Bitcoin ATM üreticisi General Bytes, 18 Ağustos’ta kullanıcılarından kripto paraları elde edebilmek için yazılım eski sürümlerinden gelen bir zero day saldırısına kurban oldu. Bu güvenlik açığı CAS yazılımında 2020-12-08 sürümünden beri mevcuttur. 

Bu zafiyet kullanılarak kaç sunucunun ihlal edildiği ve ne kadar kripto paranın çalındığı henüz belli değil. CAS yönetici arayüzündeki bir hatayla ilgili zero day, 20220531.38 ve 20220725.22 olmak üzere iki farklı sürüm yamasında düzeltildi. Çalınan para miktarı ve ele geçirilen ATM sayısı açıklanmadı, ancak şirket ATM operatörlerine acilen yazılımlarını güncellemelerini istedi.

General Bytes, terminalleri yeniden etkinleştirmeden önce, saldırganın yaptığı ayarları, alınan fonların kendilerine (müşterilere değil) aktarılacağı şekilde değiştirmediğinden emin olmak için müşterilere “SELL Crypto Setting” gözden geçirmelerini hatırlattı.

General Bytes, 2020 yılından bu yana “çoklu güvenlik denetimi” gerçekleştirdiğini ve bu eksikliğin hiçbir zaman tespit edilmediğini belirtti.

Saldırı Nasıl Gerçekleştirildi?

Saldırgan, sunucuda varsayılan kurulum için kullanılan sayfadaki bir URL çağrısı aracılığıyla, uzaktan bir yönetici hesabı oluşturabildi. 

Saldırganlar kendilerini CAS’ta varsayılan bir yönetici olarak eklediler ve ardından “satın alma” ve “satma” ayarlarını, Bitcoin ATM tarafından alınan herhangi bir kripto paranın saldırganların cüzdan adresine aktarılacağı şekilde ayarladılar. 

General Bytes, saldırganın kendi bulut hizmetinde barındırılan sunucular da dahil olmak üzere 7777 veya 443 numaralı TCP bağlantı noktalarında çalışan açık sunucuları taradığına inanıyor.