Привет, Хабр! На связи Иван Глинкин, специалист по аппаратному реверс-инжинирингу из команды Бастиона. Сегодня поделюсь интересным кейсом разбора платежного POS-терминала. Когда-то эти маленькие черные коробочки были крепким орешком для хакеров. Однако отвертка, паяльный фен, логический анализатор и, конечно же, пытливый ум исследователя творят чудеса. К тому же сами разработчики и даже регуляторы порой дают в руки исследователям все козыри, будто только и ждут успешного взлома устройств. 

Эта статья — не просто очередной «сказ про то, как железку взломали», а попытка вывести универсальную методологию аппаратного реверс-инжиниринга на основе исследования конкретного устройства. Мы пошагово пройдем весь путь: от сбора информации в открытых источниках до физического вскрытия, обхода защиты и перехвата «секретных переговоров» между чипами.

Итак, часть первая: вскрытие и разведка боем. Поехали!

Маленькая коробочка для больших денег

Оплата курьерской доставки, заказа в кофейне, покупки в супермаркете: мы, не задумываясь, доверяем POS-терминалам свои деньги каждый день. Но насколько безопасны транзакции и хорошо ли защищены эти устройства?

В информационном поле то и дело встречаются новости об очередных опасных уязвимостях в подобных терминалах. Например, в 2024 году группа польских исследователей нашла в терминалах известной китайской фирмы шесть уязвимостей, через которые можно было поднять привилегии до root, обойти защиту песочницы и получить полный доступ к выполнению операций. И это только один пример. Так что команда Бастиона не могла обойти вниманием эти маленькие коробочки, в которых оборачиваются большие деньги. 

На сей раз ко мне в руки попал карманный мобильный POS-центр QPOS Mini. Устройство было нерабочим и, судя по всему, давно выведенным из эксплуатации. При включении всплывало уведомление «Защищенный режим», а соединение со смартфоном не устанавливалось. 

На вид терминал напоминает обычный калькулятор. Его длина — 89,7 мм, вес — всего 75г. На сайте вендора можно найти характеристики устройства — вот самые важные: 

• Операционная система: RTOS;

• Процессор: 32-bit ARM 108MHz;

• Память: 256KB RAM, 1MB Flash;

• Батарея: 3.7V/250mAh;

• Коммуникация: Bluetooth 3.0 & 4.2;

• Поддерживаемые карты: контактные и бесконтактные EMV-карты, карты с магнитной лентой, NFC (включая Mifare).

Впрочем, нас больше интересует богатый внутренний мир терминала — платы, основные компоненты и их расположение.

Шаг 1: разведка на диване, или Всё уже вскрыли до нас

Как говорится, удача любит подготовленных. 90% работы можно сделать, не доставая паяльник и отвертку и даже не вставая с дивана. Первый шаг в рамках нашей методологии — тщательное изучение открытых источников и сбор информации об устройстве. 

Представленная в интернете техническая документация буквально разбирает до винтика тестируемое устройство. Эти разведданные помогают еще до физического взлома определиться с подходящими методами и средствами атаки, подобрать инструментарий. Словом, OSINT, OSINT и еще раз OSINT!

Американский аттракцион щедрости для аппаратного хакера 

Куда же стоит заглянуть при сборе информации для аппаратного реверс-инжиниринга платежного POS-терминала? Для начала зайдите на официальный сайт американской FCC (Federal Communication Commission) — Федеральной комиссии по связи. FCC — это своеобразный аналог российского ФСТЭК. В США любое электронное устройство, которое передает радиоволны, должно пройти сертификацию FCC перед выводом на рынок. Правда, сайт госоргана довольно неудобный и к тому же не работает в России без VPN. Гораздо проще доставать нужную информацию через созданное энтузиастами зеркало. 

Сайт FCC — клондайк полезной информации для аппаратного хакера. Здесь вам и характеристики платежного терминала, и отчеты по испытаниям и замерам, и, наконец, самое интересное — детальные фото и схемы «интерьера» и «экстерьера» устройства. Даже не нужно разбирать сам терминал, чтобы понять, как он устроен. Это всё равно что производитель сейфов, обязанный публиковать в открытом доступе изображения внутренностей своей продукции — взламывайте на здоровье! В результате у нас есть фотографии платы в высоком разрешении, понимание всех компонентов терминала (NFC, Bluetooth-антенна и т. д.) и их расположения. 

