Geldautomat mit Windows XP: Fünf Mal "Shift" gedrückt - voller Zugriff

Ein auch heute noch in Windows enthaltenes Feature hat durch Versäumnisse einer russischen Bank zum Entstehen einer schwerwiegenden Sicherheitslücke geführt, durch die Angreifer unter Umständen vollen Zugriff auf einen Geldautomaten erlangen könnten. Hält der Nutzer an den Geräten eine bestimmte Taste gedrückt, kann er auf den normalen Windows-Desktop vordringen. Wie die russische Website Habrahabr berichtet, bemerkte eines ihrer Mitglieder bei der Nutzung eines Geldautomaten in einer Filiale der russischen Sberbank, dass es auf kuriose Weise möglich ist, bei den betroffenen Geräten Zugriff auf die Benutzeroberfläche des auf den Automaten installierten Betriebssystems zu erlangen.


In einem Video zeigte der Kunde, dass er bei dem noch mit dem hoffnungslos veralteten Windows XP laufenden Rechner einfach nur die Shift-Taste fünf Mal drücken oder einfach halten musste, um den sogenannten Sticky Keys Dialog angezeigt zu bekommen. Mithilfe der Einrastfunktion für die Tastatur von Windows lässt sich damit normalerweise festlegen, dass man bei mehrfachem Drücken der Shift-Taste ein "Einrasten" veranlassen will, um dauerhaft in großen Buchstaben zu schreiben.

Der Dialog ermöglicht aber auch das Aufrufen der Windows-Einstellungen, wobei dann auch die Taskleiste und andere Teile der normalen Windows-Oberfläche angezeigt werden. Dem "Experten" zufolge war es dadurch möglich, einfach über den Touchscreen des Geldautomaten mit dem hier verwendeten Windows XP zu interagieren. In der Folge ließ sich so zum Beispiel die Batch-Datei zum Start der Geldautomaten-Oberfläche beenden und, wenn man wollte, sogar die für den Betrieb verwendete Software abschalten.

Bisher hat die Sberbank das Problem offenbar noch immer nicht in den Griff bekommen, denn das erste Mal gelang dem Autoren des Berichts der Zugriff auf die Oberfläche von Windows XP auf dem Geldautomaten durch das fünffache Drücken der Shift-Taste bereits vor zwei Wochen. Zwar rief er sofort die technische Hotline des Automatenbetreibers an, bei der man ihm auch versicherte, dass das Problem umgehend behoben würde, doch bis gestern funktionierte die Methode angeblich noch immer.