Анализ защищенности терминалов общего пользования

2 апреля 2015 г., 21:21:21
Упомянутые аппараты

Анализ защищенности терминалов общего пользования


Игра Watch Dogs прекрасно описывает недалекое будущее: вокруг всевозможные девайсы, средства выдачи и приема наличных, а также разнообразные имеющие доступ в интернет устройства, нашпигованные уязвимостями, эксплуатация которых позволяет хакеру извлечь определенную выгоду. Например, в игре главный герой при помощи смартфона может скомпрометировать систему видеонаблюдения, получив тем самым возможности вести слежку и добывать дополнительную информацию.

Фанаты Watch Dogs разошлись во мнениях: кто-то говорит, что это слишком «утопично» — достать смартфон и ломать все вокруг. Другие осознают, что «сказка — ложь, да в ней намек» и игровой мир отчасти отражает реальный.

Мы попробуем выдвинуть еще немного аргументов в пользу того, что окружающие нас устройства, которые мы едва замечаем в парках и общественных местах, могут оказаться уязвимыми и нести опасность — как минимум для нашего кошелька.

Терминальные терминаторы


Число публичных устройств, которые ждут своего героя из компьютерной игры, зашкаливает. Парки и улицы пестрят терминалами оплаты парковки всевозможных средств перемещения и уютными «будками» быстрой подзарядки мобильного девайса. Аэропорты и вокзалы предлагают различные устройства оплаты билетов и получения справочной информации. В кинотеатрах находятся терминалы покупки и бронирования билетов на киносеансы. В поликлиниках и государственных учреждениях посетителей встречают устройства электронных очередей и печати каких-нибудь квитанций. Даже туалеты оснащаются терминалами оплаты. Правда, пентестить последние девайсы вряд ли кто-нибудь будет — духу не хватит :).

Анализ защищенности терминалов общего пользования


Анализ защищенности терминалов общего пользования


Однако жизнь учит разработчиков подобных устройств тому, что не все их пользователи касаются тачскринов с благими намерениями. Если ввести в Google запрос вида terminal hacked, то получим много релевантных видео, на которых главные герои раскладывают пасьянс на том или ином терминале или же рисуют всякие непристойности в Paint. Причиной этого могут быть различные баги в приложениях терминала, и часто они носят схожий принцип эксплуатации.

Анализ защищенности терминалов общего пользования


Так, на одном из видео участник удерживает свой палец на экране около десяти секунд, и это приводит к результату «нажатие правой кнопкой мышки». На другом ребята беспорядочно тыкают в левый нижний угол экрана — и полноэкранное приложение сворачивается. Кто-то вообще додумался закрыть ладонью GSM-антенну терминала и таким образом спровоцировать выпадение ошибки подключения.

Анализ защищенности терминалов общего пользования


Из случаев компрометации подобных устройств наиболее интересен инцидент, произошедший с терминалами оплаты одного известного вендора электронных платежей. Злоумышленник в поле ввода назначения платежа при помощи виртуальной экранной клавиатуры приложения, которая доступна в интерфейсе платежной системы, вводил строку «last_page=StyleSheet.css». В качестве обработчика для файла с данным расширением открывался notepad.exe, который через свою систему справки позволял злодею перебраться в системную панель управления и запустить виртуальную клавиатуру операционной системы.

Анализ защищенности терминалов общего пользования


Методика анализа защищенности терминалов общего пользования


Опираясь на такие видео и печальный опыт вендоров, можно составить несложную методику анализа защищенности устройств данного типа.

Анализ защищенности терминалов общего пользования


Наша задача: имея на руках полноэкранное приложение, которое, скорее всего, функционирует на базе операционной системы , выйти за его пределы в системное окружение. Для этого можно использовать так называемый Tap-fuzzing. По-другому говоря — поработать пальчиками. Нажимать на различные участки приложения с целью спровоцировать его недокументированное поведение. Или можно воспользоваться Data-fuzzing и подставлять различные данные в поля ввода с целью спровоцировать некорректную обработку входящих данных.

Как только удается вызвать элемент стандартного интерфейса операционной системы, следующим этапом будет попадание в панель управления — например, через разделы справочной информации.

Попадание в панель управления будет отправной точкой для запуска виртуальной клавиатуры с соответствующими последствиями.

