Sahte yönetici hesapları oluşturan saldırganlar tarafından sülük Bitcoin ATM'leri

Şirketin ana web sitesini ziyaret ettiğinizde bunu bilemezsiniz, ancak Bitcoin ATM'leri satan bir Çek şirketi olan General Bytes, kullanıcılarını çağırıyor için para tüketen kritik bir hatayı düzeltin sunucu yazılımında.

Şirket, özelliklerine ve görünümüne bağlı olarak 13,000 $ ve üzeri fiyatlara perakende satış yapan 5000'den fazla ATM'nin dünya çapında satışını talep ediyor.

Tüm ülkeler kripto para ATM'lerine karşı nazik davranmadı – örneğin Birleşik Krallık düzenleyicisi, Mart 2022'de uyarıldı o sırada ülkede faaliyet gösteren ATM'lerin hiçbirinin resmi olarak tescil edilmediğini ve “makinelerin kapatılması talimatını veren operatörlerle iletişime geçilmesi”.

O sırada yerel kripto ATM'mizi kontrol etmeye gittik ve “Terminal çevrimdışı” mesajı görüntülendiğini gördük. (Cihaz o zamandan beri kurulduğu alışveriş merkezinden kaldırılmıştır.)

Yine de General Bytes, 140'tan fazla ülkede müşterilerine hizmet verdiğini ve ATM konumlarının küresel haritasının Antarktika hariç her kıtada varlığını gösterdiğini söylüyor.

Güvenlik olayı bildirildi

General Bytes ürün bilgi tabanına göre, önem düzeyinde bir "güvenlik olayı" En yüksek oldu geçen hafta keşfedildi.

Şirketin kendi sözleriyle:

Saldırgan, sunucuda varsayılan kurulum ve ilk yönetici kullanıcıyı oluşturmak için kullanılan sayfada bir URL çağrısı ile CAS yönetim arayüzü üzerinden uzaktan bir yönetici kullanıcı oluşturabildi.

Anlayabildiğimiz kadarıyla, CAS için kısa Madeni Para ATM Sunucusuve General Bytes kripto para ATM'lerinin her operatörünün bunlardan birine ihtiyacı vardır.

Görünüşe göre kendi sunucu odanızdaki kendi donanımınız da dahil olmak üzere CAS'ınızı istediğiniz yerde barındırabilirsiniz, ancak General Bytes'ın düşük maliyetli bir bulut çözümü için barındırma şirketi Digital Ocean ile özel bir anlaşması var. (Ayrıca, tüm nakit işlemlerde %0.5'lik bir kesinti karşılığında General Bytes'ın sunucuyu sizin için bulutta çalıştırmasına izin verebilirsiniz.)

Olay raporuna göre, saldırganlar, potansiyel kurbanların bir listesini bulmak için kendilerini General Bytes CAS sunucuları olarak tanımlayan dinleme web servislerini (7777 veya 443 numaralı bağlantı noktaları) arayan Digital Ocean'ın bulut hizmetlerinde bir bağlantı noktası taraması gerçekleştirdi.

Burada yararlanılan güvenlik açığının Digital Ocean ile sınırlı olmadığını veya bulut tabanlı CAS örnekleriyle sınırlı olmadığını unutmayın. Saldırganların Dijital Okyanus'un aramaya başlamak için iyi bir yer olduğuna karar verdiğini tahmin ediyoruz. Çok yüksek hızlı bir internet bağlantısıyla (örneğin 10Gbit/sn) ve özgürce kullanılabilen yazılımları kullanarak, kararlı saldırganların artık tüm IPv4 internet adres alanını saatler, hatta dakikalar içinde tarayabileceğini unutmayın. Shodan ve Censys gibi genel güvenlik açığı arama motorları bu şekilde çalışır ve hangi sunucuların ve hangi sürümlerin şu anda hangi çevrimiçi konumlarda etkin olduğunu keşfetmek için sürekli olarak internette gezinirler.