Собираем анамнез

Переходим от общего устройства терминала к конкретным компонентам. После сбора информации с сайта FCC я отправился искать в сети даташиты на ключевые чипы, а также сведения о приложении и прошивке. Вот самые полезные находки:

• Даташит на модуль YC1021, передающий данные по Bluetooth с устройства на смартфон. В документации подробно описаны характеристики и устройство микросхем Bluetooth-модуля. 

• Даташит на основной чип MAX23550. Это электронный мозг устройства и полноценный SoC (System on Chip). Важно, что чип содержит флеш-память на 1 мегабайт, где хранится вся прошивка устройства. К слову, в планах — вытащить оттуда прошивку. Сложность в том, что в чипе реализован форм-фактор с шарами вместо традиционных пинов. Соответственно, придется выпаивать модуль и искать подходящий адаптер для считывателя. Но когда дополнительные трудности останавливали настоящего аппаратного хакера?

• Техническая спецификация на POS-терминал с сайта разработчика. Это подробное досье устройства: как оно выглядит, что содержит, какими обладает характеристиками и какие сертификации имеет. Представлена информация об операционной системе (RTOS — Real Time Operating System), процессоре, оперативной памяти, дисплее и т. д. 

• Сайт российской локализации мобильного приложения LifePay. Здесь также можно найти сведения об устройстве терминала, принципах работы и установке мобильного приложения. Отдельный раздел сайта содержит инструкции по обновлению прошивки. Правда, самой прошивки здесь нет — её придется запрашивать у разработчика.

• GitLab-репозиторий для мобильного приложения на Android. С его помощью можно допиливать приложение, добавлять сертификаты на карты «Мир» и решать другие задачи. 

• Российский ресурс 2can. Там лежат готовая прошивка для мобильного приложения, инструкции по обновлению, драйверы для ОС, сам загрузчик. Это бесценный материал для дальнейшего анализа. 

Также кое-какие сведения, а именно название устройства и MAC-адрес, удалось узнать при попытке подключиться к терминалу по Bluetooth еще до вскрытия устройства. Спойлер: эти данные совпадут с теми, что позже выдаст логический анализатор на этапе перехвата переговоров. 

Итого: за несколько часов удалось найти фото внутренностей устройства, схемы ключевых чипов и даже образец прошивки — и для этого понадобился лишь компьютер и интернет. 

Шаг 2: аккуратное вскрытие

Следующий этап — деликатное вскрытие устройства. Здесь нужно действовать как опытный домушник (уж простите за такое сравнение) — чисто и не оставляя следов. Но обо всем по порядку.

«За четырьмя печатями» 

Крышка с задней стороны терминала закрыта на четыре винтика, помеченных защитными гарантийными наклейками. Если они надорваны или отсутствуют — значит, устройство вскрывали, и гарантия на него больше не действует. Вернуть такой терминал уже не получится. Так и напрашивается аналогия с приклеенным к дверному косяку волоском из шпионских фильмов. 

«Танцы с паяльным феном»

Как известно, против лома нет приёма. На YouTube я подсмотрел способ, как аккуратно снять гарантийные наклейки: сначала нагреваем их паяльным феном до 80–100 °C, чтобы размягчить клей, затем с помощью шприца впрыскиваем под край изопропиловый спирт. 

На видео всё выглядело просто и элегантно, но на практике оказалось сложнее: как видно на фото ниже, из четырех наклеек только две удалось снять без повреждений. Проблема в том, что наклейки утоплены глубоко в пазы корпуса — чтобы извлечь их, не повредив, нужно серьезно изловчиться. 

Тем не менее, сам факт, что половину стикеров удалось сохранить в хорошем виде, говорит о том, что метод рабочий. Если знаете более надежный способ снять такие наклейки, поделитесь им в комментариях — будет интересно сравнить результаты.

Заглядываем внутрь

Наконец корпус устройства вскрыт. Перед нами аккумулятор, NFC-антенна, необходимая для прикладывания смарт-карт, и дополнительная батарея. 

Первым делом отпаиваем аккумулятор, чтобы ничего не сломать и не замкнуть контакты. 

Далее осторожно открываем верхнюю крышку основной платы, где находятся ключевые компоненты: Bluetooth-модуль, управляющий чип MAX23550 и прочее. Затем отпаиваем NFC-антенну и дополнительную батарею. 