Транспортная ситуация


Жители Москвы все чаще могут встретить в парках своего города велосипедные паркоматы. Суть этих устройств довольно проста: имеется платежный терминал для оплаты велосипеда и стойка с велосипедами. Устройством вывода в платежном терминале служит дисплей, где пользователь может зарегистрироваться, чтобы прокатиться на велосипеде, и получить справочную информацию.

Интерфейс системы спроектирован специально для этого типа устройств (если ты хоть раз оплачивал что-либо в платежных терминалах, то представляешь, о чем речь), и в нем трудно запутаться. В этом интерфейсе у пользователя есть возможность получить текущее местоположение паркомата, а точнее, увидеть отметку на Google-карте.

Все подобные устройства работают на базе классических операционных систем (чаще Windows-подобных) со всеми их уязвимостями.

Однако специализированный интерфейс представляет собой полноэкранное приложение с очень ограниченным функционалом, которое не дает пользователю забраться «под капот» и умышленно или непреднамеренно натворить глупостей. Соответственно, при анализе защищенности терминалов основная задача — выйти за пределы данного полноэкранного приложения. После этого можно будет пошалить: запускать свои приложения, поднимать привилегии, дампить ценную информацию и прочее.

В рассмотренных системах паркоматов обнаружена интересная особенность. В разделе «Карты» разработчики не стали придумывать ничего нового и использовали карты от компании Google. И все было бы прилично, если бы только виджет от Гугла не имел строки статусбара, в котором среди прочей информации (текущий масштаб, копирайты и так далее) содержатся ссылки «Сообщить об ошибке», «Конфиденциальность» и «Условия использования», которые открывают стандартное окно Internet Explorer…

Анализ защищенности терминалов общего пользования


А давай прокатимся!


Помимо описанной ссылки, в данном приложении незаметно разбросаны и другие линки (например, при показе тех или иных ресторанов можно нажать кнопку «Подробнее»), нажав на которые можно открыть браузер.

Анализ защищенности терминалов общего пользования


«И что? Ну, открыл я браузер — клавиатуры ведь все равно нет!» Сейчас будет: по ссылкам на страницах со справочной информацией есть возможность перейти в раздел справки, который называется «Специальные возможности», где и прячется виртуальная клавиатура (вот еще один неприятный минус ).

Анализ защищенности терминалов общего пользования


Дальше все зависит от фантазии и степени наглости атакующего. Запуск cmd.exe демонстрирует еще один недостаток конфигурации: текущий сеанс операционной системы запущен с привилегиями администратора, а это значит, что мы потенциально можем скачать и совершенно беспрепятственно запустить любое приложение.

Анализ защищенности терминалов общего пользования


Так, атакующий может получить NTLM-хеш пароля администратора. При этом велика вероятность, что пароль, установленный на данном устройстве, подходит и к остальным устройствам данного типа, — а это уже третий недостаток конфигурации.

На этом приключение заканчивается, поэтому давай порассуждаем, что из всего этого может извлечь злоумышленник.

Терминалы государственных учреждений


Под государственными учреждениями мы будем понимать те, которые находятся в зданиях, имеющих герб или российский флаг. Без конкретики и упоминания производителей, но по сути :).

Итак, перед нами интерфейс полноэкранного приложения, которое на основе введенных нами данных предлагает распечатать квитанцию для оплаты.

Анализ защищенности терминалов общего пользования


После заполнения всех полей и реквизитов мы нажимаем кнопку «Создать» и наблюдаем следующую картину: терминал на несколько секунд открывает стандартное окно печати, в котором находятся все параметры печати нашего документа и автоматически производится нажатие на кнопку «Печать».

Анализ защищенности терминалов общего пользования


Как следствие, если злоумышленник успевает нажать на кнопку «Изменить», то получает возможность посредством нехитрых манипуляций с параметрами печати выйти в справочный раздел…

Вайтхеты засыпают, блекхеты просыпаются


Сценарии постэксплуатации вытекают из особенностей данных устройств:

  • Все они расположены в публичных местах.
  • Доступны в режиме 24/7.
  • Имеют одинаковую конфигурацию.
  • Имеют повышенную степень доверия со стороны пользователя.
  • Связаны друг с другом и могут иметь выходы в другие «приватные» сети.


