Sparkassen-Terminal: Freier Zugang zu Kommando-Zeile und mehr

Die Sparkassen waren vor einiger Zeit ordentlich damit beschäftigt, ihre Geldautomaten und SB-Terminals mit einem Patch zu versehen. Zuvor hatte ein Sicherheitsforscher eher zufällig entdeckt, dass man sich im passenden Moment die Kommandozeile der ... mehr...

Geldautomat, Tasten, ATM Bildquelle: redspotted / Flickr

Geldautomat, Tasten, ATM redspotted / Flickr

Diese Nachricht vollständig anzeigen.

Jetzt einen Kommentar schreiben

[o1] am ++6 --1

Lass mich raten: Die Tastenkombination war Strg+Alt+Entf ;)

Bearbeitet am 03.11.15 um 15:25 Uhr.

[re:1] am ++1 --1

@DeepBlue: Auf den Tastaturen an den Automaten sind Strg und Alt Tasten nicht vorhanden. Selbst nicht hinter den unbedruckten Tasten.

[o2] am ++--1

"Allein dies kann schon eine Menge Schaden verursachen - etwa wenn man einen passenden Automaten dazu bringt, auch Geld auszuspucken." - Wie funktioniert das bei Automaten die nur Kontoauszüge ausgeben? Und die Automaten die zum Einzahlen und Auszahlen da sind, haben nur ein PIN Feld und keine Tastatur.

[re:1] am ++1 --

@Illidan: Schon mal was von "Netzwerk" gehört? ;o)

Die Dinger stehn doch nicht isoliert da. Hast Du Zugriffs aufs Netzwerk, kannst Du auch schauen welcher Automat wo steht und - zB -- dem Automaten neben Dir sagen, er möge bitte mit dem Husten anfangen.

-- So oder so isses aber irgendwie nix Neues. Also nicht so richtig. Irgendwie scheinen sie's bei den Banken an den kritischsten Stellen mit der Sicherheit nicht so eng zu sehen -- Geldautomat per verdecktem "X" schließ- und abschießbar, Verwaltung via zugänglichen USB-Ports, Zugriff über die Kommandozeile... was kommt als nächstes, die General-PIN auf dem Post-It am Bildschirm?

[re:1] am ++--

@RalphS: Und das jeder Automat mit jedem anderen verbunden ist oder ein Zugriff möglich ist weist du woher?

[re:1] am ++1 --

@Illidan: Bei den Sparkassen ganz einfach. Die Struktur hinter der Bank "vorne am Kunden" nennt sich die Finanz-IT. Die verbinet meines Wissens ALLE Sparkassen deutschlandweit miteinander und sogar einige Landesbanken. Es würde prinzipiell ein Zugriff auf das Netzwerk der Filiale reichen, aber tatsächlich ist es eher so, hast du Zugriff auf das locale Finanz-Netzwerk, so kannst du auch weiter zur Finanz-IT. Deren Wartungsroutinen basieren darauf. Woher ich das weiss? Meine Ex-Freundin arbeitet bei der Sparkassen-Finanz-IT ^^

[re:2] am ++1 --

@Illidan: Im Bericht steht drin, das man das Terminal komplett unter seine Kontrolle bringen und tiefer in das Netzwerk der jeweiligen Filiale eindringen kann. Ich nehme an, das man dann vom Terminal aus, über das Netzwerk auf einen oder den Geldautomaten zugreifen kann und Geld auszahlen kann. Sofern man genug zeit hat, den entsprechenden Geldautomaten im Netzwerk zu suchen und finden - also zwischenzeitlich KEIN anderer Kunde erscheint und irgendwie stört.

Nur so mein Gedanke an der Sache.