Black Hat 2018| ATM 吐钞机可遭逻辑攻击；数百架飞机可遭远程攻击

翻译：360代码卫士团队

在今年举行的2018年黑帽大会上，Positive Technologies 公司的安全专家 Vladimir Kononovich 和 Alexey Stennikov 公布了从 NCR 制造的 ATM 吐钞机中发现的两个严重的漏洞。IOActive 公司的首席安全咨询师 Ruben Santamarta 指出，攻击者可利用卫星通信系统中的漏洞远程攻击飞机。

研究员表示虽然漏洞已被修复，但本可被用于安装过时的固件并强迫 ATM 机吐钞。研究员成功地展示了针对 NCR S1 和 S2 现金吐钞机控制器的黑盒攻击。在这类“逻辑”攻击中，攻击者仅看到输入和输出，但并不了解系统的内部工作原理。攻击者需要物理访问目标设备，利用所连接的安全性差的目标吐钞机控制器，安装易受攻击的固件并发布命令让吐钞机吐钞。

这两个严重漏洞（影响 S1 控制器的CVE-2017-17668 和影响 S2 控制器的 CVE-2018-5717）均可导致攻击者回滚到老旧的、易受攻击的固件版本。这两个类似漏洞都和内存写入机制不充分的安全性之间存在关联。未经验证的攻击者能执行任意代码、绕过固件反回滚机制并安装含有已知漏洞的固件。

研究结果显示，ATM 计算机向吐钞机发出的所有请求并非都被加密，只有制造商认为是重要的请求才会被加密，如吐钞。但某些所谓的不重要的请求也具有同样的危险性。

研究人员已将研究结果告知 NCR，后者已在2月份发布重要的固件更新以抵御黑盒攻击。该补丁应该解决了固件回滚漏洞并更好地保护了物理认证机制的安全性。

Ruben Santamarta 早在2014年就曾发布研究论文，说明了针对卫星通信的理论攻击场景。2017年11月，他在一次挪威飞行途中发现了机载娱乐系统中的问题。

Santamarta 从飞机的 WiFi 网络中被动收集流量后发现某些 IP 地址可使用多种常用服务如 Telnet、HTTP  和 FTP；而和飞机车载卫星通信调制解调器相关的某些接口可在未验证的情况下遭访问。

研究人员进一步分析后发现卫星通信系统中存在多种漏洞，如不安全的系统协议、后门和不正确的配置等，可导致受影响设备遭控制。具体而言，Santamarta发现的安全漏洞可导致远程黑客控制商业飞机上的卫星通信设备、轮船上的地球站和美军在争端地区使用的地球站。

就商用航空而言，研究人员发现黑客可从地面瞄准西南航空、挪威航空和冰岛航空的数百架飞机。令人担忧的是，在某架飞机情况下，研究员发现其卫星通信终端已遭经由受攻陷路由器的 Gafgyt 物联网僵尸网络的地面攻击。更令人担忧的是，研究员所分析的其中一架飞机的天线控制单元已遭 Mirai 恶意软件感染。在军事和海事行业，针对卫星通信系统的远程攻击可造成安全风险，如干扰通信并利用 HIRF 发动网络-物理攻击。从另一方面来讲，由于多种系统之间的隔离性，针对飞机通信设备的远程攻击无法造成安全风险。然而，黑客仍然能拦截或修改飞行中的 WiFi 流量并劫持乘客和机组人员的设备。

IOActive 公司已将研究成果告知受影响供应商和组织机构如 US-CERT 和 ICS-CERT，虽然有些航空公司和某些受影响设备的制造商已采取措施解决该问题，但其它公司并非如此。

研究人员表示，这些缺陷可用于黑掉航空公司、政府部门和智慧城市的数百万台设备。

原文链接

https://www.securityweek.com/flaws-atm-dispenser-controllers-allowed-hackers-steal-cash

https://www.securityweek.com/researcher-finds-hundreds-planes-exposed-remote-attacks

本文由360代码卫士编译，不代表360观点，转载请注明 “转自360代码卫士www.codesafe.cn”。