Главная цель злоумышленника — прямая или косвенная финансовая выгода в результате компрометации устройства. В данном случае для достижения этой цели он может раздобыть не просто NTLM-хеш, который еще нужно брутфорсить для получения пароля, а сразу пароль администратора. Для этого атакующий может извлечь пароли в открытом виде, хранящиеся в памяти. Кстати, последняя версия утилиты WCE теперь может не только дампить пароли внедрением кода в процесс lsass.exe, а напрямую читать память в рамках текущей сессии.

Добавим сюда поддержку Windows 7, на базе которой работают паркоматы, и получим «ключ» сразу ко всем устройствам данного вендора.

Анализ защищенности терминалов общего пользования


Кроме того, злоумышленник может получить дамп приложения велопарковки, которое любезно собирает информацию о желающих покататься: ФИО, адрес электронной почты и телефон. Не исключено, что база данных с важной информацией хранится где-то неподалеку. Не стоит объяснять, что такая база будет иметь особую ценность на рынке, ведь в ней содержатся верифицированные адреса телефонов и email. В том случае, если же подобной базы нет, злодей может установить свой кейлоггер, который перехватывает все введенные пользователями данные и отправляет на удаленный сервер.

Учитывая одну из особенностей данных устройств — работу в режиме 24/7, можно организовать, например, пул для майнинга или использовать ее в других хакерских целях, требующих круглосуточного присутствия зараженной рабочей станции в сети.

Особо наглые злоумышленники могут реализовать сценарий атаки, результатом которой станет получение платежных данных пользователя: на главном окне приложения паркомата можно в ненавязчивой форме оставить поле для ввода реквизитов пластиковой карты, и с большой долей вероятности введенный в заблуждение пользователь любезно оставит их вместе со своим именем, номером телефона и электронной почтой…

Обилие сценариев, которые открывают возможности для доступа к персональным данным и кошельку ни о чем не подозревающих людей, ограничивается лишь фантазией злоумышленников. Описанная ситуация с защищенностью паркоматов наглядно демонстрирует, как несколько недостатков конфигурации образуют уязвимость.

Кроме того, скомпрометированный терминал может стать отправной точкой для дальнейшей атаки на корпоративную сеть. Очень часто подобные устройства обращаются к терминальному серверу или целой подсети, которая находится в доверенной зоне компании, а значит, небольшая таргетированная атака, использующая вредоносное ПО и/или социальную инженерию, может позволить злоумышленнику оказаться в главном офисе. Без стука.

Анализ защищенности терминалов общего пользования


Рекомендации


Проведенный нами анализ защищенности паркоматов демонстрирует, как несколько недостатков конфигурации делают устройство уязвимым. А приведенные сценарии атак — как это может открыть злоумышленникам доступ к персональным данным и кошелькам ни о чем не подозревающих людей.

Для того чтобы исключить вредоносную активность на публичных устройствах, разработчикам и администраторам терминалов велопарковки и других терминалов, расположенных в публичных местах, мы рекомендуем:

  • Запретить возможность открывать внешние ссылки в полноэкранном приложении.
  • Не допускать вызова каких-либо элементов интерфейса ОС Windows (например, правой кнопкой мыши, используя окна печати документов).
  • Запускать текущий сеанс операционной системы с ограниченными привилегиями обычного пользователя.
  • На каждом устройстве создавать уникальную учетную запись с уникальным паролем.


Пользователям платежных терминалов мы рекомендуем не вводить полные реквизиты своих платежных карт. Ни в коем случае нельзя вводить CVV2/CVC2-номер карты, они не требуются для осуществления платежа. Не следует пренебрегать и возможностью оплатить в терминале услугу наличными.

Анализ защищенности терминалов общего пользования


Впервые опубликовано в журнале «Хакер» от 12/2014.

Подпишись на «Хакер»


Обзор планшета Apple iPad Air
Обзор планшета Apple iPad Air Цена и наличие:http://rozetka.com.ua/apple_ipad_air_wi_fi_space_gray_16gb/p337905/ Видеообзор планшета Apple iPad Air Смотреть обзоры других планшетов: https://www.youtube.com/playlist?list=PLDC91D9943905F4F7 Все планшеты Apple: http://rozetka.com.ua/tablets/apple/c130309/v069/ Присоединяйтесь к нам в соцсетях! ВКонтакте: http://vk.com/club20877147 Facebook: http://facebook.com/rozetka.ua Google+: https://plus.google.com/+rozetka/ Twitter: https://twitter.com/rozetka_news Читайте наши новости и советы по выбору! http://rozetka.com.ua/news-articles-promotions/ PT9M16S

Похожие новости

16 февраля 2016 г., 0:23:57 samsung-ativ-se1

Компании Microsoft и Samsung молчат о выпуске обновления до Windows 10 Mobile для смартфонов серии ATIV, что породило слухи, будто эти устройства не будут обновлены и навсегда останутся с Windows Phone 8.1. Один пользователей форума Reddit поделился довольно интересной историей, связанной со смартфоном...

