Кому-то работа, а кому-то — хобби.
Основатель американской компании по информационной безопасности Джон Стрэнд рассказал на конференции, как в 2014 году его мать взломала систему безопасности тюрьмы Южной Дакоты, не имея соответствующего образования и знаний, рассказывает Wired. Рита Стрэнд не вызвала подозрений у охраны, проникла в исправительное учреждение под видом медицинского инспектора и взломала компьютеры.
Компания Стрэнда Black Hills занимается пентестами — тестированием системы защиты от взлома. Специалисты ищут уязвимости в системах, докладывают о проблемах компании и предлагают решение проблем.
Джон Стрэнд должен был проверить американскую тюрьму на уязвимость. Вместо хакера за дело взялась его мать
В июле 2014 года Джон Стрэнд собирался протестировать систему безопасности тюрьмы Южной Дакоты. Стрэду требовалось найти уязвимости во внутренней сети учреждения и в работе сотрудников безопасности. Чтобы сделать это, ему необходимо было проникнуть в тюрьму, не вызвав подозрений, и попробовать получить доступ к компьютерам и устройствам.
По словам Джона, неожиданно для него, его мать Рита Стрэнд захотела поучаствовать в проверке тюрьмы. Рита была финансовым директором Black Hills в течение года, а предыдущие 30 лет работала в сфере общественного питания. Она предложила притвориться медицинским инспектором, приехавшим осуществить проверку учреждения на соответствие нормам питания и содержания заключённых.
Пентестерам разрешено проникать на территорию проверяемой организации, хотя до прояснения ситуации взломщика может задержать полиция. Несмотря на опасения, Джон согласился отправить мать для проверки тюрьмы.
Мать хакера притворилась медицинским инспектором, проникла в тюрьму и взломала систему безопасности
Рите требовалось проникнуть в тюрьму под видом медицинского инспектора, сфотографировать все точки доступа и средства осуществления безопасности. Так как она не могла самостоятельно взломать компьютеры, ей необходимо было подсоединить так называемые «USB-утки» к как можно большему количеству компьютеров. Данные с «флешек» моментально поступали к сотрудникам Black Hills, которые их анализировали.
USB Rubber Ducky — это устройство в виде флешки, в которое встроена программа, с большой скоростью перехватывающая данные с подключённого компьютера.
Джон сделал для матери карточку медицинского инспектора с логотипом компании, её фотографией и контактными данными.
В день пентеста сотрудники Black Hills, Джон и Рита оборудовали место работы в кафе недалеко от тюрьмы. Рита поехала в учреждение на единственной машине компании. Джон переживал, что в случае проблем не сможет оперативно приехать к матери: «Когда она уехала, я подумал, что это действительно плохая идея».
Спустя 45 минут после отъезда Риты, сотрудники Black Hills получили доступ к компьютерам и серверам тюрьмы — мать хакера подключила USB-устройства.
По словам Риты, она легко попала на территорию тюрьмы: охранники пропустили её, разрешили пронести телефон и даже оставляли одну. Чтобы не вызвать подозрений, Рита проверила кухню на наличие просроченных продуктов, состояние техники, чистоту пола и поверхностей.
Под предлогом проверки на наличие плесени и насекомых, Рита попала в рабочие кабинеты сотрудников, зоны отдыха, операционный центр и в помещение с серверами.
Начальник тюрьмы пригласил Риту в свой кабинет, чтобы посоветоваться, как он может улучшить питание в учреждении. Она ответила, что не может проконсультировать его, но поделится специальным чек-листом, который поможет учреждению устранить недостатки.
Рита подключила к компьютеру начальника «USB-утку» с текстовым файлом чек-листа, в котором содержался вредоносный макрос. Сотрудники Black Hills были поражены, как легко смогли получить доступ к данным тюремного начальника: «Это был ошеломляющий успех».
Джон Стрэнд не рассказал, в какой именно тюрьме его компания проверяла систему безопасности, но, по его словам, меры безопасности там улучшили.
Основатель фирмы по информационной безопасности Trusted Sec Дэвид Кеннеди, услышав историю Стрэнда сказал, что подобные ситуации происходят у пентестеров постоянно: «Если вы скажете, что являетесь инспектором, аудитором, авторитетным лицом — всё возможно».
