Для повышения уровня безопасности платежной системы, Visa остаётся приверженной стратегии оказания всесторонней помощи своим участникам и клиентам в понимании их обязанностей в области обеспечения безопасности данных о держателях карт и защите платежной индустрии. Для реализации принципов этой стратегии Visa публикует Оповещения об угрозах безопасности данных в случае обнаружения в отрасли уязвимостей, подверженных активно развивающимся видам атак, а также для информирования о лучших практиках безопасности.

Участники платежной системы могут распространять эти оповещения своим партнерам, чтобы помочь обеспечить их осведомленность об уязвимостях, подверженных активно развивающимся видам атак и своевременное принятие ими мер по снижению рисков.

Клавиатурные шпионы: перехват нажатий клавиш и снимков экрана

В последние недели Visa зафиксировала рост числа атак с использованием клавиатурных шпионов в среде торогово-сервисных предприятий. Клавитаруный шпион — это вредоносное программное обеспечение, реализующее методы перехвата и записи нажатий клавиш, широко доступное в сети Интернет.

Клавиатурные шпионы, как и другие виды вредоносного программного обеспечения, могут распространяться как составные части троянов и вирусов, пересылаемых по электронной почте и активизирующихся при открытии опасного вложения в письмо или при переходе по заражённой ссылке. Также они могут быть установлены злоумышленником при наличии у него локального или удаленного доступа к компьютеру жертвы.

Определенные виды клавиатурных шпионов, зафиксированные Visa, пересылают данные о держателях карт на адреса электронной почты, либо передают их по прямому IP-соединению на узлы сети, контролируемые злоумышленниками. Обычно в таких случаях злоумышленник обладает возможностью установки клавиатурного шпиона на POS-систему благодаря наличию небезопасных механизмов удаленного доступа и недостаточно защищенной конфигурации сетевого оборудования. Анализ рядя клавиатурных шпионов показал, что для передачи данных за пределы сети организации они применяют протоколы FTP и SMTP, используя их стандартные порты (20, 21 и 25).

Рекомендуемые способы снижения рисков, связанных с клавиатурными шпионами

Принимая во внимание тот факт, что обнаружение клавиатурных шпионов может быть весьма проблематично, следующие меры должны быть применены в рамках поддержки соответствия организации требованиям стандарта PCI DSS с целью минимизации риска компрометации критичных систем, таких как POS-системы, серверы обработки транзакций и серверы баз данных:

• Отключить ненужные механизмы удаленного доступа. В случае необходимости такого доступа, он должен включаться только на период его непосредственного использования. Не использовать стандартные и простые пароли, применять только те приложения для удаленного доступа, которые реализуют стойкие механизмы безопасности. Всегда применять двухфакторную аутентификацию.

• Обеспечить безопасную конфигурацию сети. Организации должны использовать выделенный межсетевой экран, реализуя строгие правила контроля входящего и исходящего сетевого трафика, разрешая только соединения на те порты и сервисы, которые необхоимы для ведения бизнеса. Отключить FTP, SMTP и иные небезопасные порты в случае отсутствия необходимости в таких сервисах.

• Непрерывно отслеживать, какие программы установлены на всех системах, своевременно обнаруживать неизвестные приложения и принимать соответствующие меры (удаление, отключение, безопасное конфигурирование и т. д.) для минимизации риска компрометации данных.

• Выполнять периодические проверки наличия любых неизвестных устройств, в том числе устройств, подключенных к клавиатурам и мышкам.

• Выполнять периодические проверки наличия в своих системах клавиатурных шпионов, идентифицированных Visa в ходе расследований инцидентов компрометации данных (см. Таблицу 1).

• Установить современное антивирусное программное обеспечение и поддердживать его в актуальном состоянии. Если антивирусное программное обеспечение поддерживает эвристический анализ, следует его включить с целью обнаружения ранее неизвестных видов клавиатурных шпионов. Большинство антивирусных систем способны их обнаружить.

• Установить анти-шпионское программное обеспечение с целью обнаружения клавиатурных шпионов и их удаления из систем организации.

• Применять системы мониторинга сети и узлов (IDS/IPS), с целью своевременного обнаружения попыток соединений с IP-адресов злоумышленников или на их IP-адреса. Эта мера даст организации шанс предотвратить передачу клавиатурным шпионом накопленных критичных данных за пределы сети.

В случае обнаружения факта нарушения безопаности, немедленно оповестите банк-эквайер. Также Вы можете обратиться в Службу контроля мошеннческих действий Visa: cemeafraudcontrol@visa.com.

