Примеры атак на пользователя

Заказ 1: ICQ

Заказчик Куваев (здесь и далее фамилии и информация, позволяющая

идентифицировать фамилии, изменены) - сотрудник крупнооптовой

фирмы-импортера компьютерных комплектующих, работает старшим

менеджером по закупкам в крупной компании Вологды.

Традиционно большая часть переговоров Куваева с партнерами происходит по ICQ.

Руководство фирмы прочитало в газете "Известия", что программа ICQ -

ненадежная. Учитывая, что список компаний, у которых

закупается товар, есть информация конфиденциальная, цены и объемы

закупок - средне-конфиденциальная, а из фирмы недавно со скандалом

ушел один из ключевых сотрудников, руководство решило провести аудит

компьютерной безопасности.

Перед экспертом был поставлен вопрос: что может сделать враг с бюджетом в $500?

Изучение ситуации показало, что ICQ-номер Куваева зарегистрирован

больше семи лет назад. При регистрации нужно было указывать

e-mail-адрес. Вероятно, в тот момент у Куваева не было e-mail-адреса

или он не хотел его давать, - так или иначе, был указан адрес

qwert@lkjlkj.asdfsdfs.com. Предположительно, Куваев набрал на

клавиатуре случайную последовательность символов, выглядящую как

e-mail-адрес (даже доменного имени asdfsdfs.com не существовало).

Атака состояла в регистрации доменного имени asdfsdfs.com, создании в

домене компьютера lkjlkj.asdfsdfs.com и заведении на нем пользователя

qwert; после этого в фирму Mirabilis (владельцы системы ICQ) была

направлена просьба выслать якобы утраченный пароль на адрес, указанный

при регистрации, что и было выполнено.

Зная пароль, можно его сменить (то есть сделать невозможным

пользование данным номером для легального адресата), а можно и

получать всю текущую информацию от многочисленных поставщиков.

Если бы атака была проведена врагом, как подсказал нам Куваев, враг

мог уведомлять соединяющихся по ICQ поставщиков об изменении адреса

склада в Вологде и просить их срочно перенаправить поток грузов по

новому адресу. Учитывая объемы поставок и принятую в этом бизнесе

оплату с отсрочкой 60 суток после получения товара, враг мог неплохо

поживиться и создать немало проблем организации, в которой работает

Куваев~

Демонстрация уязвимости была осуществлена за двое суток, расходы по

осуществленному пути составили $150. В Вологде есть несколько организаций, способных осуществить такую атаку (Здесь и далее формулировки взяты из официальных отчетов).

Заказ 2: Кража информации из замкнутого помещения

Специфика работы заказчика была такова, что клиенты в офис не

приходили, а деятельность в целом носила сугубо конфиденциальный

характер. Перед аудитором был поставлен вопрос: может ли враг,

располагающий суммой в $1500, украсть какие-либо данные. Персонал

заказчика о мероприятиях уведомлен не был.

Изучение ситуации показало, что физическая защищенность офиса

исключает проникновение посторонних лиц; подкуп сотрудников тоже был

маловероятен, благодаря специфике их подбора по национальному признаку

и личной преданности заказчику.

Удачной оказалась следующая атака:

Наружное наблюдение позволило предположить, что системный

администратор заказчика Чхеидзе увлекается мексиканскими народными

песнями. Это было подтверждено осмотром открытых форумов Рунета, где

Чхеидзе размещал сообщения по данной теме под своей фамилией.

Сообщения Чхеидзе в форумах были проанализированы. Выяснилось, что он

разочарован имеющимися в Рунете музыкальными серверами, уделяющими

недостаточное, на его взгляд, внимание песням народов Мексики.

Был создан русский сайт, полностью посвященный мексиканским песням

(усилиями внешнего специалиста была переведена часть известного

испаноязычного сайта, а также сделаны два изменения, соответствующие

критике Чхеидзе в адрес существующих сайтов).

