Skip to main content

PCI Compiance and ATM security

Researchers at Russian security firm Group-IB say that customers from some of the largest US banks have been affected by malware that steals credit card data directly from ATMs as well as point-of-sale (POS) terminals found at regular retailers. Cyber-crooks are infecting the Operating System that powers ATMs and point-of-sale terminals with malware capable of stealing financial data.
The business model behind going directly to the source is efficient because criminals only need to compromise a few ATMs to collect hundreds, if not thousands, of credit card numbers which can immediately be sold on the black market.

Historically, the bad guys have used many methods to carry out credit card or online banking fraud. Let’s review a few:

Phishing Sites
Phishing is the act of requesting personal information from the user under false pretenses. Phishing and spam often go hand in hand as victims tend to be lured via emails asking them to update their banking details or review recent transactions. Once they enter their information into the fraudulent site, those usernames and passwords are sent to cyber criminals who quickly proceed to empty the accounts.

Keyloggers
There are two forms of keyloggers: hardware and software ones. The former come as devices that hook on the victim’s machine or are embedded in the hardware itself. Of course, physical access is required in order to plant hardware keyloggers. Much more common are software keyloggers, which are delivered through infected programs or when someone browses to a compromised website and gets hit with a drive-by download.

Skimmers
Skimming consists of stealing card details during a legitimate transaction. One way it is done is by placing an innocuous chip reader on an existing ATM. When the victim inserts his or her card, it is read by both the rogue device and the ATM. The transaction goes through as normal, but the card’s details have also been stolen.

ATMs and Point-of-Sale Terminals Are Vulnerable Too…
Let’s not forget that ATMs and POS terminals run computers, with the traditional CPU, RAM and HDD and Operating System (Windows/Linux). If that makes you cringe, some are still running old and unpatched Microsoft Windows XP versions.
Those systems are wired to other networks and the Internet (for some cool but risky remote login features), so it’s not big surprise that they can be probed by doing network scans as well as using brute force techniques to login externally. Given that many people (re)use weak passwords this is like stealing candy from a baby.
The POS’s software itself is not immune against bugs and can be exploited by hackers remotely. To learn more about vulnerabilities in POS software you can read this article by Tracy Kitten of BankInfoSecurity.

vegapos





















VegaPos: a POS program made by a Turkish company
I obtained an ATM/POS malware sample and even a video tutorial on how this works and it looks just too easy.
icons
well.exe (malware) along with other POS software
well.exe is the name of the malware file. which, when executed, copies itself to the current user’s directory under the name svhst.exe and adds a registry entry to ensure persistence (it will run again when the terminal is rebooted). It collects credit card numbers from the ATM or POS and sends them back via FTP to a remote server hosted by a Russian-based ISP. The cyber criminals then log into a web interface to view the collected credit card details.

ui
Web control panel to collect credit card data
To check whether the cards are valid as well as which bank they are from, carders use free services like BIN Checker. “BIN” stands for bank identification number and consists of the first six digits on the card.

bincheck
Website to check credit card numbers by bank/country.
You might be surprised to find out that this service is…
appstore
app































The iPhone/iPad app of the above website
Although checking BIN numbers is not illegal, this app’s website links to another site that sells email lists for spam as well as hacking tools:

emails





















Email list for spamming purposes

phpshell


















A famous backdoor/shell used in website compromises

I’m baffled to see the social networking integration (“Like this on Facebook”). I guess there must be no shame in doing these sorts of things nowadays and being public about it?

When I recently traveled for business to San Francisco my credit card got compromised. I assumed it was probably from a skimming device at a local grocery store or the like. The credit card company notified me that someone had attempted to purchase $800 worth of goods at a Walmart in a different state. I always look for a padlock on the card reader and sometimes for that sticker that shows it has not been counterfeited, but honestly there are times when you’ve had a long day and you just don’t want to have the cashier look at you like you’re a weirdo.

Well, given this ATM/POS malware should I bring my own anti-malware solution and do a full system scan before doing my transaction? This is getting ridiculous. It makes me wonder if the credit card firms treat fraud as a “business expense” and raise the interest rate every now and again to cover it. Either way, some individuals are making a boatload of money and causing major annoyances to everyday consumers, and that should not go unnoticed.

Popular posts from this blog

Сналить деньги из банкомата можно набором кода

Каспер и его охотники за призраками в доспехах не так давно обнаружили изъян в защите банкоматов, с помощью которого дроповоды могут снимать крупные суммы денег вообще без карты.

Cлужбы безопасности некоторых крупных банков в странах Европы, Латинской Америки и Азии, в которых дроповоды уже пытались воспользоваться выявленным изъяном начали собственное внутреннее расследование.



Специалисты выяснили, что снять в банкомате наличные можно после введения некоторой комбинации цифр на панели, после чего неразводной дроп может за один подход к банкомату получить 40 банкнот. Кредитная или дебетовая карта при этом вообще не требуется.



