短訊變提款指令,Windows XP提款機面臨嚴峻考驗
剛從Symantec的Blog讀到一段「Texting ATMs for Cash Shows Cybercriminals’ Increasing Sophistication」。內容主要談及Microsoft即將停止支援的Windows XP仍在很多銀行提款機運行,而這作業系統有可能成為黑客的主要攻擊目標。Symantec在墨西哥更有工程師成功的把短訊變成指令,直接從提款機提取款項。
在Symantec工程師的示範片段中,只要黑客能以USB線把自己預備好的手機,直接連上提款機,再把木馬程式Ploutus殖入提款機。以後他們只要按既定格式向該手機發短訊,手機就會把該短訊轉成指令,再轉發至提款機。接下來入侵者就可以等錢跌出來了。
作為一家資訊保安公司,Symantec不是單單把事件揭露了就算,也提供了多項建議,希望減低銀行的風險。首要當然是升級作業系統,但本身要銀行或金融機構升級作業系統已經不是易事,再加上很多提款機的硬件未必應運行新的作業系統,而且舊有的軟件也要重新編寫。這並不是三幾個月,甚至半年左右的時間能完成的工作。
年初時東方日報就升級作業系統一事訪問了中國銀行與恒生銀行。前者稱一直關注此事,並會與設備供應商進行評估;相反恒生銀行則表示「會提升全部自動櫃員機的作業系統,藉此符合該行及業界標準」。
正因為這任務艱鉅(先Assume各大小銀行都願執行此任務),Symantec的其他保安建議就更重要,當中包括:
- 保證在提款機附近或提款中心有足夠的保安設施,例如閉路電視
- 鎖起系統的BIOS,以防止有人用其他媒體(例如USB或CD ROM)等控制系統
- 使用全碟加密,以防有人更改硬碟的設定
最後當然就是建議大家使用他們的Symantec Data Center Security: Server Advanced啦。
[ via Gizmodo ]
FYI, most major bank in HK should be addressed this issue with hardware guard to the whole ATM with CCTV.
And some of them will setup white list authority program to ensure malware couldn’t executed.
In additional, application hack isn’t that easy as Symantec’s thought.