2016年7月中，我国台湾地区的台湾第一银行旗下20多家分行的41台ATM机遭遇黑客攻击，被盗8327余万新台币，目前该案已经破获，抓获犯罪嫌疑人并追回大部分被盗款项。360追日团队对这起针对ATM机的黑客攻击盗窃事件进行了分析，还原了整个事件的过程，分析了黑客攻击手法和过程，并据此提供了安全建议。
事件过程
台湾第一金控旗下第一银行(First Bank)是我国台湾地区(以下简称台湾)的一所大型商业银行，该行于6月初推出无卡提款服务。(以下部分内容摘自台湾媒体的公开报道)
2016年7月11日，台湾警方接到市民报案，表示看到有人在操作ATM时，行为怪异，随即ATM有不明吐钞情况。
2016年7月12日，第一银行发布公告《第一银行ATM遭异常盗领客户权益不受影响》表示“第一银行部分分行ATM提款机遭异常盗领，作案过程约5~10分钟，交易集中在7月9日和7月10日，目前本案共计遭盗取的金额约7000多万新台币，20家分行共34台ATM发生异常，目前已紧急报警处理。初步了解可能遭植入恶意软件驱动吐钞模块执行吐钞，都是德利多富(Wincor)公司的同一机型(pro cash1500机型)，目前该款机型已全面暂停服务。”德利多富(Wincor)的产品涉及银行业及零售业，在银行业包括现金类自助设备和非现金类自助服务终端及其解决方案，代表硬件产品如自动取款机、存取款一体机、多媒体服务终端、存折打印机等;业务遍及130多个国家和地区。而在这起台湾劫案中，被歹徒攻击的ATM其实是老旧机型，在ebay拍卖网站上只要1475美元就能买到。
后经第一银行清算核实，全台共有41台ATM遭到盗领，被盗金额8327余万元。这是台湾首宗银行遭跨境黑客盗领案。
2016年7月17日，台湾警方通报称，通过调取监控录像等手段，锁定该案16名嫌犯及1名关系人均来自境外，其中13人已离台，并于17日在宜兰抓获主犯拉脱维亚籍男子安德鲁，当晚又在台北抓获罗马尼亚籍和摩尔多瓦籍共犯各一人，追回赃款6050万元。经查，这伙嫌犯自7月6日起以观光名义分批从土耳其、中国香港等地进入台湾，9日至11日分别到台北市、新北市、台中市等地，以1人至3人为一组，利用木马程序入侵第一银行ATM，然后通过通讯软件远程遥控ATM自动吐钱，其余同伙则负责领钱、把风。犯案后，13名嫌犯迅速离台。已追回的6050万现钞，被存放在台北车站，嫌犯通过“情报秘密传递点”(dead drop)的方式将部分现金以“行李箱寄放”的方式存放。17日晚间，台湾当局“警政署长”陈国恩表示，跨境黑客入侵各地的ATM，渗透超过100家银行，至少有30个国家及地区受害，窃取的金额，大约已有3亿美金，且迄今悬案未破。
2016年7月18日，台湾《联合报》报道称，调查局新北市调处安全人员查出有恶意程序通过一银英国伦敦分行，侵入台湾总行。警方已约谈第一银行伦敦分行信息主管、第一银行台湾信息部门负责人及ATM厂商总部代表等3人，为查清是否有内鬼参与盗领案。在当晚10点召开的记者会上，新北市调查局指出，第一银行的ATM机器程序更新，是由内部下发主机、服务器自动下发到各ATM。7月4日，入侵者仿冒更新软件并下发至第一银行各ATM，开启ATM远程控制服务(Telnet Service)。直到7月9日入侵者再远程登录，上传ATM操控程序后，执行测试吐钞开关，经“钱骡”测试成功后，藏身在海外的幕后操控者，就开始大规模远程遥控进行吐钞，由各就各位的“钱骡”领取赃款。完成盗领后，远程操控者再将隐藏控制程序、纪录文档、执行文档全部清除。调查人员同时给出了第一银行被攻击的流程图，具体如下：
办案人员同时查出，对第一银行ATM下达吐钞指令的恶意程序，竟来自第一银行英国伦敦分行电脑主机和2个存储电话录音的硬盘，其中一个已经损毁。初步判断，犯罪集团先黑入录音硬盘，取得电脑主机的最高权限，接着在ATM硬盘内植入恶意程序，再派出外籍嫌犯入境台湾盗领现金。调查人员怀疑，盗领集团很可能在伦敦还有其他共犯，也不排除是第一银行内鬼所为的可能。
2016年7月20日，台北市警方证实，已在内湖山区找到1263万现金。安德鲁14日晚上按照指示到达西湖公园，但他等了一天也无人来取款，因此就将这些现金藏在垃圾堆中。台北警方通过复原安德鲁的行动轨迹，最终找到了这些现金。一名晨练老人在西湖公园附近停车场捡到装有454万1200元的电脑包，他将这些钱捡回家，晚间向警方报案。截止到21日，除去疑犯的生活开销，仍有约586万赃款下落不明。
事件分析
7月12日晚间，新北市有关调查部门公布了本次攻击第一银行的恶意代码相关信息：文件名、MD5 和功能简述。其中sdelete.exe程序是微软提供的正常可信程序。
在对相关攻击事件的分析中，360追日团队发现攻击者并没有使用银行卡和对ATM操作等，无需物理接触ATM，则能实现ATM吐钞达到取现的目的。这点攻击现象引起了我们的注意，以往攻击ATM的事件并不少见，但能达到不进行物理接触而使得ATM吐钞，是比较少见的，尽管多年前已有研究人员提出并验证了这一理论。
2010年7月28日，Black Hat大会上，当时任职于IOActive的Barnaby Jack展示了他多年来对ATM机程式代码的研究成果， 成功演示入侵安装有两种不同系统的ATM取款机并当场让ATM取款机吐出钱，他称之为“jackpotting”。在现场，他用了两种方法令ATM机吐钞票，一种需要物理接触ATM，而另一种则完全在远程执行自动攻击 。两种方法均需要恶意软件感染机器系统，用以执行攻击者的虚假指令。具体方法如下：
● 物理接触攻击：攻击者充分利用对目标机器的使用权，插入特制的U盘，然后利用恶意软件控制网络并命令机器吐钱。
● 远程攻击：攻击者利用远程管理系统的漏洞，安装恶意软件，大多数情况下是利用远程管理系统的默认管理员密码、账户PIN码和TCP端口。然后执行恶意软件，ATM会吐出一定数额的现金。
这个现象使我们联想到之前发现的Anunak(即Carbanak)攻击组织，该组织在攻击ATM时也可以达到同样的效果，进一步我们通过分析Anunak(即Carbanak)和台湾第一银行事件进行对比，发现二者之间有较多相似的地方，具体如下表所示：
关于Anunak(即Carbanak)
