Skip to main content

ATM or POS skimming on SMS

A Russian-speaking man casually shows on camera how he can download a punter's bank-card details and PIN from a special card reader.

In a video demonstrating a tampered sales terminal, a card is swiped through the handheld device and a PIN entered - just as any customer would in a restaurant or shop. Later, after a series of key-presses, the data is transferred to a laptop via a serial cable.

Account numbers and other sensitive information appear on the computer screen, ready to be exploited. And the data can be texted to a phone, if a SIM card is fitted to the handheld.

The footage, apparently shown on an underworld bazaar, is used to flog the compromised but otherwise working kit for $3,000 apiece - or a mere $2,000 if you're willing to share 20 per cent of the ill-gotten gains with the sellers under a form of hired-purchase agreement.

The gang selling this device offers a money-laundering service to drain victims' bank accounts for newbie fraudsters: a network of corrupt merchants are given the harvested card data and extract the money typically by buying fake goods and then cashing out refunds. The loot eventually works its way back to the owner of the hacked card reader.

The modified Verifone VX670 point-of-sale terminal, shown below, retains in memory data hoovered from tracks 1 and 2 of the magnetic stripe on the back of swiped bank cards, as well as the PIN entered on the keypad - enough information to ATM withdrawal.

The setup suggests the sellers are based in Russia. In the video, a credit card from Sberbank, the country's largest bank and the third largest in Europe, is used to demonstrate the modified terminal's capabilities.

If a SIM card for a GSM mobile phone network is fitted to the doctored device, the information can be sent by SMS rather than transferred over a serial cable. The bundling of money-stealing support services, allowing fraud to be carried out more easily, is a new development in the digital underground.

Some Ukrainian groups sells this modified model of POS terminals and provides services for illegal cash-outs of dumped PINs through their own 'grey' merchants: it seems they buy fake stuff, and then cash-out the money. It takes less than three hours. 

The emergence of hacked card readers is due to banks improving their security against criminals' card-skimming hardware hidden in cash machines and similar scams. Planting data-swiping malware in POS handhelds out in the field is possible, but it is fairly tricky to find vulnerable terminals and infiltrate them reliably without being caught.

It's a touch easier to buy a tampered device and get it installed in a shop or restaurant with the help of staff or bosses on the take. This creates a huge potential market for money mules.

Scam schemes

Banking giant Visa has issued several alerts about this kind of fraud along with occasional warnings about device vulnerabilities - such as this warning [PDF] from 2009. And social-engineering tricks [PDF] in which fraudsters pose as Visa employees carrying out adjustments to terminals - while actually compromising them - has been going on for years.

One alert [PDF] from Visa, dating from 2010, explains how carders worked in the past and the steps merchants can take to defend against the fraud: anti-tampering advice from this year can be found here [PDF], an extract of which is below:

Worldwide gungs are illegally accessing active POS terminals and modifying them by inserting an undetectable electronic “bug” that captures cardholder data and PINs during normal transaction processing.

The impact of this type of business can be significant to all key parties involved in card acceptance. An attack can not only undermine the integrity of the payment system, but diminish consumer trust in a merchant’s business. In response to this emerging threat, acquirers, merchants and their processors need to proactively secure their POS terminals and make them less vulnerable to tampering.

A more recent advisory on combating this type of fraud, issued earlier this year by Visa, can be found here [PDF].

A copy of the web video is embedded below. 



Tampering with card readers has been going on for years, since banks are investing more in securing cashpoints, penetrating point-of-sale terminals can be an easier way to make money for carders.

The worldwide gangs will go after anything they can, but it can be easier to find dishonest merchants to cooperate in running tampered terminals [to skimm DUMP + PIN bank details] than going after ATMs,  this kind of business was rife in South America, particularly in countries such as Brazil.

The Russian-speaking carders behind the black-market sale of hacked sales terminals are targeting the international market as well as carders in the motherland. The example showen for Sberbank on video was just because it also used against banks of other Russian-speaking countries well.


Comments

Popular posts from this blog

Кокаин попал в меня во время секса

Чемпион мира по прыжкам с шестом Шон Барбер не нарушил спортивных правил и имел право выступать на Олимпиаде в Рио-де-Жанейро, несмотря на положительную допинг-пробу на кокаин. Как заявила Федерация легкой атлетики Канады, наркотик попал в организм спортсмена без его ведома.

В случае признания виновным Барберу угрожала дисквалификация со стороны Канадского центра по этике в спорте сроком до двух лет. Комиссии, рассматривавшей его дело 5 августа, он сообщил, что наркотик попал в его организм через поцелуй.