Görünüşe göre, CAS'ın kendisindeki bir güvenlik açığı, saldırganların kurbanın kripto para birimi hizmetlerinin ayarlarını değiştirmesine izin verdi:

• Yeni bir kullanıcı ekleme yönetici ayrıcalıkları ile.
• Bu yeni yönetici hesabını kullanma Mevcut ATM'leri yeniden yapılandırmak için.
• Tüm geçersiz ödemeleri yönlendirme kendi cüzdanına.

Gördüğümüz kadarıyla bu, yapılan saldırıların müşterinin hata yaptığı transferler veya para çekme işlemleri ile sınırlı olduğu anlamına geliyor.

Bu gibi durumlarda, yanlış yönlendirilen fonları daha sonra geri ödenmek veya doğru bir şekilde yeniden yönlendirilebilmek için ATM operatörünün toplaması yerine…

…fonlar doğrudan ve geri dönüşü olmayan bir şekilde saldırganlara gidecekti.

General Bytes, bu kusurun nasıl dikkat çektiğini söylemedi, ancak başarısız bir işlemle ilgili bir destek çağrısıyla karşılaşan herhangi bir ATM operatörünün, hizmet ayarlarının kurcalandığını hemen fark edeceğini ve alarmı vereceğini düşünüyoruz.

Uzlaşma Göstergeleri

Saldırganlar, görünüşe göre, General Bytes'ın çok sayıda sözde saldırganı tanımlayabilmesi için, faaliyetlerinin çeşitli açıklayıcı işaretlerini geride bıraktılar. Uzlaşma Göstergeleri (IoC'ler), kullanıcılarının saldırıya uğramış CAS yapılandırmalarını tanımlamasına yardımcı olur.

(Tabii ki, IoC'lerin yokluğunun herhangi bir saldırganın olmadığını garanti etmediğini unutmayın, ancak bilinen IoC'ler, tehdit algılama ve müdahale söz konusu olduğunda başlamak için kullanışlı bir yerdir.)

Neyse ki, belki de bu istismarın, saldırganların doğrudan ATM'leri boşaltmasına izin vermek yerine geçersiz ödemelere dayanması nedeniyle, bu olaydaki genel mali kayıplar, Multi milyon dolar tutarları genellikle ilişkili ile kripto para hataları.

General Bytes dün [2022-08-22] iddia etti. “[i]olay Çek Polisine bildirildi. Geri bildirimlerine göre ATM operatörlerine verilen toplam hasar 16,000 ABD Dolarıdır.”

Şirket ayrıca müşterileri adına yönettiği tüm ATM'leri otomatik olarak devre dışı bırakarak, bu müşterilerin ATM cihazlarını yeniden etkinleştirmeden önce giriş yapmalarını ve kendi ayarlarını gözden geçirmelerini istedi.

Ne yapalım?

Genel Bayt bir listeledi 11 adımlı süreç müşterilerinin bu sorunu gidermek için uyması gereken aşağıdakiler dahil:

• Yama CAS sunucusu.
• Güvenlik duvarı ayarlarını gözden geçirme mümkün olduğunca az ağ kullanıcısına erişimi kısıtlamak için.
• ATM terminallerini devre dışı bırakma Böylece sunucu gözden geçirilmek üzere tekrar açılabilir.
• Tüm ayarları gözden geçirme, eklenmiş olabilecek tüm sahte terminaller dahil.
• Terminalleri yeniden etkinleştirme yalnızca tüm tehdit avı adımlarını tamamladıktan sonra.

Bu saldırı, bu arada, çağdaş tehdit yanıtının neden güçlü bir hatırlatıcıdır? sadece delikleri yamalamak ve kötü amaçlı yazılımları kaldırmakla ilgili değildir.

Bu durumda, suçlular herhangi bir kötü amaçlı yazılım yerleştirmediler: saldırı, temeldeki işletim sistemi ve sunucu yazılımına dokunulmadan yalnızca kötü niyetli yapılandırma değişiklikleriyle düzenlendi.

Yeterli zaman veya personel yok mu?
Hakkında daha fazla bilgi alın Sophos Tarafından Yönetilen Tespit ve Müdahale:
24/7 tehdit avı, tespiti ve müdahalesi  ▶

---

aracılığıyla hayal edilen Bitcoins'in öne çıkan görüntüsü Lisansı kaldır.