کریکن سیکیورٹی لیبز عام طور پر استعمال ہونے والے بٹ کوائن اے ٹی ایم میں کمزوریوں کی نشاندہی کرتی ہے۔

Bitcoin ATMs صارفین کے لیے کرپٹو کرنسی خریدنے کا ایک آسان اور دوستانہ طریقہ پیش کرتے ہیں۔ استعمال میں یہ آسانی کبھی کبھی سیکورٹی کی قیمت پر آ سکتی ہے۔

کریکن سیکیورٹی لیبز نے عام طور پر استعمال ہونے والی کریپٹو کرنسی اے ٹی ایم: دی جنرل بائٹس بی اے ٹی ایم ٹو (جی بی بی اے ٹی ایم 2) میں متعدد ہارڈ ویئر اور سافٹ ویئر کی کمزوریوں کا پردہ فاش کیا ہے۔ پہلے سے طے شدہ انتظامی QR کوڈ، اینڈرائیڈ آپریٹنگ سوفٹ ویئر، اے ٹی ایم مینجمنٹ سسٹم اور یہاں تک کہ مشین کے ہارڈ ویئر کیس کے ذریعے متعدد اٹیک ویکٹرز پائے گئے۔

ہماری ٹیم نے پایا کہ اے ٹی ایم کی ایک بڑی تعداد اسی ڈیفالٹ ایڈمن QR کوڈ کے ساتھ ترتیب دی گئی ہے، جس سے یہ QR کوڈ کسی کو بھی ATM تک جانے اور اس سے سمجھوتہ کرنے کی اجازت دیتا ہے۔ ہماری ٹیم کو محفوظ بوٹ میکانزم کی کمی کے ساتھ ساتھ ATM مینجمنٹ سسٹم میں اہم کمزوریاں بھی نظر آئیں۔

جب ہم کرپٹو ہارڈویئر کی کمزوریوں کا پردہ فاش کرتے ہیں تو کریکن سیکیورٹی لیبز کے دو مقاصد ہوتے ہیں: ممکنہ سیکیورٹی خامیوں کے بارے میں صارفین کے لیے بیداری پیدا کرنا اور پروڈکٹ مینوفیکچررز کو آگاہ کرنا تاکہ وہ اس مسئلے کا تدارک کرسکیں۔ کریکن سیکیورٹی لیبز نے 20 اپریل 2021 کو جنرل بائٹس کو کمزوریوں کی اطلاع دی، انہوں نے اپنے بیک اینڈ سسٹم (CAS) پر پیچ جاری کیے اور اپنے صارفین کو متنبہ کیا، لیکن کچھ مسائل کے مکمل حل کے لیے اب بھی ہارڈ ویئر پر نظرثانی کی ضرورت پڑ سکتی ہے۔  

ذیل کی ویڈیو میں، ہم مختصراً یہ ظاہر کرتے ہیں کہ کس طرح بدنیتی پر مبنی حملہ آور جنرل بائٹس BATMtwo cryptocurrency ATM میں موجود کمزوریوں سے فائدہ اٹھا سکتے ہیں۔ 

پڑھ کر، کریکن سیکیورٹی لیبز ان سیکیورٹی خطرات کی صحیح نوعیت کا خاکہ پیش کرتی ہیں تاکہ آپ کو بہتر طور پر یہ سمجھنے میں مدد ملے کہ آپ کو ان مشینوں کو استعمال کرنے سے پہلے احتیاط کیوں کرنی چاہیے۔ 

اس سے پہلے کہ آپ کرپٹو کرنسی اے ٹی ایم استعمال کریں۔ 

1. صرف ان جگہوں اور اسٹورز میں کرپٹو کرنسی اے ٹی ایم استعمال کریں جن پر آپ اعتماد کرتے ہیں۔ 
2. اس بات کو یقینی بنائیں کہ اے ٹی ایم میں پریمیٹر پروٹیکشنز ہیں، جیسے کہ نگرانی کے کیمرے، اور یہ کہ اے ٹی ایم تک ناقابل شناخت رسائی کا امکان نہیں ہے۔

