首批预售测试的生物识别Skimmer早在去年9月份就已经造出来了，目前第二批货预计很快也会抵达欧洲黑市。据说在首批测试中，开发者们还是发现了不少BUG的。主要问题就在于早期的这些生物识别Skimmer采用GSM模块来传输数据，而生物体征数据量又比较大，所以传输起来会很慢。
部署这种Skimmer的方法和一般的Skimmer是一样的：首先找一台目标ATM机，然后将做好的Skimmer以非常隐蔽的方式覆盖在ATM机原本进行生物识别的地方。这样一来，攻击者就能获取到受害者的生物体征数据。
如果说用户的生物体征数据是存储在EMV芯片银行卡上的，那么攻击者也有特别的设备能够从中提取数据——不过需要首先采用社工的方式，拿到受害者的银行卡(或者也可以直接偷)。随后，攻击者再利用恶意设备来获取卡片数据。如果这张卡用上了防篡改机制，似乎暂时还没有可从中获取数据的方案。
在此，卡片本身其实是不值钱的，真正值钱的是获取到的生物体征数据。这些数据的用途包括：用来授权使用各种银行服务(比如网上银行);进行在线欺诈交易;也可以将这些生物体征数据在黑市出售，如下图所示：
除此之外，针对脸部识别技术的破解也在进行中。当前比较主流的方案是，从受害人的社交网络中找张照片，然后将这张脸作为面具戴到攻击者的脸上，以此来欺骗ATM即的脸部识别系统。据说地下市场正在开发这套方案的移动应用。
更多潜在攻击手法
卡巴斯基实验室针对当前ATM机应用的生物识别技术，认为其攻击方式实际还可以从网络层面入手。比如说并不直接针对ATM机，而是看准生物体征数据库——这个数据库存储着所有用户的生物体征数据。
攻击方法基本也是社工：首先调查银行选择的维护支持方，也就是维护数据库的第三方，向其内部员工发起钓鱼邮件。如果说维护这个体征数据库的第三方企业员工打开了这封邮件，攻击者就能利用恶意程序来获取到管理员身份凭证;或者说利用漏洞进行提权操作，获取数据库管理员凭证。通过上传恶意程序的方式，攻击者就能从数据库中盗取生物识别数据。大致的攻击方案如下图所示：
在攻击提权阶段，攻击者还能在ATM管理员主机上找到远程管理工具——这些工具是针对ATM机进行远程操作的。由于这些ATM管理员主机已经被攻陷，利用其上的远程管理工具，可以直接向ATM机上传恶意程序，感染XFS Manager中间件，然后和吐钞部件直接交互，就能吐出现金了。
这究竟有多恐怖?
应该说，如果黑客只是贪图ATM机中的那些现金，即便存在损失，这样的损失也在可控范围内。可是如果针对的是生物体征数据，想一想，你的指纹在黑市上被人出售，这是多么恐怖的一件事!
生物体征数据具有唯一性，而且恒定不变、不可抛弃，这是其最大特色。生物识别的确在某种程度上加强了安全性，而且关键是很方便。但这种方案有个问题，生物体征数据用得越多，被盗的可能性也越大。
实际上，如今的生物体征数据是记录在e-passports(电子通行证)之上的。一旦这个e-passports被盗，则意味着生物体征数据被盗，这种识别方案宣告永久失效。它不像PIN之类的方案，一旦被窃，用户还可以通知用户进行修改。这才是现如今生物识别技术发展的最可怕之处。
卡巴斯基的这篇题为《 针对ATM通讯和认证系统的未来攻击场景 》报告，比较详细地叙述了当代ATM机的各种弱点和针对这些弱点的攻击思路，比如说针对NFC近场通讯技术的，还有ATM机内部的一些缺陷，有兴趣的同学可前往阅读完整版报告。
* FreeBuf官方报道，作者：欧阳洋葱，转载请注明来自FreeBuf.COM