黑客破解可让ATM吐钱

在周三的“黑帽子”黑客大会上，杰克在台上演示了两种传说中的“钢蹦儿变大钞”绝技：其中一种绝技可以让任何人解锁ATM机的面板，插入U盘，修改机器的固件指令，控制ATM机，取出现金。另一种方法可以让他通过互联网远程控制机器，甚至可以在用户输入密码时记下***的密码和使用记录，并将其传送到黑客手中。

杰克使用了自己**的“狄林杰”和“斯克鲁奇”工具来演示远程遥控攻击和现场攻击，导致一台机器直接在台上狂吐玩具钞票，显示“JACKPOT”字样并播放音乐。

在演讲前的采访中，杰克告诉我们：“你可以过来看看，不出两秒，钞票就会涌到地板上。”他说，在远程的互联网攻击中，“你根本都不需要碰到ATM机。”

身为网络安全顾问公司IOActive研究总监的杰克并未在演讲中提及具体的ATM制造商，而在台上演示时，两个ATM机模型的品牌商标也被标签纸掩盖上。

但在演示之后的采访中，杰克披露，台上的两台机器分别是Triton牌和Tranax牌，但他也在研究中测试了其他品牌的机器。他认为，由于其实几乎每个机型都很脆弱，单把矛头对准具体的ATM制造商属于无的放矢。“每种类型的ATM机我都研究过了，但我只能拿这两台来说事，”他说，“要知道，把家里搞得乱七八糟，我女朋友不发狂才怪呢，所以我的公寓只能放这么多ATM机。”

大多数ATM机运行Windows XP或Windows CE系统，但杰克发现，漏洞不在于软件系统，而是出在ATM制造商使用的固件上。在现场攻击中，问题则是机身的安全性。

在研究中，杰克将测试器安在了从网店买来的ATM主板上。杰克说：“跟任何东西都一样，点一下‘添加到购物车’就行了。”他告诉好奇的送货员，自己订购了ATM机，以避免被收取取款手续费。

随后，杰克反向生成机器代码，自行制作出可安装在机器上的固件；杰克发现，Triton的ATM机的漏洞可以让他通过U盘随心所欲地“升级”固件。为了能够插入机器的USB接口，他在网上购买了一把**钥匙。

不过，更危险的莫过于杰克的远程破解——他可以通过互联网来访问Tranax的ATM机，不仅能让它们吐*，还能记下***卡号和用户密码，从而随后为盗用身份大开方便之门。尽管在台上使用连接到WiFi的笔记本演示了远程攻击，但杰克**透露这次破解的更多技术细节。

与“黑帽子”大会上大多数备受关注的黑客一样，杰克称演示破解只是为了在长期内提高攻击目标的安全性能，而非创作出复制攻击的“秘籍”。他说：“目的在于提高人们对攻击媒介的警觉，而不是让每个孩子跑出去用ATM机发财。”

杰克说，他用自己的实例提醒Triton和Tranax注意，两家公司也在采取补救措施：去年11月，Triton发布了一个版本的固件，它要求在任何一次“升级”中提供数字签名，从而避免像杰克那样的恶意修改。杰克说，他与Tranax合作研发出一种弥补机器缺陷的变通措施，可阻止与公司ATM机的远程连接。

但杰克测试过的其他ATM是否依然脆弱，我们尚不清楚。在杰克演示的时候，本刊记者打给重要ATM制造商NCR和迪堡的电话没有得到应答，但迪堡的一位女发言人回应称，一家ATM行业协会已经注意到了杰克的攻击，并将在演讲之后发布一份声明。

杰克本打算在去年的“黑帽子”大会上演示ATM破解的早期版本，但在压力之下不得不取消演讲，原因是，虽然他在大会召开的七个月之前已经发出警告，但ATM行业尚未准备好补丁。为防止杰克的攻击在将来出现变种，该行业应当具有快速反应能力，但这次显露出的行动迟缓，着实不是什么好兆头。不过，杰克希望他的亲自演示能够改变ATM行业的自满情绪。他说：“有时候，你得演示一下威胁所在，才能促使解决方案出炉。”

更多精彩文章，请立即点击福布斯中文网 www.forbeschina.com