اگر آپ BATMs کے مالک ہیں یا آپریٹ کرتے ہیں۔

1. اگر آپ نے ابتدائی سیٹ اپ کے دوران ایسا نہیں کیا تو ڈیفالٹ QR ایڈمن کوڈ کو تبدیل کریں۔ 
2. اپنے CAS سرور کو اپ ڈیٹ کریں اور جنرل بائٹس کے بہترین طریقوں پر عمل کریں۔
3. اے ٹی ایم کو حفاظتی کنٹرول والے مقامات پر رکھیں، جیسے کہ نگرانی والے کیمرے۔

ان سب پر حکمرانی کے لیے ایک QR کوڈ

ایک QR کوڈ کو اسکین کرنا ہی بہت سارے BATMs پر قبضہ کرنے میں لیتا ہے۔

جب کسی مالک کو GBBATM2 موصول ہوتا ہے، تو انہیں ہدایت کی جاتی ہے کہ وہ ATM کو "انتظامی کلید" QR-code کے ساتھ ترتیب دیں جسے ATM پر اسکین کیا جانا چاہیے۔ پاس ورڈ پر مشتمل QR کوڈ کو بیک اینڈ سسٹم میں ہر ATM کے لیے الگ سے سیٹ کیا جانا چاہیے:

تاہم، ایڈمن انٹرفیس کے پیچھے موجود کوڈ کا جائزہ لیتے وقت، ہم نے پایا کہ اس میں ڈیفالٹ فیکٹری سیٹنگ ایڈمنسٹریشن کلید کا ایک ہیش ہے۔ ہم نے مختلف ذرائع سے متعدد استعمال شدہ اے ٹی ایم خریدے اور ہماری تحقیقات سے پتا چلا کہ ہر ایک کی کلیدی ترتیب ایک جیسی تھی۔

اس کا مطلب ہے کہ GBBATM2 مالکان کی ایک قابل ذکر تعداد ڈیفالٹ ایڈمن QR کوڈ کو تبدیل نہیں کر رہی تھی۔ ہماری جانچ کے وقت، ایڈمنسٹریشن کلید کے لیے کوئی بیڑے کا انتظام نہیں تھا، یعنی ہر QR کوڈ کو دستی طور پر تبدیل کیا جانا چاہیے۔ 

لہذا، کوئی بھی انتظامیہ کے انٹرفیس کے ذریعے صرف اے ٹی ایم کے انتظامی سرور کا پتہ تبدیل کر کے اے ٹی ایم پر قبضہ کر سکتا ہے۔ 

ہارڈ ویئر

کوئی کمپارٹمنٹلائزیشن اور چھیڑ چھاڑ کا پتہ نہیں۔

GBBATM2 میں صرف ایک ہی کمپارٹمنٹ ہوتا ہے جو ایک واحد نلی نما تالا سے محفوظ ہوتا ہے۔ اسے نظرانداز کرنے سے ڈیوائس کے مکمل انٹرنل تک براہ راست رسائی حاصل ہوتی ہے۔ اس سے کیش باکس کی جگہ لینے والے شخص پر بھی اہم اضافی اعتماد ہوتا ہے، کیونکہ ان کے لیے ڈیوائس کو بیک ڈور کرنا آسان ہے۔

ڈیوائس میں کوئی مقامی یا سرور سائڈ الارم نہیں ہے تاکہ دوسروں کو آگاہ کیا جا سکے کہ اندرونی اجزاء بے نقاب ہو گئے ہیں۔ اس مقام پر، حملہ آور کیش باکس، ایمبیڈڈ کمپیوٹر، ویب کیم اور فنگر پرنٹ ریڈر سے سمجھوتہ کر سکتا ہے۔

سافٹ ویئر

Android OS کا ناکافی لاک ڈاؤن

BATMtwo کے اینڈرائیڈ آپریٹنگ سسٹم میں بہت سے عام سیکیورٹی فیچرز کا بھی فقدان ہے۔ ہم نے پایا کہ BATM کے ساتھ USB کی بورڈ منسلک کرنے سے، مکمل Android UI تک براہ راست رسائی حاصل کرنا ممکن ہے – کسی کو بھی ایپلیکیشنز انسٹال کرنے، فائلوں کو کاپی کرنے یا دیگر بدنیتی پر مبنی سرگرمیاں کرنے کی اجازت دینا (جیسے حملہ آور کو پرائیویٹ کیز بھیجنا)۔ اینڈرائیڈ ایک "کیوسک موڈ" کو سپورٹ کرتا ہے جو UI کو ایک ہی ایپلیکیشن میں لاک کر دے گا - جو کسی شخص کو سافٹ ویئر کے دیگر شعبوں تک رسائی سے روک سکتا ہے، تاہم یہ ATM پر فعال نہیں تھا۔