Шаг 3: anti-tampering — обход «сигнализации»

Теперь нужно обойти защиту от вскрытия (так называемый anti-tampering), которой оснащается большинство подобных POS-терминалов. При попытке включения вскрытое устройство и вправду впало в панику перешло в защитный режим (Limiting mode) и отказалось работать. Это напоминает датчик вскрытия корпуса на ПК. Но где наша не пропадала? Обойти «сигнализацию» помог старый добрый метод «научного тыка». 

Маленькая кнопка — большая победа

Внимательно осмотрев устройство, я обнаружил едва заметный микропереключатель на оборотной стороне платы. На задней крышке видны пластиковые «ноги», которые как раз зажимают данную кнопку. Нажимаешь ее, и терминал больше не считает себя вскрытым и «просыпается». Убираешь палец с переключателя — тревожный сигнал поступает на чип, и снова всплывает надпись «Limiting mode». Бинго! 

Хотя нужно еще найти заветный переключатель. Может быть, придется выпаять какой-нибудь резистор или другой компонент, перекрывающий доступ к кнопке. 

Другой вопрос: как зафиксировать переключатель в нажатом состоянии? Можно, конечно, постоянно давить на него пальцем, но есть способ удобнее. Достаточно демонтировать кнопку и аккуратно запаять ведущие к ней два контакта перемычкой из припоя. Всё гениальное просто: защита от вскрытия обойдена легким движением руки паяльника.

Шаг 4: перехват переговоров — подслушиваем UART

Теперь переходим к следующему этапу нашего взлома — прослушиванию UART и перехвату «переговоров». Спойлер: всё самое интересное происходит не в радиоэфире, а на самой плате. Но не будем забегать вперед. 

Ищем RX/TX, или Где у чипов «уши» и «рот»?

Прежде всего возвращаемся к технической документации на Bluetooth-чип и находим выводы RX (Receive — прием) и TX (Transmit — передача): этот интерфейс UART служит «прямой линией» для обмена информацией с главным процессором. Рассматриваем под микроскопом плату и сам чип, сверяем всё с микросхемой из документации… Вот они — «уши» и «рот» чипа (те самые RX и TX). 

По идее именно к этим выводам нужно подключить логический анализатор для перехвата сигналов. Вот только, как видно на фото, подобраться с паяльником непосредственно к ножкам чипа — всё равно что «подковать блоху». Придется действовать ювелирно, и есть риск повредить плату.

Никаких проблем! Прослеживаем дорожки от ножек чипа к более удобным для соединения контактным площадкам и действуем дальше. В качестве механизма соединения используем PCBite probes, так как они позволяют достаточно точно установить контакты без пайки в ограниченном рабочем пространстве. А с помощью специальной программы для перепрошивки можно узнать baud rate для подключения через UART. Программа выдала два показателя: 115 200 и 3 686 400. Оказалось, что нам нужен первый из них (115 200). 

Подключаем анализатор и видим всё

Теперь подключаем к найденным точкам на плате UART-адаптер, а потом — логический анализатор, и наблюдаем поток данных между чипом SoC и Вluetooth-модулем (частично в зашифрованном, а частично в открытом виде).

Как видно, зашифрованные «крокозябры» соседствуют с читаемыми комбинациями: CFF, CMF, ATNM, ASTL, E-Mouse и т. д. Чип SOC отправляет AT-команды на Bluetooth-модуль, а тот, в свою очередь, незатейливо отвечает «ОК». Вот соединение и перехвачено.

Правда, неясно, шифруется ли трафик при проведении транзакций и рабочем чипе. В таком случае Bluetooth-модуль передает информацию в мобильное приложение, которое потом направляет данные по HTTPS. Не исключено, что такая передача тоже осуществляется в незашифрованном, читаемом виде. Но это нам еще предстоит выяснить в следующей части исследования.

Загадка AT+NVRAM — ключ шифрования на ладони?

Как выявил дальнейший анализ, иногда критическая уязвимость — это не баг, а фича или, точнее говоря, архитектурное решение. Но обо всем по порядку. 

AT-команды в прямом эфире

Итак, берем логический анализатор и передаем вывод в программу Logic 2 (PC-клиент для логического анализатора). Очевидно, что в незащищенном виде на микросхему передаются AT-команды. Чип задает Bluetooth-модулю его имя (AT+NAME), MAC-адрес (AT+ADDRESS) и т. д. 

Перечень основных AT-команд: 

• AT+NAME — имя устройства;

• AT+ADSS — MAC-адрес;

• AT+BLEADSS — Bluetooth Low Energy (BLE) адрес;

• AT+BLENAME — BLE-имя;

• AT+UARTC=1 — предположительно, эта команда означает, что используется вывод 1 коммуникации UART.

