Casino Tricks: Forscher manipuliert Spielautomat und knackt Jackpot

Mit den passenden Tools lassen sich Geldautomaten so manipulieren, dass sie unberechtigter Weise das gesamte verfügbare Geld herausgeben. Wie schnell das geht, zeigte vor kurzem ein Sicherheitsforscher auf der diesjährigen Black Hat-Konferenz in Las Vegas. Um die Schwachstellen der Geldautomaten herauszufinden, musste der Sicherheitsforscher allerdings viel Zeit aufwenden.

Herauszufinden, wie man einen Geldautomaten überlistet, damit er das gesamte Geld herausgibt, ist nicht leicht. Wurden die nötigen Hacker Tools aber erst einmal entwickelt, lässt sich ein Geldautomat spielend leicht damit plündern. Das demonstrierte Barnaby Jack auf der Sicherheitskonferenz Black Hat, die passender Weise in der Spielerstadt Las Vegas stattfand.

Barnaby Jack arbeitet als Leiter der Sicherheitsforschung beim Beratungsunternehmen IOActive Labs. Dort hatte er über das Internet gekaufte Geldautomaten verschiedener Hersteller untersucht, um ihre Schwachstellen herauszufinden. In allen vier Fällen fand er Fehler in der Programmierung und andere Sicherheitslecks. Die Ergebnisse seiner Forschung wollte der Sicherheitsexperte schon letztes Jahr auf der Black Hat-Konferenz zeigen, doch die Hersteller machten so viel Druck, dass die Vorführung schließlich ausfallen musste.

Dieses Jahr stand Barnaby Jack dann allerdings mit zwei Geldautomaten in Las Vegas auf der Bühne. Über ein Sicherheitsleck der Fernwartungsfunktion hatte er ein Rootkit in die mit Windows CE arbeitenden Geldautomaten eingeschleust. Derart vorbereitet kann über die Eingabe einer speziellen Zahlenkombination oder das Einführen einer Magnetkarte die Ausgabe des gesamten Geldbestands ausgelöst werden. Auf dem Bildschirm wird dabei das Wort „JACKPOT!“ eingeblendet.

Zu den Schwachstellen der Automaten gehört beispielsweise die Hauptplatine. Den zum Schutz verwendeten Schlüssel konnte Barnaby Jack für 10 Dollar im Internet kaufen. Mit dem Schlüssel wird die von ihm geschriebene Malware als berechtigtes Programm erkannt. Der Sicherheitsforscher möchte seine „Scrooge“ und „Dillinger“ genannten Tools nicht veröffentlichen. Die Hersteller der Geldautomaten geben an, dass die vorgeführten Sicherheitsmängel inzwischen behoben wurden. Allerdings müssen die Kunden, die Automaten zum Beispiel in Einkaufszentren aufstellen, sich um Updates bzw. Upgrades selbst kümmern.