Schwachstellen in Geldautomaten-Sicherheitslösung von Diebold Nixdorf enthüllt

Auf der diesjährigen Defcon-Sicherheitskonferenz in Las Vegas hat der unabhängige Forscher Matt Burch sechs Schwachstellen in der weit verbreiteten Sicherheitslösung Vynamic Security Suite (VSS) des Geldautomatenherstellers Diebold Nixdorf präsentiert. Diese Schwachstellen, über die Wired zuerst berichtet hatte, könnten es Angreifern ermöglichen, die Festplattenverschlüsselung nicht gepatchter Geldautomaten zu umgehen und die volle Kontrolle über die Geräte zu übernehmen. Die Enthüllungen werfen aber auch ein Schlaglicht auf die potenziellen Gefahren, die mit unzureichend geschützten Geldautomaten verbunden sind, insbesondere in Banken und großen Finanzinstitutionen. 

Die durch Burch entdeckten Schwachstellen könnten es Angreifern ermöglichen oder zumindest erleichtern, die Festplattenverschlüsselung eines nicht gepatchten Geldautomaten zu umgehen und somit die vollständige Kontrolle über das Gerät zu erlangen. Angreifer könnten so auf sensible Daten wie PINs und Transaktionsinformationen zugreifen, aber auch den Automaten so manipulieren, dass er das gesamte Bargeld ausgibt. Laut Burch handelt es sich dabei um „relativ einfache Angriffe“, die durch Lücken im Festplattenverschlüsselungsmodul der VSS-Software ermöglicht werden.

Die Diebold Nixdorf Vynamic Security Suite bietet eine Reihe von Sicherheitsfunktionen, darunter Endpunktschutz, USB-Filterung und delegierten Zugriff. Die zentrale Schwachstelle liegt jedoch in der Art und Weise, wie die Software die Festplattenverschlüsselung implementiert. Während die meisten Geldautomatenhersteller auf die BitLocker-Verschlüsselung von Microsoft zurückgreifen, verwendet Diebold Nixdorf eine Drittanbieter-Integration für die Durchführung von Integritätsprüfungen. Dieses System ist in einer Dual-Boot-Konfiguration eingerichtet, die sowohl Linux- als auch Windows-Partitionen umfasst. Vor dem Start des Betriebssystems führt die Linux-Partition eine Signaturintegritätsprüfung durch, um sicherzustellen, dass der Geldautomat nicht kompromittiert wurde, bevor das Windows-System für den normalen Betrieb gebootet wird.

Das Problem ist, dass sie das System entschlüsseln müssen, um all das tun zu können, was die Möglichkeit eröffnet. Die zentrale Schwachstelle, die ich ausnutze, ist, dass die Linux-Partition nicht verschlüsselt war.”

Matt Burch, unabhängiger IT-Sicherheitsexperte

Burch fand heraus, dass die Linux-Partition unverschlüsselt ist, was es ihm ermöglichte, den Speicherort kritischer Systemvalidierungsdateien zu manipulieren und die Ausführung von Code umzuleiten. Dies gab ihm die Möglichkeit, die Kontrolle über den Geldautomaten zu übernehmen. Burch warnte, dass trotz der von Diebold Nixdorf veröffentlichten Patches einige Geldautomaten und Geldausgabesysteme möglicherweise immer noch ungeschützt sind, da nicht alle Institutionen ihre Systeme regelmäßig aktualisieren. Ob es damit wirklich möglich wäre, den Geldautomaten jackpot-artig zur Ausgabe seines Inhalts zu bewegen, ist aber unklar.

Schwachstellen schon seit 2022 bekannt

Laut Michael Jacobsen, einem Sprecher von Diebold Nixdorf, wurden die Schwachstellen erstmals 2022 von Burch offengelegt und durch Patches behoben. Das Unternehmen stehe in regelmäßigem Kontakt mit Burch, um sicherzustellen, dass alle relevanten Sicherheitslücken geschlossen werden. Burch erklärte jedoch, dass er auch in den letzten Jahren weiterhin neue Schwachstellen in der VSS-Software entdeckt und dem Unternehmen gemeldet habe. Seiner Einschätzung nach wurden einige dieser Schwachstellen erst 2023 durch weitere Patches behoben. Er glaubt, dass Diebold Nixdorf die Schwachstellen schließlich im April mit der Version 4.4 der VSS-Software grundlegend behoben hat, indem die Linux-Partition nun ebenfalls verschlüsselt wird.