کوئی فرم ویئر/سافٹ ویئر تصدیق نہیں ہے۔

BATMtwo ایک NXP i.MX6 پر مبنی ایمبیڈڈ کمپیوٹر پر مشتمل ہے۔ ہماری ٹیم نے پایا کہ BATMtwo پروسیسر کی محفوظ بوٹ فعالیت کا استعمال نہیں کرتا ہے، اور یہ کہ USB کیبل کو کیریئر بورڈ پر ایک پورٹ میں لگا کر اور بٹن کو دبائے ہوئے کمپیوٹر کو آن کر کے اسے دوبارہ پروگرام کیا جا سکتا ہے۔

اس کے علاوہ، ہم نے پایا کہ ڈیوائس کا بوٹ لوڈر غیر مقفل ہے: بوٹ لوڈر تک مراعات یافتہ رسائی حاصل کرنے کے لیے صرف سیریل اڈاپٹر کو ڈیوائس پر UART پورٹ سے جوڑنا کافی ہے۔ 

واضح رہے کہ بہت سارے i.MX6 پروسیسرز کا محفوظ بوٹ عمل ہے۔ خطرے سے دوچار ایک حملے کے لیے، تاہم نئے پروسیسر جس میں کمزوری کے ساتھ پیچ کیا گیا ہے مارکیٹ میں ہیں (حالانکہ عالمی سطح پر چپ کی کمی کے پیش نظر ان میں دستیابی کی کمی ہو سکتی ہے)۔

اے ٹی ایم بیک اینڈ میں جعلسازی کے تحفظ کی کوئی کراس سائٹ درخواست نہیں ہے۔

BATM ATMs کا انتظام ایک "Crypto Application Server" کے ذریعے کیا جاتا ہے – ایک مینجمنٹ سوفٹ ویئر جسے آپریٹر کے ذریعے ہوسٹ کیا جا سکتا ہے، یا SaaS کے بطور لائسنس یافتہ۔

ہماری ٹیم نے پایا کہ CAS کسی بھی چیز پر عمل درآمد نہیں کرتا ہے۔ کراس سائٹ کی درخواست جعلسازی تحفظات، حملہ آور کے لیے CAS کو تصدیق شدہ درخواستیں تیار کرنا ممکن بناتا ہے۔ اگرچہ زیادہ تر اختتامی نقطوں کو IDs کا اندازہ لگانا بہت مشکل سے کسی حد تک محفوظ کیا جاتا ہے، ہم متعدد CSRF ویکٹرز کی شناخت کرنے میں کامیاب ہو گئے جو CAS کے ساتھ کامیابی سے سمجھوتہ کر سکتے ہیں۔

احتیاط کا استعمال کریں اور متبادل تلاش کریں۔

BATM cryptocurrency ATMs لوگوں کے لیے ڈیجیٹل اثاثے خریدنے کا ایک آسان متبادل ثابت ہوتے ہیں۔ تاہم، ان مشینوں کی سیکیورٹی ان کے ہارڈ ویئر اور سافٹ ویئر دونوں میں معلوم کارناموں کی وجہ سے سوالیہ نشان ہے۔ 

کریکن سیکیورٹی لیبز تجویز کرتی ہے کہ آپ صرف اس جگہ پر BATMtwo استعمال کریں جس پر آپ کو اعتماد ہو۔ 

باہر چیک کریں ہماری آن لائن سیکیورٹی گائیڈ کرپٹو لین دین کرتے وقت اپنے آپ کو کیسے بچایا جائے اس بارے میں مزید جاننے کے لیے۔

ماخذ: https://blog.kraken.com/post/11263/kraken-security-labs-identifies-vulnerabilities-in-commonly-used-bitcoin-atm/