22-летний атлет рассказал, что вечером накануне национального отборочного турнира Олимпиады-2016 он разместил анкету на сайте знакомств в интернете, где написал, что ищет случайной связи с девушкой "чистой от наркотиков и болезней".

Как выяснилось в ходе разбирательства, Барбер искал секса для того, чтобы снять нервное напряжение. Женщина, с которой он имел контакт, пояснила, что употребляла наркотик перед свиданием, а во время их встречи поцеловала атлета несколько раз, н…

Как найти заливщика на карту

Своего первого реального заливщика, который показал мне как можно скачать деньги в интернет с банковских счетов, я нашел случайно, когда еще трудился в Укртелекоме сменным инженером немного подрабатывая продавая трафик налево, но потом этот человек отошел от дел в связи со слишком уж скользкой ситуацией в данной сфере, и я решил поискать партнера на форумах, разместив рекламу на трёх электронных досках объявлений. Честно говоря поначалу даже был готов сразу закинуть 500 000 гривен в Гарант, но потом призадумался, а стоит ли?

Ко мне начал обращаться народ обращается разных категорий

1. Дебильная школота, которая что-то любит повтирать про свою серьезность и просит закинуть 10 000 USD им на Вебмани в качестве аванса 
2. Реальные мэны, которые льют сразу большую сумму по SWIFT без разговоров про гарантии и прочую шнягу, но после того, как им отдаёшь нал, они сразу пропадают, суть данных действий я так и не понял. зачем пропадать, если всё прошло гладко? 3. Мутные личности, берущие реквизиты …

Обзор инжектов и автозаливов

Не так давно в украинском сегменте интернета появился новый сервис по написанию автозаливов (АЗ) и инжектов. 

Судя по рекламным объявлениям ребята работают более двух лет в этой сфере и гарантируют высокое качество выпускаемого программного продукта, с возможностью реализовать практически любые задумки заказчика.

Основной спектр услуг этой компании довольно большой.

GRABBER
Баланс
Залив – АЗ любой сложности, независимо от того что нужно для залива (актив и пассив)
Данные на вход 
Обходы на входе 
Обходы внутри (токена, ридера и так далее, даже если валид тайм меньше минуты)
Реплэйсеры 
Подмены баланса любой сложности, с проверкой списания, расчетом баланса в траншах

ADMIN PANEL
Grabber
АЗ
Обходов
Подмен и всего остального

С каждым новым инжектом база технологий совершенствуется, имеется множество уникальных js прототипов, php фрэймворков и т.д., ниже представленная коллекция постоянно пополняется новыми и свежими идеями.  Они больше не используют куки, ajax в обычном смысле его понимания, - можете заб…

Black Hat SEO или бот для скликивания контекстной рекламы

На днях мне стало интересно, а каким образом с точки зрения «черных» методов SEO могут быть использованы хакерские программы – например, путем генерации трафика для заинтересованных ресурсов или скликивания контекстной рекламы AdWords или Яндекс.Директ
Понятно, что увеличение числа посетителей на сайте интернет-магазина или компании, занимающейся недвижимостью, вероятнее всего положительно скажется на их доходах. Поэтому разработка подобного типа программ — вполне себе обыденное дело, и появились такие программы уже давно. По большей части таких ботов можно разделить на два класса — это различного рода Adware, которое распространяется вместе с популярными программами, или трояны, которые осуществляют более серьезную модификацию системы.  Win32/Patched.P Давай для начала рассмотрим достаточно экзотический, но от этого не менее интересный способ подмены результатов поиска в популярных поисковых сервисах Яндекс и Google, который был реализован в троянской программе Win32/Patched.P (ESET)…

Залив на карту и BitCoin mining при помощи ботнета

Если у вас есть 1,9 млн. ботов, как вы будете зарабатывать деньги? Похоже, дроповоды всё уже придумали

Один мой знакомый дроповод в настоящее время пытается внедриться в ботнет ZeroAccess с целью дальнейшего его использования для обогащения, и уже сейчас получен ответ на вопрос: что выгоднее дроповодам — использовать ботов для манипуляций с «цифровой валютой» (биткойнами) или же «накликивать» рекламные объявления?



В блоге одного из нальщиков сказано, что ботнет, составленный в текущий момент 1,9 миллионов заражённых машин, выходит далеко за пределы необходимых ресурсов для законного биткойн-майнинга.

Сам по себе биткойн-майнинг является вполне законной деятельностью, а в последнее время процесс значительно усложнился: теперь зачастую для этого требуется специализированное оборудование с «интегральными схемами специального назначения» (ASICs), чтобы процесс майнинга стал действительно прибыльным. Но запуск такого оборудования на современных компьютерах «съест» больше электрической энергии…