Trotz dieser Fortschritte betonte Burch, dass es wahrscheinlich weiterhin möglich sei, ähnliche Schwachstellen auszunutzen, wenn auch mit deutlich höherem Aufwand. Vor allem wies er darauf hin, dass die Aktualisierung von Geldautomaten in großen Institutionen mit erheblichen Infrastrukturmaßnahmen verbunden sein kann, was dazu führen könnte, dass einige Geräte noch mit älteren Versionen der VSS-Software betrieben werden.

Diebold Nixdorf erklärte, dass das Unternehmen intensiv daran arbeite, sicherzustellen, dass alle Kunden die neueste und für ihre Umgebung geeignete Version der Sicherheitssoftware verwenden. Gleichzeitig warnte das Unternehmen vor einem Wechsel zu alternativen Festplattenverschlüsselungstechnologien wie Microsoft BitLocker. Jacobsen erklärte, dass BitLocker zwar eine weit verbreitete Lösung für die Festplattenverschlüsselung darstellt, aber auch Schwachstellen aufweist, die in einem Geldautomaten-Umfeld ausgenutzt werden könnten.

Eine von Matts Empfehlungen für den Wechsel zu einem Festplattenverschlüsselungsprodukt für Unternehmen, insbesondere Bitlocker, ist in unseren Umgebungen anfällig. Ein mit Bitlocker verschlüsselter Rechner kann kompromittiert werden, und Microsoft wird sich damit nicht befassen, da der Anwendungsfall ATM nicht in ihren Zuständigkeitsbereich fällt.”

Michael Jacobsen, Sprecher Diebold Nixdorf

Große Bedrohung durch Diebold-Nixdorf-Sicherheitslösung

Die Diskussion um die Sicherheit von Geldautomaten gewinnt an Bedeutung, da Berichte über reale Angriffe auf Geldautomaten, bei denen Malware verwendet wird, um Bargeld zu stehlen, zunehmen. Diese Vorfälle verdeutlichen, dass die Bedrohung durch die Ausnutzung von Schwachstellen in Geldautomaten-Systemen nach wie vor sehr groß ist. In der Regel erfordern diese Angriffe aber physischen Zugang zu den Geräten, etwa durch das Öffnen des oberen Teils des Geldautomaten, um an die Festplatte zu gelangen und deren Inhalt zu manipulieren. Solche Angriffe können von gut geschulten Kriminellen in weniger als zehn Minuten durchgeführt werden.

Burch betonte, dass organisierte Kriminelle möglicherweise bereits Schulungen durchführen, um ihre Mitglieder in der Durchführung solcher Angriffe zu schulen. Solange diese Angriffe für die Täter lukrativ bleiben, wird es auf Konferenzen wie der Defcon auch weiterhin Diskussionen darüber geben, wie die nächsten Grenzen des Hackens von Geldautomaten aussehen könnten.

Die Enthüllungen auf der Defcon-Konferenz unterstreichen aber die Notwendigkeit, dass Banken und andere Finanzinstitutionen ihre Sicherheitsvorkehrungen ständig überprüfen und aktualisieren, um der sich ständig weiterentwickelnden Bedrohungslage gerecht zu werden. Die Sicherstellung, dass alle Geldautomaten mit der neuesten Sicherheitssoftware ausgestattet sind, ist dabei von entscheidender Bedeutung, um potenzielle Angriffe abzuwehren und das Vertrauen der Kunden in die Sicherheit ihrer Transaktionen zu gewährleisten.

IT-Finanzmagazin hat die deutsche Niederlassung des Unternehmens zu dem Sachverhalt befragt und steht dazu im intensiven Austausch. In den nächsten Tagen werden wir hierzu auch noch einen genaueren Blick auf die Hintergründe werfen.tw