Diebold Nixdorf warnt vor einer neuen Klasse von „Black-Box“-Angriffen auf Geldautomaten in ganz Europa

Der Geldautomatenhersteller Diebold Nixdorf warnt Banken vor einer neuen Art von „Black-Box“-Angriffen auf Geldautomaten, die kürzlich in ganz Europa gesichtet wurden.

„Black-Box“-Angriffe auf Geldautomaten sind eine Art Jackpot-Angriff – bei dem Cyberkriminelle einen Geldautomaten dazu bringen, Bargeld auszuspucken. Ein Jackpot-Angriff kann mit auf einem Geldautomaten installierter Malware oder mithilfe einer „Black Box“ ausgeführt werden.

Bei einem Black-Box-Angriff öffnet ein Eindringling das äußere Gehäuse eines Geldautomaten, um an dessen Anschlüsse zu gelangen, oder schneidet ein Loch in das Gehäuse, um direkten Zugriff auf die interne Verkabelung oder andere versteckte Anschlüsse zu erhalten.

Über diese Zugangspunkte verbindet der Angreifer dann ein „Black-Box“-Gerät – meist ein Laptop oder ein Raspberry-Pi-Board – mit den internen Komponenten des Geldautomaten, über das er Befehle an den Geldautomaten des Geldautomaten sendet und Bargeld aus den Aufbewahrungskassetten freigibt .

Seit mehr als einem Jahrzehnt kommt es zu Black-Box-Jackpot-Angriffen auf Geldautomaten. Sie erfreuen sich bei kriminellen Banden großer Beliebtheit, da die Technik sowohl kostengünstiger als auch einfacher durchzuführen ist als die Verwendung von Geldautomaten-Skimming-Geräten, das Klonen von Karten und das Waschen des Geldes – ein Prozess, der normalerweise Monate dauert.

Black-Box-Angriffe ermöglichen es weniger qualifizierten Bedrohungsakteuren, schnell die benötigte Black-Box-Ausrüstung und Malware zu erwerben und innerhalb weniger Tage damit zu beginnen, Geldautomaten zu knacken.

In einer am Mittwoch versandten Sicherheitswarnung sagte Diebold Nixdorf, der weltweit größte Geldautomatenhersteller, seine Ermittler seien auf eine neue Variante von Black-Box-Angriffen aufmerksam geworden, die in bestimmten Ländern in ganz Europa eingesetzt werden.

Laut Diebold Nixdorf wurden die neuen Angriffe nur gegen ProCash 2050xe-Geldautomaten beobachtet [PDF], wobei die Angreifer über USB-Anschlüsse eine Verbindung zum Gerät herstellten. Das Unternehmen erklärt:

Diebold Nixdorf PRoCash 2050xe Geldautomat

„Bei den jüngsten Vorfällen konzentrieren sich die Angreifer auf Outdoor-Systeme und zerstören Teile der Blende, um sich physischen Zugang zum Kopfraum zu verschaffen. Als nächstes das USB-Kabel zwischen dem CMD-V4-Spender und der Spezialelektronik, bzw. das Kabel dazwischen.“ Die Spezialelektronik und der Geldautomaten-PC wurden ausgesteckt. Dieses Kabel wird mit der Blackbox des Angreifers verbunden, um unzulässige Ausgabebefehle zu senden.“

Aber es war nicht die Technik, die Diebold Nixdorfs Aufmerksamkeit erregte. Während Angreifer in der Regel Malware oder ihren eigenen Code einsetzten, um mit der Komponente des Geldautomaten zu interagieren, sagte der Geldautomatenhersteller, dass die Täter bei diesen jüngsten Angriffen offenbar eine Kopie der Geldautomatensoftware (Firmware) erhalten haben, die sie auf dem Geldautomaten installiert hatten Blackbox und dienten zur Interaktion mit dem Geldautomaten.

„Die Untersuchung, wie der Betrüger an diese Teile gelangt ist, ist noch nicht abgeschlossen“, teilte das Unternehmen mit. Derzeit geht Diebold Nixdorf davon aus, dass die Angreifer möglicherweise eine Verbindung zu einem Geldautomaten hergestellt und dessen Software unsicher auf einer unverschlüsselten Festplatte gespeichert gefunden haben könnten.

Eine Quelle aus der Bankenbranche hat ZDNet heute mitgeteilt, dass die Warnung von Diebold Nixdorf das direkte Ergebnis einer Untersuchung einer Reihe von Jackpot-Angriffen auf Geldautomaten ist, die letzten Monat, im Juni 2020, in Belgien stattfanden.

Die Angriffe zwangen die belgische Sparkasse Argenta letzten Monat dazu, 143 Geldautomaten zu schließen, nachdem es zwei mysteriöse Jackpot-Angriffe auf Geldautomaten gegeben hatte, einen im Juni und einen am vergangenen Wochenende.

Bei den Angriffen, die als die ersten Jackpot-Vorfälle in der Geschichte Belgiens gelten, kam die gleiche Technik zum Einsatz, die in der Warnung von Diebold Nixdorf beschrieben wurde: Die Angreifer stellten über USB eine Verbindung zum Geldautomaten her und leerten den Geldautomaten. Nach Angaben der „Brussel Times“, die über die Vorfälle berichtete, wurden nur Geldautomaten von Diebold Nixdorf angegriffen.

In einem heutigen Interview sagte Manuel Pintag, Cybersicherheitsanalyst und Experte für Bankbetrug bei Telefónica, gegenüber ZDNet, dass diese spezielle Technik schon einmal beobachtet worden sei, allerdings nicht in ganz Europa, sondern in Lateinamerika.