Следы неудачной авторизации 

В одном из ответов всплыл код: 0хС5 0х01 0х80 0х44. Незамысловатая проверка (перевод последовательности в формат HEX и поиск в Google) показала, что такая комбинация используется системой Windows в уведомлениях о неудачных попытках авторизации. Или это совпадение, или кто-то решил унифицировать в терминале ошибки, сделав их такими же, как в Windows. С этим еще будем разбираться. 

«Тайна третьего байта» 

Итак, главный чип передает зашифрованную информацию на Bluetooth-модуль, который тоже отвечает что-то непонятное. Интересно, что все ответы практически однотипные: 040Е 0401 03FC и т. д. 

Различия в ответах прослеживаются только в третьем байте: либо 01, либо 03, либо 10. От чего это зависит, опять же, нам еще предстоит выяснить. 

Загадочная «посылка» AT+NVRAM

Среди передаваемых AT-команд бросается в глаза интересная последовательность: AT+NVRAM — и далее длинный набор зашифрованных данных. Как известно, NVRAM означает энергонезависимую память с произвольным доступом, которая сохраняет данные даже при отключении питания. Вluetooth-модуль же по обыкновению отвечает на команду лаконичным «ОК». А что, если в этой шифрованной «абракадабре» (переведенной в формат HEX) и кроется сеансовый ключ шифрования? 

Если гипотеза верна, то защищенный процессор передает ключ по открытому каналу на Bluetooth-чип для дальнейшей работы — вот это поворот! С таким же успехом можно отправить получателю ключ от сейфа в обычном почтовом конверте с курьером. 

Если это смелое предположение подтвердится, то загадочную последовательность получится использовать для расшифровки памяти, где хранятся все данные. Возможно, именно этим мы и займемся в первую очередь в следующей части исследования.

Вместо заключения: что в сухом остатке и куда копать дальше?

Что можно вынести из первой части исследования? Перечислим по пунктам. 

1. Методология аппаратного реверс-инжиниринга платежного POS-терминала верхнеуровнево делится на несколько основных этапов: 

   • разведка и OSINT;

   • деликатное вскрытие устройства;

   • обход защиты против вскрытия;

   • перехват и прослушивание сигнала;

   • проверка гипотез и получение доступа к данным;

   • перепрошивка устройства.

   Пока что два последних этапа остались за рамками исследования — так что работы еще непочатый край.

2. Тщательный OSINT — залог успешного взлома. В открытых источниках хранится масса ценной информации об общем устройстве терминала, его компонентах и характеристиках. Это позволяет сэкономить время при взломе и заранее определиться с техниками и инструментарием. 

3. Anti-tampering (защита от вскрытия) также нельзя назвать броней. Система защиты оказалась бессильной перед простой перемычкой из припоя. Главное — хорошенько осмотреть плату, поэкспериментировать и найти нужный переключатель. Словом, метод «научного тыка» никто не отменял. 

4. Внутренний обмен данными между чипами — вот главная «ахиллесова пята» подобных терминалов. Только часть отправляемой по UART информации шифруется, к тому же передача осуществляется по открытому каналу. Это открывает не простое, а прямо-таки панорамное окно возможностей для успешного взлома. 

5. Выдвигайте критические гипотезы. Для этого нужно обращать внимание на странные закономерности и непонятные зашифрованные фрагменты, наподобие нашей загадочной команды AT+NVRAM. Если предположение о передаче сессионного ключа шифрования по открытому каналу подтвердится, то налицо фатальная угроза безопасности. 

Дайте знать в комментариях, интересно ли вам продолжение этой истории «препарирования» POS-терминала. Если интерес окажется высоким, вот чем займемся в следующий раз: 

• будем выпаивать чип памяти; 

• проанализируем полную прошивку в поисках криптоконтейнеров; 

• пытаться расшифровать прошивку с помощью перехваченного ключа;

• попробуем перепрошить устройство, чтобы вернуть его к жизни. 

Оставайтесь на связи — впереди много интересного. 

Еще приглашаю всех в свой телеграм-канал: http://t.me/glinkinivan. Там вы найдете массу интересного по теме реверс-инжиниринга. 

Бастион — защищаем бизнес от киберугроз

t.me/bastiontech — делимся собственным опытом, экспертизой, результатами исследований и прогнозами