На Чхеидзе была осуществлена социальная атака - плакат с рекламой

сайта был трижды опущен ему в почтовый ящик, повешен на дверь

подъезда, положен под дворник лобового стекла машины, ему был послан

спам с рекламой сайта. Аналогичные меры были предприняты в отношении

девушки, которая, как предполагалось, имела виды на Чхеидзе.

Чхеидзе с рабочего компьютера зашел на созданный под него сайт.

Основной удар планировался по линии продажи ему, как "первому

правильно ответившему на все три вопроса", за $20 слегка

модифицированного "фирменного" диска, которого в продаже в России не

было и о цене которого в США ($110) Чхеидзе не раз сожалел в форумах.

Но аудитору повезло - удалось обойтись более простыми средствами. На

рабочем компьютере Чхеидзе был установлен Internet Explorer 5.01, хоть

и с SP1, но без заплатки Q275609. Поэтому, пока Чхеидзе наслаждался

музыкой и переписывал с сайта файлы, сайт переписал несколько файлов с

сетевых дисков заказчика.

Показательна реакция руководства на демонстрацию распечаток файлов -

побледневший начальник, не дожидаясь объяснений, позвонил в службу

безопасности и потребовал организовать полную сверку журналов

входа/выхода сотрудников с видеозаписью.

Демонстрация уязвимости была осуществлена за девять суток, прямые

расходы по осуществленному пути составили $1200. В Вологде есть

организации, способные осуществить такую атаку.

Заказ 3: Враждебный клиент

Заказчик Петренко - работающий индивидуально консультант по таможенным

вопросам. Важную информацию к клиентам и от них он, не доверяя

Интернету, переносил в наручных часах, в которые было встроено

устройство с энергонезависимой flash-памятью и USB-интерфейсом (далее

- флэшка). Данные на флэшке - сугубо конфиденциальны. Содержимое

шифровалось идущим в комплекте с флэшкой программным обеспечением.

Перед экспертом был поставлен вопрос: насколько такой способ

гарантирует сокрытие данных в случае потери или физического изъятия

флэшки при бюджете врага $1000?

Изучение ситуации показало, что Петренко неправильно оценивает слабое

место в системе.

К одному из своих клиентов Петренко сел в машину, благодаря чему

выяснилось, что клиента зовут Вахитов Сергей Рустемович.

Заказчику позвонил сотрудник эксперта Дятлов, которого Петренко не

знал в лицо. Он представился живущим в Норильске другом Сережи

Вахитова, который якобы дал Дятлову телефон Петренко и посоветовал

обсудить с ним свои таможенные проблемы. Дятлов рассказал выдуманную

проблему с таможней, подобранную внешним специалистом по просьбе

эксперта так, чтобы на ее решении консультант мог немало заработать и

получить постоянного клиента. Не проверяя контакта у Вахитова,

Петренко выехал к Дятлову в гостиницу, вставил в ноутбук Дятлова свою

флэшку и ввел свой пароль. После этого Дятлов, изображая плохое

владение встроенной в ноутбук мышью, не торопясь переписал свой файл

Петренко. В это время ноутбук Дятлова скопировал с флэшки вообще все

файлы.

На следующий день ничего не подозревающему Петренко были предъявлены и

пароль, и все его файлы. Удивленный, он лишь огорченно вымолвил: "Черт

возьми, я так и думал, что она не просто так на ночь старалась

остаться. Но как ей удалось открыть сейф?!"

Демонстрация уязвимости была осуществлена за шесть суток, прямые

расходы по осуществленному пути составили $800. В Вологде есть организации, способных осуществить такую атаку.

Заказ 4: Куда уходит Интернет?

Заказчик Левитов - руководитель фирмы, занимающейся финансовыми

консультациями. Перед экспертом был поставлен общий вопрос о слабых

местах в компьютерной безопасности фирмы. Сотрудники Левитова были

уведомлены о предстоящей экспертизе.

