助力产业智慧升级,云服务器首年88元起,更有千元代金券礼包免费领!

搜搜吧

搜搜吧 门户 安全 网络安全 查看内容

这个名为“艾丽丝”的恶意软件只干一件事 把ATM的现金掏空

2017-3-17 10:23| 发布者: 俄罗斯方块| 查看: 1560| 评论: 0

摘要: 该新恶意软件家族名为“艾丽丝”(Alice),是至今为止最暴力直白的ATM威胁。它没有任何信息窃取功能,甚至不能通过ATM的数字小键盘进行控制。虽然是在2016年才首次被发现,艾丽丝据信2014年左右便已出现,趋势科技称 ...

该新恶意软件家族名为“艾丽丝”(Alice),是至今为止最暴力直白的ATM威胁。它没有任何信息窃取功能,甚至不能通过ATM的数字小键盘进行控制。

atm-malware

虽然是在2016年才首次被发现,艾丽丝据信2014年左右便已出现,趋势科技称这仅仅是迄今为止的第8个ATM恶意软件家族——虽然此类威胁早已在我们身边长达9年多了。

艾丽丝需要能物理接触到ATM机才能使用,趋势科技认为其设计目的是为了让钱骡偷走被攻击柜员机里所有现金。该功能在去年便被发现过,当时的执行软件名为GreenDispenser。

但是,与老款不同,这一新威胁不连接ATM机的密码输入键盘,且能通过远程桌面协议运作。虽然趋势科技称至今尚未发现此类用例。

恶意软件分析发现:艾丽丝(该名字在恶意软件二进制文件的版本信息中有包含Alice字样)采用了一款名为VMProtect的商用加壳/混淆器进行打包,防止在调试器中被运行。而且,该恶意软件还会在运行之前检查自身环境,只要发现自己不是运行在ATM机上就会终止进程(主要检查几个注册表键和系统上是否安装有特定DLL)。

若运行在ATM机上,艾丽丝会在根目录写入2个文件,5 MB+大小的空文件xfs_supp.sys,以及名为TRCERR.LOG的错误日志文件。然后,它会连上CurrencyDispenser1外设,也就是XFS环境中的吐钞设备。只要输入正确的密码,CurrencyDispenser1就会显示ATM机内各个钱匣里所装钞票的信息。

由于该恶意软件只连接CurrencyDispenser1外设,而不尝试使用机器的密码输入键盘,研究人员认为,攻击者是物理打开ATM机并通过USB或光驱感染机器的。另外,攻击者还将键盘连接到了ATM机的主板上,通过这个键盘来操作恶意软件。

艾丽丝支持3个指令,每一个都通过特定PIN码发送:其一是释放卸载文件,另一个是推出程序并执行卸载/清理操作,第三个则是打开“操作面板”。该面板就是ATM内可用现金信息的展示板。

攻击者只需输入钱匣的ID便可让ATM机吐光钞票。吐钞指令通过WFSExecute编程接口发送给CurrencyDispenser1外设。因为ATM机通常会有吐钞数量限制,攻击者可能需要多次重复同样的操作,才能清空ATM机里钱匣存放的所有钞票。剩余可用现金的信息会动态显示在屏幕上,攻击者可据此知晓钱匣什么时候被清空。

趋势科技认为,攻击者用艾丽丝手动替换了目标ATM机上的Windows任务管理器,因为被感染系统上发现的该恶意软件通常是以taskmgr.exe的形式存在的。该恶意软件没有长期驻留方法,但以任务管理器的形式运行,意味着每次系统发出启动任务管理器的指令,艾丽丝就会被启动。

吐钞前的PIN码输入操作,揭示出艾丽丝只能用于现场攻击。它既没有精心谋划的安装机制,也没有缜密的卸载机制,就是通过在合适的环境中运行可执行文件来起效。

PIN验证系统与其他ATM恶意软件家族使用的类似,但同时也给艾丽丝的作者提供了对其使用者的授权控制。通过修改各样本的访问码,作者既能防止钱骡共享恶意软件代码,又能追踪单个钱骡。

被分析的样本使用了4位数字的口令,但其他样本或许使用的是更长的PIN码。该PIN码不能被暴力破解,因为艾丽丝有输入次数限制,超过次数就会自我了断并显示一条错误消息。研究人员还认为,Alice可在任意使用了微软扩展金融服务中间件(XFS)的硬件上运行。

直到最近,ATM恶意软件在恶意软件世界中都还是利基类别(注:利基是指某些空白的细分领域),被一小撮犯罪团伙以高度针对性的方式使用。但我们正处在ATM恶意软件逐渐成为主流的节点上。

搜搜吧社区温馨提示:
搜搜吧(www.sosoba.org)十分重视网络版权及其他知识产权的保护,针对网络侵权采取如下版权政策:
1、本站有理由相信网友侵犯任何人的版权或作品,(图文,文字,下载,视频,非法传播),本站有权不事先通知即删除涉嫌侵权的作品和内容
2、本站将采取必要的网络技术手段,确认为侵权作品或内容的用户有权进行警告、屏蔽、删除的行为,尽可能的防止侵权行为的发生
3、搜搜吧影视资源均收集自互联网,没有提供影片资源存储,也未参与录制上传,若本站收录的资源涉及您的版权或知识产权或其他利益,我们会立即删除
4、搜搜吧,删帖,投诉,举报,侵权,若本站侵犯您的权益,附上身份及权利证明,请直接发送邮件到 kefu-sosoba@qq.com 我们将在一个工作日内删除

鲜花

握手

雷人

路过

鸡蛋

相关阅读

最新评论

资讯分类

推荐图文

文章排行

关闭

搜搜吧社区公告上一条 /1 下一条

Powered by www.sosoba.org X3.4© 2013-2019 搜搜吧社区 小黑屋|手机版|Archiver|地图|关于我们|腾讯云代金券|帮助中心|soso吧社区
广告服务/项目合作: kefu-sosoba@qq.com  侵权举报邮箱: kefu-sosoba@qq.com  搜搜吧建站时间:创建于2013年07月23日
免责声明:本站所有的内容均来自互联网以及第三方作者自由发布,版权归原作者版权所有,搜搜吧不承担任何的法律责任,若有侵权请来信告知,我们立即删除!
本站热搜:搜搜吧,搜搜,搜搜网,搜一下,搜吧,soso,sousou,快搜,soso搜搜,好搜,搜索,soso问问,搜搜问问,搜搜小说,搜搜图片,搜狗搜索,微信搜索,图片搜索,百度搜索,手机搜索,网盘搜索

GMT+8, 2019-10-21 16:04 , Processed in 1.078125 second(s), 11 queries , Gzip On, MemCache On.

返回顶部