Исследование уязвимостей было представлено экспертами Positive Technologies Владимиром Кононовичем и Алексеем Стенниковым на конференции по информационной безопасности Black Hat в Лас-Вегасе. Проблема заключается в возможности установки устаревшего и менее защищенного ПО на контроллер диспенсера, которое позволяет злоумышленнику выполнить атаку типа Black Box — подключить одноплатный компьютер к диспенсеру, используя недостатки защиты сервисной зоны банкомата, и отправить команду на снятие наличных. В настоящее время компания NCR устранила уязвимости.

«Исследование показало, что шифрованию подвергаются не все запросы от управляющего компьютера к диспенсеру, а только критически значимые (на взгляд производителя), как например выдача наличных, — отметил руководитель группы анализа защищенности аппаратных средств Positive Technologies Алексей Стенников. — Однако для некоторых других запросов отсутствие шифрования представляет не меньшую опасность».

Первая уязвимость CVE-2017-17668 связана с недостаточной защитой механизма записи памяти в контроллере диспенсера NCR S1. Если устройство функционирует на базе прошивки, выпущенной до версии 0x0156, неаутентифицированный пользователь имеет возможность выполнить произвольный код, обойти запрет понижения версии встроенного ПО и установить устаревшие версии прошивки с известными уязвимостями.

Аналогичная уязвимость CVE-2018-5717 выявлена в диспенсере NCR S2, для ее устранения необходима установка прошивки 0x0108.

Логические атаки на банкоматы с использованием физического или сетевого доступа в последние годы случаются все чаще. Так, согласно данным Европейской ассоциации по безопасности транзакций (EAST), за первое полугодие 2017 г. в Европе было совершено 114 атак типа Black Box на банкоматы в 11 странах. В 2017 г. эксперты Positive Technologies отмечали, что количество логических атак на банкоматы с применением вредоносного ПО в Европе в 2016 г. выросло на 287% по сравнению с предыдущем годом. Ущерб от краж с использованием одной только вредоносной программы GreenDispenser в 2015–2016 гг. в банках Восточной Европы составил около 180 тыс. долл. США. В 2018 г. участники конкурса Leave ATM Alone международного форума по практической безопасности Positive Hack Days 8 могли на практике проверить защищенность современных банкоматов, имеющих различные уязвимости, в том числе слабое шифрование.