Σύμφωνα με μια δημοσίευση της Symantec οι απατεώνες έχουν ανακαλύψει ένα νέο τρόπο να αδειάζουν στην κυριολέξια τα ATMs. Δυστυχώς για τις τράπεζες, φαίνεται ότι τα όνειρα των hackers έγιναν πραγματικότητα. Η Symantec κατέγραψε το πρώτο δείγμα στις 31 Αυγούστου 2013 και το ονόμασε Backdoor.Ploutus.
Σύμφωνα με την εταιρεία ασφαλείας, το κακόβουλο λογισμικό μεταφέρεται στο ΑΤΜ μέσω ενός δίσκου εκκίνησης στη μονάδα CD – ROM. Ο δίσκος εκκίνησης μεταφέρει το malware στο λογισμικό του ATM. Με αυτόν τον τρόπο είναι σε θέση να αποσύρει όλα τα διαθέσιμα χρήματα από το κάθε μηχάνημα.
Αξίζει επίσης να σημειωθεί ότι οι εγκληματίες έχουν τη δυνατότητα να διαβάζουν όλες τις πληροφορίες που πληκτρολογούνται από τους κατόχους τους από το πληκτρολόγιο του ΑΤΜ, δίνοντάς τους τη δυνατότητα να κλέψουν τις ευαίσθητες πληροφορίες χωρίς τη χρήση οποιασδήποτε εξωτερικής συσκευής.
Τεχνικά χαρακτηριστικά του Backdoor.Ploutus
- Λειτουργεί όπως την υπηρεσία των Windows που ονομάζεται NCRDRVPS
- Οι εγκληματίες δημιούργησαν ένα περιβάλλον για να μπορούν να αλληλεπιδρούν στο λογισμικό των ATM διαμέσου του NCR.APTRA.AXFS
- Το όνομα του αρχείου είναι PloutusService.exe
- Αναπτύχθηκε με .NET τεχνολογία και με το software Confuser 1.9
- Δημιουργεί ένα κρυφό παράθυρο που μπορεί να ενεργοποιηθεί από τους εγκληματίες για να αλληλεπιδρούν με το ATM
- Ερμηνεύει συγκεκριμένους βασικούς συνδυασμούς, που αποστέλλονται από τους εγκληματίες, σαν εντολές που λαμβάνονται είτε από ένα εξωτερικό πληκτρολόγιο (που πρέπει να είναι συνδεδεμένο στο ΑΤΜ) ή απευθείας από το πληκτρολόγιο του ATM.
Τι κάνει το Backdoor.Ploutus
- Δημιουργεί ένα ATM ID: είναι αριθμός που δημιουργείται τυχαία, με βάση την τρέχουσα ημέρα και τον μήνα που μολύνθηκε το μηχάνημα.
- Ενεργοποίηση του ATM ID: Ορίζει ένα χρονοδιάγραμμα για να αρπάξει τα χρήματα. Το κακόβουλο λογισμικό θα πάρει όλα τα χρήματα τις πρώτες 24 ώρες μετά την ενεργοποίηση.
- Επανεκκίνηση (Service): Επαναφορά.