15 февраля 2016 г., 16:10:39 EdgeUpdate_Main_1.5

Компания Samsung анонсировала обновление Android 6.0.1 для Galaxy S6 edge и S6 edge+, которое приносит не только только свежую ОС, но и более продвинутые приложения для изогнутого дисплея. Больше лучше Грани Dual Edge умели работать с приложениями, но эти программы ограничивались шириной 260 пикселей....

12 февраля 2016 г., 19:48:03

Согласно докладам многих пользователей из разных стран, изменение даты на 1 января 1970 года может сделать из вашего iPhone, iPad или iPod touch под управлением iOS 9 или выше нерабочий “кирпич”. Баг в мобильной операционной системе позволяет превратить устройство с процессором A7, A8, A8X, A9 и A9X...

9 февраля 2016 г., 13:32:35 Apple выпустила третью бета-версию iOS 9.3 для разработчиков

Apple недавно выпустила третью бета-версию iOS 9.3 для разработчиков. Это, похоже, предпоследняя сборка для девелоперов, выпущенная до предполагаемого дебюта iOS 9.3 вместе с новым 4-дюймовым iPhone 5SE, iPad Air 3 и обновленными часами Apple Watch в марте. Список улучшений и усовершенствований включает...

8 февраля 2016 г., 17:17:43 iPhone 5s

Apple все-таки убедилась в том, что экран флагманского смартфона должен быть большим. iPhone 6 и iPhone 6s бьют рекорды продаж, а iPhone 6 Plus стал королем фаблетов. Несмотря на это, кажется, многие все еще хотят использовать компактное устройство. Apple ведь не просто так решила снова выпустить 4-дюймовый...


Похожие обзоры

25 января 2016 г., 12:35:18

Сегодня у нас в гостях Xiaomi Mi Pad 2 – планшет в металлическом корпусе, оснащенный новым процессором Intel Atom X5-Z8500. Внешне он очень похож на Apple iPad mini, обладает таким же дисплеем с высоким разрешением, но при этом стоит дешевле. В обзоре мы подробно расскажем о его возможностях. ЛинейкаXiaomi...

21 января 2016 г., 0:23:00 Обзор смартфона Meizu MX4 Ubuntu Edition

Слухи о том, что китайская компания Meizu планирует выпустить коммуникатор на базе Ubuntu Touch, появились еще в начале прошлого года. В течении 2014 г. компания периодически демонстрирует прототип устройства на выставках и осенью объявляет, что Meizu MX4 на Ubuntu Touch выйдет в декабре, сообщает некоторые...

20 января 2016 г., 19:45:31 Хабраобзор Highscreen Explosion или недорогого аналога Samsung Galaxy 3

Большинство Android-телефонов, с которыми я имел дело, отвечали простому требованию – максимум функциональности за минимум денег. Поэтому, когда появилась возможность пощупать вроде как аналог Samsung Galaxy S3, при этом стоимостью всего 13 тысяч (на самом деле 12990, но это маркетинговые уловки), я...

20 января 2016 г., 19:45:20

Недели две назад мне прислали на тест коммуникатор Highscreen PP5420. Я долго не собирался о нем написать. Но тут мне позвонили и попросили сделать это. Это второй коммуникатор Highscreen, который попал мне в руки. Первый был Zeus.Технические характеристики Операционная система:: Android OS...

20 января 2016 г., 18:56:58 Новинки осени: видеообзор Lumia 830 и Lumia 730 / 735

В сентябре этого года мы показали продолжение нашей новой линейки cмартфонов в лице вице-флагманской модели Lumia 830, а также двух более доступных моделей: Lumia 730 с двумя SIM-картами и Lumia 735 c поддержкой 4G. А уже в начале октября эти устройства вышли в продажу на российском рынке. После московской...


