HanDs
管理员

Black Hat:黑客演示如何使用EMV卡上的数据在ATM机上提取现金 - 安全客 - 有思想的安全新媒体 





学习中请遵循国家相关法律法规,黑客不作恶。没有网络安全就没有国家安全

本站需要登陆后才能查看

现在,骗子可以使用从EMV卡窃取来的数据, 在几分钟内让自动取款机吐出成千上万的现金,研究人员对此进行了演示。

当EMV(Europay、MasterCard和Visa)刚刚投入使用的时候,绝大多数安全专家都认为它们解决了磁条卡克隆的问题。

EMV芯片卡拥有一个额外的安全保护层,这使得这些卡片比磁条卡安全得多。

但事实上,破解芯片密码卡也不是很复杂,Rapid7的一些研究人员在2016年美国黑帽会议上展示出了这一点。这群专家演示了骗子是如何在15分钟内,从ATM机取出50000美元现金的。

在“Hacking Next-Gen ATMs: From Capture to Washout“这篇文章中,该团队解释说,简单地对设备进行修改后,攻击者就能绕过芯片的密码保护。研究员向观众展示了让一台自动取款机吐出数百美元的现金的方法。

由研究人员带来的这场展示十分惊人,这名黑客强制自动取款机吐出了数百美元的现金。

在第一阶段的攻击中,骗子在ATM读卡机上增加了一个小的Shimmer,这是为了进行中间人攻击(MITM)。

Shimmer是一种可以读取EMV卡片内容的设备,它可以被安装在ATM外部,不需要接触到现金机器的内部。

这种shimmer位于卡的芯片和ATM读卡机之间, 当ATM进行读取时,它能够记录芯片上的数据,包括PIN码。在此阶段,一旦shimmer获取到数据,就会立刻传送给攻击者。在攻击的下一个阶段中,诈骗者会使用智能手机接收偷来的信用卡数据,然后在ATM机内重新创建受害者的卡,并指示机器吐出现金。

这些数据会被远程发送到另一个设备,研究人员称之为“La-Cara” 。

http://p5.qhimg.com/t01de763a5983a9c950.png

攻击所需的设备。

La-Cara在与价值2000美元的组件进行组装后,可以被安置在一台ATM机中,它是一种仿真的EMV卡插入卡槽。Shimmer会将窃取到的数据远程发送给La-Cara设备,然后指示自动取款机从卡中取钱。

Rapid7的安全研究经理Tod Beardsley告诉BBC:“这种攻击对自动取款机的修改只存在于外部。“

“它可以冒充某一张芯片卡,但这种技术并不是克隆。”

这种设备很容易安装,在不需要接触到现金机器内部的情况下,骗子可以迅速地在ATM外安装它。

请注意,EMV中使用的数据让交易时刻处于动态之中,这意味着骗子在很短的时间内 (例如一分钟),就能完成上述步骤。

Rapid 7的研究人员已经向银行和主要的ATM制造商报告了这些信息。


学习中请遵守法律法规,本网站内容均来自于互联网,本网站不负担法律责任
Black Hat 黑客演示如何使用 EMV 卡上的数据在 ATM 机上提取现金 - 安全客 - 有思想的安全新媒体
#1楼
发帖时间:2016-8-8   |   查看数:0   |   回复数:0
游客组
快速回复