Таблица 1. Клавиатурные шпионы, идентифицированные Visa
(по состоянию на 11 марта 2010 года)

Англоязычный оригинал: http://usa.visa.com/download/merchants/key-logger-key-stroke-and-screen-capture.pdf.

В последнее время участились инциденты, связанные с кражей карточных данных, в ходе которых злоумышленники узнают PIN-коды карт. Различная информация об уязвимостях, способствующих получению PIN в открытом виде, появились давно, но на тот момент представляла по большей части академический интерес. Учитывая существующие проблемы алгоритмов шифрования, озвученные в соответствующих документах и докладах, их реализация была лишь вопросом времени. Спешу вас поздравить, сейчас данные атаки стали реальностью, что подтверждается не одним авторитетным источником. Инцидент, описываемый в нижеприведенной заметке, ещё раз доказывает серьёзность проблемы. По заявлениям компании Verizon данную проблему можно решить только кардинальной сменой структуры платёжных систем.

11 ноября 2009 года

«Масштабы и охват взлома банкоматов RBS WorldPay являются беспрецедентными. Преступники украли 9 миллионов долларов в течение нескольких часов с 2100 банкоматов по всему миру. Обвинительное заключение было вынесено 10 ноября 2009 года. Я всегда слежу за судебными процессами, связанными с компьютерной преступностью, поскольку это зачастую единственная возможность узнать подробности методов злоумышленника и уязвимостей жертвы. Например, до вынесения обвинительного заключения я не нашел ни одного описания того, как именно нападавшие нарушили периметр безопасности Heartland Payment Systems. В том случае это была SQL-иньекция в общедоступном веб-приложении. Что же мы можем узнать из обвинительного заключения по делу RBS WorldPay?

В обвинительном заключении говорится, что нападавшие были способны подделывать карточки и узнавать PIN-коды, чтобы снимать наличные через банкомат. Как известно, PIN-коды, как наиболее критичная информация, хранятся в зашифрованном виде. В обвинительном заключении указывается, что злоумышленники смогли выполнить обратную инженерию алгоритма вычисления PIN-кодов. Я хотел бы обратить на это внимание, потому что они нашли способ расшифрования хранимого зашифрованного значения PIN-кода. Если это так, то это говорит об огромной уязвимости в методах хранения PIN-кодов банками. Существует множество алгоритмов хранения PIN, и некоторые старые из них весьма уязвимы. Например, в работе Decimalization table attacks for PIN cracking (англ.) исследователи Майк Бонд (Mike Bond) и Петр Зелински (Piotr Zielinski) описывают атаку на алгоритм, разработанный в эпоху банкоматов IBM 3624, и до сих пор используемый многими устройствами. Также как и в хранилище хеш-значений паролей в ОС Windows, обеспечение обратной совместимости с устаревшими методами шифрования может обернуться увеличением числа уязвимостей (речь идёт о LM и NTLM хешах – прим. ред.). Я надеюсь, что ФБР и Секретная Служба поделились подробностями новой атаки со всеми банками США.

Мы знаем то, что для того, чтобы добраться до зашифрованных PIN-кодов, злоумышленники проникли внутрь периметра RBS WorldPay. В обвинительном заключении говорится о том, что нападавшие использовали уязвимости в компьютерной сети RBS WorldPay. Это крайне туманная формулировка. Был ли это плохо настроенный межсетевой экран, уязвимость веб-приложения, отсутствие обновления на одном из серверов, или нечто другое? Это было бы интересно узнать с практической точки зрения, потому что если RBS WorldPay не выделяет достаточно ресурсов защите от подобных угроз, то вряд ли другие организации делают это.

В заключение некоторые интересные подробности. В обвинительном заключении приведены SQL-запросы, которые были выполнены злоумышленниками для управления базой данных банка, чтобы изменить денежные лимиты на счетах некоторых карт и удалить информацию о транзакциях. Неясно, каким образом злоумышленники получили доступ к серверу баз данных, был ли это доступ к командной строке самого сервера, другой машины, или SQL-инъекция. Однозначно понятно то, что игра окончена, когда злоумышленник получает возможность модифицировать таблицы баз данных. Я надеюсь, что вскоре станут известны подробности, из которых индустрия платежных карт сможет извлечь полезные уроки».

Дополнительные материалы по уязвимостям PIN:
The unbearable lightness of PIN cracking (англ.)
Formal Analysis of PIN Block Attacks (англ.)

Chris Wysopal, VERACODE
http://www.veracode.com/blog/2009/11/we-need-to-learn-more-about-the-rbs-worldpay-atm-attack/