Hacker: Näin minä törmäsin hakkerointijoukkueeseen

Lähes vuosi, kun Italian valvontajärjestelmäohjelmiston valmistaja Hacking Team sai sisäiset sähköpostit ja tiedostot vuotaa verkossa, rikkomuksesta vastaava hakkeri julkaisi täydellisen selvityksen siitä, miten hän tunkeutui yrityksen verkko.

Phineas Fisherin verkossa tunnettu hakkeri julkaisi lauantaina asiakirjan, joka on tarkoitettu muiden hacktivistien oppaaksi, mutta myös sytyttää valoa siitä, kuinka vaikeaa on, että jokin yritys puolustaa itseään määritellyllä ja taitavalla hyökkääjällä.

Hakkeri liittyy hänen espanjankielisiin ja englanninkielisiin versioihinsa parodike Twitter -tilistä nimeltä @GammaGroupPR, jonka hän perusti vuonna 2014 edistääkseen Gamma Internationalin rikkomista, toinen valvontaohjelmiston myyjä r.

[Lue lisää: Haittaohjelmien poistaminen Windows-tietokoneelta]

Fisherin uuden raportin perusteella italialaisella yrityksellä oli joitain reikiä sen sisäisessä tietokannassa infrastruktuuria, mutta myös käytössään hyviä turvallisuuskäytäntöjä. Esimerkiksi Internetissä ei ollut paljon laitteita, ja sen ohjelmistokoodin isäntämässä kehittämispalvelimessa oli eristetty verkko-osa.

Hakkeri mukaan yrityksen järjestelmät, jotka olivat tavoitettavissa Internetistä olivat: asiakastukiportaali, joka vaatii asiakastodistuksia, Joomla CMS: n perustuvan verkkosivuston, jolla ei ollut ilmeisiä haavoittuvuuksia, muutaman reitittimen, kahden VPN-yhdyskäytävän ja roskapostisuodatuslaitteen.

"Minulla oli kolme vaihtoehtoa: 0 päivää Joomla, etsi 0 päivää postfix, tai etsimään 0 päivää yhdellä sulautettujen laitteiden "hakkeri sanoi, viitaten aiemmin tuntemattomia - tai nolla päivän hyödyntää. "Suljettuun laitteeseen 0 päivää näytti olevan helpoin vaihtoehto ja kahden viikon työskentelyn jälkikäsittelyn jälkeen minulla on etähallinta."

Jokainen hyökkäys, joka vaatii aikaisemmin tuntemattoman haavoittuvuuden, nostaa hyökkääjien palkin. Kuitenkin se, että Fisher katseli reitittimiä ja VPN-laitteita helpommiksi tavoitteiksi, korostaa sulautetun laitteen tietoturvan huonon tilan.

Hakkeri ei toimittanut mitään muuta tietoa haavoittuvuudesta, jota hän käytti tai tietyssä laitteessa, ei ole vielä korjattu, joten se on edelleen hyödyllinen muille hyökkäyksille. On kuitenkin syytä huomauttaa, että reitittimet, VPN-yhdyskäytävät ja roskapostin torjuntavälineet ovat kaikki laitteita, jotka monet yritykset ovat todennäköisesti yhteydessä Internetiin.

Itse hakkeri väittää, että hän testasi hyödyntämistä, backdoored-laiteohjelmistoa ja jälkikäteen hyväksyttyjä työkaluja, jotka hän loi sulautetun laitteen muihin yrityksiä vastaan ​​ennen kuin heitä käytettiin hakkerointitiimiä vastaan. Näin varmistettiin, että ne eivät aiheuttaneet virheitä tai kaatumisia, jotka saattaisivat ilmoittaa yrityksen työntekijöille, kun heidät on asennettu.

Tämä kompromissi antoi Fisherille jalansijan sisällä Hacking Teamin sisäiseen verkkoon ja paikkaan, josta hän etsiisi muita haavoittuvaisia tai huonosti konfiguroituja järjestelmiä. Se ei ollut kauan ennen kuin hän löysi jonkin verran.

Hän löysi ensin todentamattomat MongoDB-tietokannat, jotka sisälsivät äänitiedostoja Hacking Teamin RCS: n valvontaohjelmistesta. Sitten hän löysi kaksi Synology-verkkoon liitettyä tallennustilaa (NAS), joita käytettiin varmuuskopioiden tallentamiseen ja jotka eivät edellyttäneet todentamista Internet Small Computer Systems Interfacein (iSCSI) kautta.

Tämän ansiosta hän pystyi asentamaan tiedostojärjestelmänsä etäyhteyden ja käyttämään virtuaalikoneen tallennetut varmuuskopiot, mukaan lukien yksi Microsoft Exchange -palvelimelle. Windowsin rekisterimerkinnät toisessa varmuuskopiossa antoivat hänelle paikallisen järjestelmänvalvojan salasanan BlackBerry Enterprise Serverille.

Live-palvelimen salasanan ansiosta hakkeri pystyi purkamaan lisää tunnistetietoja, kuten Windowsin verkkotunnuksen ylläpitäjää. Verkon kautta kulkeva sivuttainen liike jatkoi työkaluja, kuten PowerShell, Metasploitin Metrepreter ja monet muut apuohjelmat, jotka ovat avoimen lähdekoodin tai jotka sisältyvät Windowsiin.

Hän suunnitteli järjestelmänvalvojien käyttämiä tietokoneita ja varasti niiden salasanat, avaamalla pääsyn muille verkon osille, mukaan lukien RCS: n lähdekoodi.

Ensimmäisen hyödyntämisen ja käänteisen firmware-ohjelman lisäksi vaikuttaa siltä, ​​että Fisher ei käyttänyt muita ohjelmia, jotka saattaisivat olla haittaohjelmia. Useimmat heistä olivat järjestelmän hallintoon tarkoitettuja työkaluja, joiden läsnäolo tietokoneissa ei välttämättä aiheuta turvallisuusilmoituksia.

"Kyseessä on hakkeroinnin kauneus ja epäsymmetria: 100 tunnin työssä yksi henkilö voi kumota monivuotisen työn, miljoonan dollarin yritys ", hakkeri sanoi lopussa kirjoituksensa. "Hakkerointi antaa alistumiselle mahdollisuuden taistella ja voittaa."

Fisher kohdistettiin Hakkerointi-tiimiä, koska joidenkin hallitusten mukaan tiettyjen hallitusten käyttämät ohjelmistot käyttivät ihmisoikeusrikkomuksia, mutta hänen päätelmänsä pitäisi olla varoitus kaikille yrityksille, jotka voi houkutella hacktivistereitä tai joiden henkinen omaisuus saattaa kiinnostaa tietoverkkoja.