Похожие отзывы

10 ноября 2015 г., 18:23:56 verge-2015-11-06_15-55-52.0

В конце прошлой недели, BlackBerry открыла продажи нового смартфона BlackBerry Priv, первого смартфона, работающего на базе операционной системы Android. Мы опубликовали перевод обзора от наших коллег из CrackBerry, а теперь, вместе с блогом INSIDE BlackBerry предлагаем вам взглянуть на отзывы в прессе...

7 ноября 2015 г., 20:15:56 Blackberry-Priv-G02

Вчера, BlackBerry открыла продажи нового смартфона BlackBerry Priv, первого смартфона, работающего на базе операционной системы Android. Мы опубликовали перевод обзора от наших коллег из CrackBerry, а теперь, вместе с блогом INSIDE BlackBerry предлагаем вам взглянуть на первые отзывы в прессе о запуске...

3 ноября 2015 г., 22:55:25 priv-by-blackberry-slide-out-keyboard

По мере того, как мы приближаемся к тому дню, на который запланирован запуск первого безопасного смартфона BlackBerry на базе Android — BlackBerry PRIV, люди становятся все более взволнованными. И почему бы и нет? Это флагманское устройство, оснащенное всем необходимым для достижения успеха — прекрасным...

12 июня 2015 г., 16:26:05 Apple айфон 5 с отзывы, его характеристики, плюсы и минусы

Apple айфон 5 с отзывы, его характеристики, плюсы и минусы от Артур · Июн 12, 2015 12:12 В данной статье рассмотрим Apple айфон 5 с отзывы, его характеристики, плюсы и минусы. Дизайн, материалы корпуса. Айфон 5 c выглядит красивым и аккуратным. Пластик...

10 июня 2015 г., 19:17:12 otzyivyi-ob-ios-9

В распоряжении пользователей было пару дней, чтобы потестить новую прошивку iOS 9. Кто-то уже сделал это — скачал и установил iOS 9, а кто-то до сих пор сидит в замешательстве и читает отзывы об iOS 9, принимая решение — качать или нет. Вот специально для таких мы и приготовили обзорную статью, в которой...


Похожие инструкции

12 февраля 2016 г., 14:01:02 ustanovka-datyi-1-yanvarya-1970-goda-prevratit-iphone-v-kirpich

Мобильная платформа iOS имеет ряд недоработок. Среди них есть видимые, а также скрытые. Еще одна уязвимость была обнаружена несколькими пользователями ресурса Reddit. Она касается изменения даты на iOS-устройстве, которое может превратить ваш смартфон в кирпич без возможности восстановления. ВНИМАНИЕ!...

7 января 2016 г., 23:31:54 Cydia

Время ожидания непривязанного джейлбрейка iOS 9.1, к сожалению, затянулось. Хакеры до сих пор не обновили эксплоит под версию прошивки iOS 9.1 и выше. Более того, неизвестно, будет ли вообще анонсирован обновленный инструмент. Сомнений, что последние версии мобильного программного обеспечения можно взломать,...

28 декабря 2015 г., 12:53:14 Прошивка Android 6.0.1 Marshmallow beta для Galaxy S5

Отличная новость для всех энтузиастов — владельцев смартфонов Samsung Galaxy. Сегодня в сети оказалась новейшая прошивка Android 6.0.1 Marshmallow для этого смартфона и попала она по «ошибке» в качестве обновления «по воздуху». Разумеется сейчас она уже недоступна для официальной установки, но в сети...

18 декабря 2015 г., 20:33:02 Лучшие кастомные прошивки для Galaxy S6

Пока мы ждем официального обновления Android 6.0 Marshmallow для Galaxy S6, я решил найти на этот гаджет лучшие кастомные прошивки, чтобы скоротать время. Есть много преимуществ использования кастомизированного ПО. Во-первых, это чистый от “мусора” и улучшенный TouchWiz, а во-вторых лучшая автономная...

11 ноября 2015 г., 23:15:21 lg g watch r прошивка

Подробная пошаговая инструкция по установке кастомной прошивки на умные часы LG G Watch R при помощи программы FastBoot. Скачиваем архив Watch.zip, с набором программ для прошивки умных часов LG G Watch R (Если вы вдруг линуксовод — то в стандартных репозиториях имеются пакеты с ADB и Fastboot, Их...

Упомянутые аппараты
vk.com/analogindex_ru
"Analog Index" © 2014 - 2015