18 августа серверы производителя банкоматов Bitcoin General Bytes были скомпрометированы в результате атаки, что позволило хакерам стать администраторами по умолчанию и изменить настройки, чтобы все средства были переведены на адрес их кошелька.
Сумма украденных средств и количество скомпрометированных банкоматов не были раскрыты, но компания срочно посоветовала операторам банкоматов обновить свое программное обеспечение. Взлом был подтвержден General Bytes 18 августа, который владеет и управляет 8827 биткойн-банкоматами, доступными в более чем 120 странах. Штаб-квартира компании находится в Праге, Чешская Республика, где также производятся банкоматы. Клиенты банкоматов могут купить или продать более 40 монет.
Уязвимость присутствует с тех пор, как модификации хакера обновили программное обеспечение CAS до версии 20201208 18 августа. General Bytes настоятельно призвал клиентов воздерживаться от использования своих серверов General Bytes ATM до тех пор, пока они не обновят свой сервер до патча 20220725.22 и 20220531.38 для клиентов, работающих на 20220531.
Клиентам также было рекомендовано изменить настройки брандмауэра сервера, чтобы доступ к интерфейсу администратора CAS можно было, среди прочего, получить только с авторизованных IP-адресов. Перед повторной активацией терминалов General Bytes также напомнил клиентам ознакомиться с их «Настройкой «ПРОДАТЬ криптовалюту», чтобы убедиться, что хакеры не изменили настройки таким образом, что любые полученные средства будут переведены им (а не клиентам).
General Bytes заявила, что с момента его создания в 2020 году было проведено несколько проверок безопасности, ни один из которых не выявил эту уязвимость.
Как произошло нападение
Консультативная группа General Bytes по безопасности заявила в блоге, что хакеры провели атаку уязвимости “нулевого дня”, чтобы получить доступ к Crypto Application Server (CAS) компании и извлечь средства. Сервер CAS управляет всей операцией банкомата, которая включает в себя выполнение покупки и продажи криптовалюты на биржах и какие монеты поддерживаются.
Компания считает, что хакеры “просканированы на наличие открытых серверов, работающих на TCP-портах 7777 или 443, включая серверы, размещенные на собственном облачном сервисе General Bytes”. Оттуда хакеры добавили себя в качестве администратора по умолчанию в CAS, по имени «gb», а затем приступили к изменению настроек «купить» и «продать», чтобы любая криптовалюта, полученная банкоматом Bitcoin, была перенесена на адрес кошелька хакера:
“Злоумышленник смог создать пользователя-администратора удаленно через административный интерфейс CAS с помощью вызова URL-адреса на странице, который используется для установки по умолчанию на сервере и создания первого пользователя администрирования”.