Перед тем, как снять таким образом наличные, дроповоду требуется прогрузить в банкомат компьютерный вирус с загрузочного компакт-диска, для этого необходим доступ к внутренним компонентам банкомата. Как дроповодам удается получать этот доступ, специалисты банка пока ещё не пояснили.

Взломщик банкоматов "Тюпкин"

После установки троянской программы в банк…

Как найти заливщика на карту

Своего первого реального заливщика, который показал мне как можно скачать деньги в интернет с банковских счетов, я нашел случайно, когда еще трудился в Укртелекоме сменным инженером немного подрабатывая продавая трафик налево, но потом этот человек отошел от дел в связи со слишком уж скользкой ситуацией в данной сфере, и я решил поискать партнера на форумах, разместив рекламу на трёх электронных досках объявлений. Честно говоря поначалу даже был готов сразу закинуть 500 000 гривен в Гарант, но потом призадумался, а стоит ли?


Ко мне начал обращаться народ обращается разных категорий

1. Дебильная школота, которая что-то любит повтирать про свою серьезность и просит закинуть 10 000 USD им на Вебмани в качестве аванса 
2. Реальные мэны, которые льют сразу большую сумму по SWIFT без разговоров про гарантии и прочую шнягу, но после того, как им отдаёшь нал, они сразу пропадают, суть данных действий я так и не понял. зачем пропадать, если всё прошло гладко? 3. Мутные личности, берущие реквизиты …

Кому нужны дропы?

в этом видео хорошо показана жизнь одного современного человека,
который начал налить белый пластик

полезно посмотреть начинающим дропам - как вести себя со своим дроповодом, и что нужно рассказывать в полиции, в случае если вы туда попали



Сналить деньги из банкомата можно даже при нулевом балансе с помощью банковского бота FASTCash

SAP — один из основных элементов инфраструктуры банкоматов и терминалов PoS, он устанавливает соединение с основной банковской системой для валидации пользователя, чтобы можно было произвести транзакцию.


Мы проанализировали десять образцов банковских ботов, связанной с FASTCash, и обнаружили, что нарушители удаленно атаковали серверы переключения приложений (Switch Application Servers, SAP) нескольких банков. Каждый раз при использовании банкомата или терминала PoS в магазине, ПО обращается к SAP для валидации пользователя. В зависимости от того, доступна ли сумма на счету, транзакция может пройти или не пройти.

В результате появилась более подробная информация о схеме безлимитного снятия денег из банкоматов, которой успешно пользуется северокорейская хакерская группа Hidden Cobra. Техническую информацию опубликовала команда US-CERT, подразделение Министерства внутренней безопасности США. Речь об атаке, названной FASTCash, северокорейская хак-группа использует ее еще с 2016 года.

Банк…

Как делают заливы на карты и банковские счета

Примерно 1,1 млн человек пришлось поделиться с нальщиками из Новосибирска не только своим транзакционными данными, но и сведениями о номерах социального страхования, которые находились в распоряжении электронной платежной системы финансового провайдера RBS WorldPay, принадлежащей банку Royal Bank of Scotland.

Персональные данные почти 1,5 млн человек оказались оказались в распоряжении грамотного заливщика, который получил доступ к базе данных банковской системы, успешно проэксплуатировав SQL инъекцию клиентского Web портала Royal Bank of Scotland.

Однако в финале купленные на обналиченные деньги дорогие иномарки и недвижимость пришлось переоформить на незнакомых заливщику лиц, которые и помогли ему остаться на свободе.

В 2008 году жителю Новосибирска Алексею Аникину удалось получить доступ к базе данных RBS WorldPay. На основе полученных данных о TRACK2 и пин-кодов реальных банковских карт были изготовлены поддельные банковские карты, по которым в течение 12 часов в банкоматах по все…

Как работают реальные заливщики на карты

Вова Левин родился в 1967 году в типичной семье ленинградских интеллигентов: отец - инженер-конструктор на "почтовом ящике", мама - врач-психотерапевт. Володя был у них единственным и, по-видимому, избалованным ребенком. Но не надо думать, что талантливый хакер-самоучка с детства был вундеркиндом со всеми вытекающими отсюда комплексами. Напротив, он преуспевал не только в учебе, но и в спорте и заработал второй мужской разряд по фехтованию. В 24 года он оканчивает химфак Ленинградского технологического института и защищает диплом на тему "Молекулярно-биологический анализ эпидемических вирусов гриппа В, выделенных на территории СССР в 1991 году". 


Трудно поверить в эту фантастическую историю, когда сидишь перед допотопным 386-м "писюком" и набираешь этот текст, который вы сейчас читаете. Ведь с помощью точно такой же "Ай-Би-Эмки" (со слабеньким модемом) интеллигентный молодой человек по имени Володя Левин, не вставая со стула в грязноватой комнат…