One of the risks of using a commercial OS for embedded systems like ATM machines: it’s easier to write malware against it:
The report does not detail how the ATMs are infected, but it seems likely that the malware is encoded on a card that can be inserted in an ATM card reader to mount a buffer overflow attack. The machine is compromised by replacing the isadmin.exe file to infect the system.The malicious isadmin.exe program then uses the Windows API to install the functional attack code by replacing a system file called lsass.exe in the C:\WINDOWS directory.
Once the malicious lsass.exe program is installed, it collects users account numbers and PIN codes and waits for a human controller to insert a specially crafted control card to take over the ATM.
After the ATM is put under control of a human attacker, they can perform various functions, including harvesting the purloined data or even ejecting the cash box.
Source: Malware Steals ATM Data
Uno dei rischi quando si usa un sistema operativo commerciale per sistemi embedded come l’ATM: è più facile scrivere malware per danneggiarlo:
Il report non fornisce dettagli su come gli ATM vengano infettati, ma sembra probabile che il malware venga codificato su una carta che può essere inserita in un lettore di carte ATM e sferri un attacco di tipo buffer overflow. La macchina viene compromessa sostituendo il file isadmin.exe per infettare il sistema.
Il file dannoso isadmin.exe, utilizza poi le API di Windows per installare il codice dell’attacco, sostituendo un file di sistema chiamato lsass.exe nella directory C:\Windows.
Una volta che il programma “maligno” lsass.exe è installato, preleva numeri di conto e codici PIN degli utenti e attende un controller umano per inserire una scheda di controllo appositamente creata per rilevare la gestione dell’ATM.
Quando l’ATM è sotto il controllo di un attaccante umano, possono essere compiute diverse operazioni, tra cui la raccolta dei dati trafugati o addirittura l’espulsione del cash box.
Fonte: Malware Steals ATM Data