Исследование показало, что в здании используются устаревшие

радиотелефоны, что дает возможность врагу, находясь в пределах

досягаемости базы радиотелефона (например, в этом же здании, но на

другом этаже), позвонить с трубки-двойника по номеру 02 и сообщить о

заложенной на вокзале бомбе. При этом милиция определит, что звонок

произошел с номера организации Левитова, что прервет нормальную работу

на некоторое время.

Также исследование показало, что один из компьютеров без ведома

Левитова использовался в качестве сервера для хранения и

распространения фотографий и видеозаписей порнографического

содержания. Кто именно организовал порносервер, выяснить не удалось,

но счета за Интернет оплачивал Левитов.

Заказ 5: Что русскому хорошо, то немцу смерть

Российская компания, обслуживавшая компьютерный парк крупного

корпоративного клиента, использовала программный комплекс

автоматизации предприятий, поставляемый одной из ведущих немецких

софтверных фирм. Руководство компании обдумывало поступившее от

немецкой стороны предложение стать их эксклюзивными представителями на

территории Вологодской области , дававшее возможность

выйти с этими продуктами на рынок других корпоративных клиентов. План

предусматривал значительные затраты как в виде платежей немецкой

стороне, так и в виде вложений в России. Руководство компании

поставило перед экспертом вопрос: верно ли утверждение немецкой

стороны о невозможности взлома защиты данной программы и записи ее на

пиратский CD?

Бюджет врага был оставлен на усмотрение эксперта и задан как "типичный

для пирата".

Исследование показало, что уровень цен на базовый модуль САПР данной

фирмы в Германии составляет около 15000 евро (лицензия на десять

пользователей), и каждый дополнительный модуль стоит от 700 до 4000

евро. Для домашнего пользователя программа интереса не представляет.

Отсюда был сделан вывод о малой вероятности попадания программы к

пиратам путем ее закупки и взлома легальной версии. Однако вероятным

является приобретение крупной компанией лицензии на десять

пользователей, взлом защиты усилиями своих или сторонних специалистов

и установка программы внутри компании на значительное число

компьютеров. После этого при неблагоприятном стечении обстоятельств

можно ожидать появления взломанного дистрибутива и у пиратов.

Исходя из этого, бюджет проекта был оценен в $2000.

Изучение предоставленного заказчиком дистрибутива показало, что для

защиты используется комплекс, состоящий из двух частей: программной

защиты, сделанной специалистами фирмы-разработчика, и ключа HASP фирмы

Aladdin для LPT-порта. Как известно, некий хакер из Санкт-Петербурга

еще в 2000 году написал низкоуровневый драйвер ключа HASP, который

устанавливается на место стандартного драйвера и самостоятельно

обрабатывает вызовы к ключу. Однако фирма-разработчик либо не знала об

этом, либо не сочла возможным приобрести новую версию HASP (для

которой общеизвестного пути взлома по состоянию на сегодняшний день

нет).

Изучение программной защиты, написанной специалистами

фирмы-разрабочика, показало, что она заключается в привязке к

MAC-адресу сетевой карты (MAC-адрес представляет собой уникальный

шестнадцатеричный серийный номер, назначаемый каждому сетевому

устройству Ethernet для идентификации его в сети, например

12:34:56:78:90:AB). Атака на эту защиту состояла в установке второй

сетевой карты, в которой можно изменять MAC-адрес (такие, вопреки

стандарту и общественному мнению, существуют).

Таким образом, было выяснено, что при наличии дистрибутива данной

программы и одного HASP-ключа ее можно инсталлировать на любое

количество компьютеров. Поточные расходы состоят в установке в каждый

из компьютеров дополнительной сетевой карты стоимостью $10 (при

инсталляции клиент-серверной версии дополнительную карту нужно

вставлять только в сервер). Эмулятор ключа можно записать на CD (то

есть можно изготовить дистрибутив, позволяющий инсталлировать

программу без оригинального носителя и без доступа к ключу HASP).

Демонстрация уязвимости была осуществлена за пять суток, прямые

расходы по осуществленному пути составили $500.

Заказ 6: Подмена системного администратора

Заказчик - частная организация, созданная на базе существовавшей в

СССР государственной структуры и участвующая в конкурсах на выполнение

госзаказа.

