Jak okraść bankomat? Grupa zgarnęła blisko 7 mln zł

Luka 0-day w oprogramowaniu bankomatów General Bytes Bitcoin pozwoliła hakerom ukraść aktywa o wartości około 1,6 miliona dolarów. Poszkodowana firma poinformowała, że podczas włamania przestępcy wykorzystali exploit w głównym interfejsie usługi terminali, co pozwoliło im na zdalne przesłanie złośliwej aplikację Java. Narzędzia do analizy łańcucha ujawniły, że zaginęło 56,283 BTC, 21,823 ETH i 1219,183 LTC.

Jak doszło do ataku?

Incydent miał miejsce w nocy z 17 na 18 marca 2023 roku. Raport zespołu do spraw cyberbezpieczeństwa firmy General Bytes podaje, że hakerzy

przeskanowali przestrzeń adresową IP w chmurze Digital Ocean i zidentyfikowali działające usługi CAS w portach 7741, w tym usługę General Bytes Cloud i innych operatorów bankomatów GB obsługujących swoje serwery w Digital Ocean.

Dzięki exploitowi cyberprzestępcy otrzymali między innymi pełny dostęp do bazy danych poszkodowanej firmy oraz możliwości:

• odczytywania i odszyfrowywania gorących portfeli oraz wymiany kluczy API,
• wyłączania uwierzytelniania dwuskładnikowego (2FA),
• uzyskania poświadczenia użytkownika (nazwy użytkownika i jego hasła),
• przelewania środków z gorących portfeli użytkowników,
• dostępu do dzienników zdarzeń terminala,
• dostępu do starych dzienników zawierających skanowanie prywatnych kluczy użytkowników.

Wykorzystując tę lukę w zabezpieczeniach, hakerzy przesłali własną złośliwą aplikację bezpośrednio na serwer używany przez interfejs administratora. Serwer aplikacji został domyślnie skonfigurowany do uruchamiania aplikacji w swoim folderze wdrażania.

– powiedział pracownik General Bytes Bitcoin

Od 2021 roku General Bytes Bitcoin przeprowadził kilka audytów bezpieczeństwa, jednak wykorzystana przez hakerów luka jakoś im umknęła.

Co zrobiła firma General Bytes Bitcoin?

W swoim raporcie General Bytes Bitcoin zawarł szczegółowe informacje, które mają pomogą operatorom ustalić, czy ich serwer został naruszony. Firma wzywa również wszystkich swoich operatorów do tego, aby:

• zmienili wszystkie hasła swoich użytkowników,
• unieważnili stare klucze API i wygenerowali nowe,
• traktowali hasła CAS (krypto-bankomat) wszystkich użytkowników tak, jakby zostały naruszone,
• korzystali z zapór ogniowych i sieci VPN, aby chronić CAS i terminale.

Exploity typu 0-day są często wykorzystywane przez cyberprzestępców. Hakerzy doskonale zdają sobie sprawę z tego, że bardzo trudno podczas testów znaleźć wszystkie luki i większość nowych aplikacji zawiera wiele błędów, które mogą pozwolić na skuteczne włamanie do infrastruktury sieciowej danej firmy. Zasadniczo w momencie oddania aplikacji do użytku publicznego rozpoczyna się wyścig między hakerami i specjalistami do spraw cyberbezpieczeństwa o to, kto pierwszy znajdzie exploity.

– powiedział Mariusz Politowicz z firmy Marken, dystrybutora oprogramowania Bitdefender