Le jackpotting, une ancienne technique de vol de GAB, pourrait montrer aux membres de l’équipe des opérations de sécurité ce qu’il faut surveiller en ce qui concerne les attaques de l’Internet des objets (IoT) en général, et même les vulnérabilités des machines électorales.

Cette technique est entrée pour la première fois dans le lexique américain de la cybersécurité en 2018, lorsque Brian Krebs mis en garde contre des attaques aux guichets automatiques américains. Jackpotting, explique Krebs, est «un crime sophistiqué dans lequel les voleurs installent des logiciels malveillants et / ou du matériel aux guichets automatiques qui obligent les machines à cracher d’énormes volumes d’argent à la demande.»

La cible était généralement guichets automatiques autonomes, presque toujours de ceux fabriqués par Diebold Nixdorf, une multinationale américaine de technologie financière et de vente au détail. Les criminels avaient besoin d’un accès physique au guichet automatique. Ensuite, ils ont utilisé un malware de jackpotting appelé Ploutus.D et une électronique spéciale pour prendre le contrôle des machines. Lorsqu’il était bien fait, le jackpotting offrait un paiement très important et très rapide, comme une machine à sous devenue folle, mais avec du papier-monnaie au lieu de trimestres.

Bien que le jackpotting se produise aux États-Unis, ce type de cyber-vol est plus courant en Europe et en Asie où les guichets automatiques sont moins protégés. Pourtant, c’est un crime compliqué à commettre, car la nature du crime nécessite la proximité physique de la machine à la fois pour mettre en place le crime et récupérer l’argent. Bien sûr, l’argent prêt est le gros tirage au sort, mais même dans les endroits où l’application de la loi est minimale, pourquoi les criminels font-ils l’effort?

Cela se résume à des systèmes d’exploitation obsolètes sur les guichets automatiques. Il n’est pas rare de trouver un système d’exploitation Windows non pris en charge sur les guichets automatiques (ou d’autres appareils connectés à Internet). Windows XP est toujours très populaire dans ce domaine, même s’il a été retiré en 2014. Pour rester caché en arrière-plan, les criminels comptent sur des mules pour récupérer l’argent.

Les logiciels malveillants pour le jackpotting se sont également développés dans les familles, avec WinPot et Cutlet Maker associés tous deux disponibles à la vente sur le Web sombre pour quelques centaines de dollars.

La nouvelle tournure de Jackpotting

Dans les années de cybersécurité, 2018 était il y a longtemps. Bien que le jackpotting existe toujours, il a évolué vers des formes plus sophistiquées et dangereuses. Il y a deux ans, il s’agissait de transformer les guichets automatiques en machines à sous personnelles. Aujourd’hui, les cybercriminels se concentrent sur les logiciels.

Après une récente vague d’attaques de jackpotting en Europe, un Diebold Nixdorf déclaration formelle note: «Certaines des attaques réussies montrent un nouveau modus operandi adapté sur la façon dont l’attaque est effectuée. Bien que le fraudeur connecte toujours un appareil externe, à ce stade de nos investigations, il semble que cet appareil contienne également des parties de la pile logicielle du GAB attaqué. »

En d’autres termes, les criminels utilisent le propre logiciel propriétaire de Diebold Nixdorf pour aider à activer les attaques.

«La variante boîte noire du jackpotting n’utilise pas la pile logicielle du guichet automatique pour distribuer de l’argent depuis le terminal. Au lieu de cela, le fraudeur connecte son propre appareil, la boîte noire, au distributeur et cible directement la communication avec le dispositif de traitement des espèces », ajoute le communiqué de Diebold Nixdorf.

Comme Ars Technica rapports, la bonne nouvelle est que, jusqu’à présent, la nouvelle attaque de jackpotting ne vole pas les données de la carte ATM, juste l’argent. Mais la mauvaise nouvelle, qui a des implications bien plus importantes, est que «les attaquants semblent avoir la main sur des logiciels propriétaires qui rendent les attaques plus efficaces».

Comment Jackpotting se connecte aux logiciels propriétaires et à la cybersécurité

Les guichets automatiques font partie du grand collectif qui compose l’IoT. Les criminels de jackpot qui utilisent les piles de logiciels propriétaires de Diebold Nixdorf comme vecteur d’attaque potentiel devraient fournir un signal d’alarme pour l’IoT en général.

Les rapports sur le jackpotting ATM utilisant des piles de logiciels montrent un point commun: les criminels ont ciblé les distributeurs automatiques de billets Diebold Nixdorf. Pourquoi? La réponse simple est que la plupart des guichets automatiques sont Diebold et qu’ils se trouvent partout en Europe. Le plus fortuit pour les criminels, cependant, est que, comme le logiciel propriétaire est utilisé sur toutes les machines, cette tactique peut être utilisée avec fiabilité encore et encore.

Cela vaut également pour les appareils IoT. Chaque appareil IoT utilisé dans les établissements d’entreprise ou à domicile – ce qui est particulièrement important alors que des millions de personnes continuent travail à distance – utilise le logiciel propriétaire du fabricant. Cela signifie à son tour que vous avez peut-être affaire à des dizaines de systèmes logiciels différents pour protéger, corriger et mettre à jour. C’est en soi une corvée.

Par conséquent, si les cybercriminels ont accès à des parties de la pile logicielle d’un appareil IoT, ils peuvent l’utiliser pour mieux faciliter les attaques sur cet appareil spécifique. Si l’appareil IoT est connecté au réseau de l’entreprise, il offre une porte ouverte aux pirates. Dix appareils IoT dans un bureau pourraient fournir la passerelle vers dix groupes différents de cybercriminels qui peuvent tous avoir des programmes différents.

Le problème des machines à voter

Ce ne sont pas seulement les données d’entreprise et les réseaux qui sont menacés. L’IoT contrôle les villes intelligentes et les infrastructures critiques. Et les appareils n’ont même pas besoin d’être connectés à Internet pour être ciblés. Tout comme Diebold est une marque de premier plan de distributeurs automatiques de billets, il était l’un des principaux fabricants de machines à voter américaines. Bien que Diebold soit plus maintenant dans le secteur des machines à voter, les anciennes machines ont tendance à rester sur le terrain.

«Il est bien connu que les systèmes de vote actuels, comme tout matériel et logiciel fonctionnant sur des plates-formes polyvalentes conventionnelles, peuvent être compromis dans la pratique», rapporte Defcon Voting Village après une étude de 2019 couverte par Filaire. «Cependant, il est remarquable – et particulièrement décevant – que bon nombre des vulnérabilités spécifiques signalées plus d’une décennie plus tôt… soient toujours présentes dans ces systèmes aujourd’hui.»

Attendez-vous à ce que les criminels s’appuient sur l’utilisation de logiciels propriétaires pour rendre la prochaine série d’attaques plus facile et plus viable financièrement. Sachez également comment ces mêmes tactiques peuvent passer des guichets automatiques à d’autres appareils IoT, en tirant parti des mauvaises pratiques de cybersécurité.