Перед экспертом был поставлен вопрос о том, может ли враг получить

доступ к материалам конкурсной заявки при бюджете в $5000.

Исследование показало, что здание, в котором расположена структура, по

старой памяти охраняется вооруженными часовыми и войти в него

непросто. Подкупить рядового сотрудника можно, но доступ к материалам

заявки есть лишь у высокопоставленных должностных лиц, причем точный

их список выяснить не удалось.

Оказалось, что здание имеет два выхода в Интернет, но используются они

не как основной и резервный, а параллельно (некоторые отделы

пользуются одним провайдером, остальные - другим). Роутинг был

настроен так, что с пятого этажа на седьмой письма шли не по

внутренней сети, а через провайдеров (и, более того, через США - но

это уже проблема провайдеров). Один из провайдеров был небольшой

организацией.

Атака была произведена следующим образом: Преснякова, сисадмина

мелкого провайдера, переманили на другую работу (представитель

дружественной организации написал ему письмо с хвалебным комментарием

статьи последнего в журнале "Connect", завязалась переписка, в

результате которой Преснякову предложили такую зарплату, от которой

невозможно отказаться). Руководство провайдерской компании срочно

стало искать нового сисадмина, в частности, дав об этом объявление на

"http://www.region35.ru/job"

К ним пришел на беседу человек, которого было невозможно не

взять, особенно с учетом его склонности получать удовольствие от

решения проблем, а не от большой зарплаты.

Спустя сутки "засланный казачок" наладил копирование всей внутренней

почты, идущей, как вы помните, через провайдера. Полного текста

искомой заявки в e-mail-ах не оказалось, но нашлись ее существенные

куски. Попутно обнаружились:

два факта воровства;

шантаж одного сотрудника другим;

не известный руководству факт болезни ребенка одного из важных

сотрудников (ребенку была нужна операция, которую делают в Израиле за

$60000, а сотрудник имел право подписывать финансовые документы);

фотография сотрудницы, использующей рабочее место для осуществления

неподобающего поведения по отношению к неустановленному мужчине.

Демонстрация уязвимости была осуществлена за восемнадцать суток.

Прямые расходы по осуществленному пути составили $4800.

Заказ 7: Ловля на живца

Заказчик – преподаватель одного из ВУЗов, стал получать письма угрожающего содержания. Перед экспертом была поставлена задача, определить личность человека, рассылающего письма с бюджетов в 300$.

Анализ показал, что письма отправлялись с анонимного почтового сервера mail.rambler.ru. После переписки с администрацией сайта были получены IP адреса, откуда производилось подключение к данному почтовому ящику.

Как оказалось, подключения производились с нескольких анонимных прокси – серверов, но сам почтовый ящик содержал инструкцию на пересылку всей почты на другой почтовый ящик на www.mail.ru. На www.mail.ru очевидно содержался сборный почтовый ящик. Сделав запрос в поисковых системах по адресу этого почтового ящика, были определены два форума, где он бывал довольно часто. Был определен его ник «destroy». На форумах он участвовал в конференциях, посвященных наладонным компьютерам и не однократно высказывал желание купить одну из моделей фирмы HP.

Атака была произведена следующим образом.

На www.by.ru была создана страничка несуществующей фирмы в городе Санкт–Петербурге, проводящей акцию, призом которой являлась интересующая человека модель наладонника. В ходе акции нужно было ответить на три простых вопроса и заполнить бланк участника. На форумах, которые посещал данный человек, была распространена реклама. Такая - же реклама была брошена в его почтовый ящик на mail.ru. Скрипт на страничке-ловушки, отсеивал все запросы, кроме тех на которых был указан город Вологда и IP Вологодской области и анонимных прокси – серверов.

Через несколько дней были получены полные данные по этому человеку, включая адрес и его домашний телефон. Им оказался племянник преподавателя. Осмотр его домашнего компьютера полностью подтвердил факт рассылки писем.

Прямые расходы на поиск составили 30$.