत किया गया था (अधिक विवरण के लिए, रिपोर्ट देखें "लास वेगास में ब्लैक हैट 2018 सम्मेलन में ब्लैकबॉक्स मर चुका है - लॉन्ग लाइव ब्लैकबॉक्स! ")। यह एनवीआरएएम मेमोरी को टांका लगाने के लायक क्यों है, पूरे नियंत्रक को "स्क्रैपिंग" करने के लक्ष्य के साथ एक बैकअप अपलोड करना ... आपके धैर्य के लिए सहयोगी अलेक्सी का धन्यवाद!

नतीजतन, हमने डिस्पेंसर को फर्मवेयर अपलोड करने के लिए निम्नलिखित एल्गोरिदम प्राप्त किया:

1) RSA कुंजियों की एक जोड़ी उत्पन्न करें और नियंत्रक में सार्वजनिक कुंजी भरें।



2) क्रमिक रूप से .Data और .text वर्गों को ELF से अनुभाग हेडर से उनके भौतिक पते पर लिखें।



3) रिकॉर्ड किए गए डेटा से SHA-1 की गणना करें, निजी कुंजी के साथ हैश को एन्क्रिप्ट करें, नियंत्रक को भेजें।



4) फर्मवेयर के सभी रिकॉर्ड किए गए शब्दों की गणना करें और भेजें।



जिसके बाद, यदि सब कुछ गिना और सफलतापूर्वक दर्ज किया गया है, तो मुख्य फर्मवेयर लोड होगा।

यह पता चला कि फर्मवेयर लिखते समय केवल एक सीमा होती है: फर्मवेयर संस्करण वर्तमान से कम नहीं होना चाहिए। लेकिन कोई हमें अपने डेटा में फर्मवेयर संस्करण को बदलने से नहीं रोक रहा है।

नतीजतन, मेरे विशेष फर्मवेयर को एंटीसिक्योरिटी फिक्स के साथ अपलोड किया गया और सफलतापूर्वक लॉन्च किया गया!

इस बिंदु पर, मुख्य फर्मवेयर कोड का अच्छी तरह से अध्ययन किया गया था, बैंकनोट जारी करने के आदेश पाए गए थे। अब उन्हें अनएन्क्रिप्टेड भेजा जा सकता है, और डिस्पेंसर ख़ुशी से उन्हें निष्पादित करेगा।

प्रत्यर्पण

अध्ययन के दौरान अनुभव की गई हर चीज के बाद (उदाहरण के लिए, एक " ईट अप " वास्तविक एटीएम), परिणाम बहुत सुखद था और उन प्रयासों के लिए क्षतिपूर्ति करना था जो मैं एक अन्य बड़े विक्रेता के साथ एल्गोरिथ्म को दोहराना चाहता था।



सबसे वास्तविक एटीएम ने ज़ोर-शोर से चर्चा शुरू की और उत्सुकता से हमारे साथ ताजा खस्ता बैंकनोट (इस मामले में, विक्रेता "कैंडी रैपर") को साझा किया। कोई जादू नहीं लगाया गया था: केवल एक लैपटॉप, एक मस्तिष्क और एक यूएसबी-कॉर्ड।

निष्कर्ष

एक बार फिर, हम आश्वस्त थे कि, अस्पष्टता के माध्यम से सुरक्षा के सिद्धांत द्वारा निर्देशित, पर्याप्त सुरक्षा प्रदान करना असंभव है। कोड या फर्मवेयर की औचित्य का मतलब यह बिल्कुल भी नहीं है कि एक ठीक बिंदु पर एक हमलावर इस तक पहुंच प्राप्त नहीं करेगा और मिली कमजोरियों का लाभ नहीं उठाएगा। एक निश्चित राशि की उपस्थिति में स्वार्थी लक्ष्यों के कार्यान्वयन के लिए आवश्यक सब कुछ हासिल किया जा सकता है।

डेवलपर्स को कोड को संभालना चाहिए, और सुरक्षा गार्डों को इसकी सुरक्षा करनी चाहिए। यही कारण है कि सबसे अधिक उत्पादक दृष्टिकोण विभिन्न प्रणालियों की सुरक्षा सुनिश्चित करने में पर्याप्त अनुभव के साथ सूचना सुरक्षा कंपनियों के साथ सहयोग करना प्रतीत होता है जो प्रत्येक मामले में पर्याप्त सुरक्षा बनाने में मदद करेंगे।

पीएस वेंडर ने भेद्यता की पुष्टि की (एक अन्य मॉडल - एस 2 में अंतर भी पाया गया), जिसे 2018 के फरवरी फिक्स में तय किया गया था।

सीवीई सूची:

• CVE-2017-17668 (NCR S1 डिस्पेंसर),
• सीवीई-2018-5717 (एनसीआर एस 2 डिस्पेंसर)।

धन्यवाद

मुझसे पहले, मेरे सहकर्मी - डिमा स्लेरारोव और मीशा त्सेत्कोव - पहले ही फर्मवेयर पर काम कर चुके थे (हालांकि एक डिस्पेंसर बोर्ड के बिना)। उनकी उपलब्धियों ने मुझे अध्ययन में बहुत मदद की, जिसके लिए उन्हें बहुत धन्यवाद! हार्डवेयर के बारे में, अलेक्सी स्टेंनिकोव ने मेरी बहुत मदद की।