Джон Стрэнд (John Strand) зарабатывает на жизнь кибервзломами. Он так называемый пентестер - специалист по информационной безопасности (ИБ), по заказу других организаций проверяющий защиту их внутренних систем и выявляющий уязвимости, которыми могут воспользоваться злоумышленники для несанкционированного проникновения, в том числе физического.
Джон Стрэнд, ИБ-эксперт и владелец компании Black Hills Information Security
Обычно за подобные задания Стрэнд берется сам, либо направляет кого-то из опытных сотрудников своей ИБ-компании Black Hills Information Security в Южной Дакоте, США, специализирующейся на пентестах. Но когда несколько лет назад услуги фирмы потребовались местному исправительному учреждению, Стрэнд сменил привычную тактику. Со взломом тюрьмы в тот раз ему помогла ... мама. О реальном случае из своей практики, который произошел в июле 2014 года, ИБ-эксперт рассказал на конференции по информационной безопасности RSAC 2020, проходящей 24-28 февраля в Сан-Франциско.
Идею поучаствовать в пентесте высказала сама Рита Стрэнд, которая тогда работала в фирме сына в должности финансового директора. До своего прихода в Black Hills Info Sec 58-летняя женщина 30 лет отдала сфере общественного питания. Имея за плечами такой профессиональный опыт, мать Джона Стрэнда предложила сыграть роль государственного саниспектора, который нагрянул с внезапной проверкой.
Сын не смог отказать матери и согласился. Чтобы Рита убедительнее смотрелась в своей роли, для нее напечатали визитку и поддельный бейдж с указанием имени и должности "санитарный инспектор". Также на всякий случай была изготовлена карточка мнимого начальника с контактными данными Джона Стрэнда.
Поддельный бейдж санитарного инспектора
Женщине предстояло проникнуть на территорию исправительного учреждения и сфотографировать пункт пропуска, а также имеющиеся там элементы систем физической безопасности. Поскольку хакерскими навыками сама Рита не обладала, Джон просто вручил ей USB-накопители с вредоносным ПО, которые нужно было вставить в любые доступные устройства в здании. В случае успеха завершить пентест и дистанционно взломать компьютерные системы тюрьмы команде Black Hills Info Sec не составило бы труда.
Утром в день пентеста Джон и Рита вместе с еще несколькими коллегами собрались в кафе неподалеку от тюрьмы. Там они обустроили нечто вроде командного пункта при помощи ноутбуков, мобильных хот-спотов и другого оборудования. Когда все было готово к операции, Рита, уже без сопровождения, отправилась в тюрьму. Перед этим Джон, который очень переживал за мать, взял с нее обещание, что если события пойдут не по плану, она сразу же позвонит ему на сотовый.
Когда с момента ухода Риты прошел почти час, от нее все еще не было никаких вестей. Джон уже начал паниковать и мысленно себя корил, но вдруг ноутбуки на столе "ожили" и замигали. Рита справилась с задачей. Флэшки, которые ей удалось установить, открыли удаленный доступ к компьютерам и серверам на территории тюрьмы.
Как потом выяснилось, никаких проблем с проникновением в учреждение не возникло. На проходной женщина представилась инспектором по санитарному надзору, который прибыл для внеплановой проверки. Охранники не только пропустили ее, но и позволили оставить при себе мобильный телефон, на который Рита записала весь ход операции.
Мнимый санинспектор побывала на тюремной кухне, где проверила температуру в холодильниках и морозильных камерах, изобразила забор бактериальных проб со столов и пола, проверила сроки годности продуктов и сделала несколько фотографий.
Ей позволили осмотреть рабочие места сотрудников и зоны отдыха, технические помещения, такие как центр управления сетью тюрьмы и серверную комнату. Все под предлогом проверки на наличие насекомых, плесени и отклонений по влажности воздуха. Отказа не было ни в чем. Более того, Рита даже смогла побродить по территории тюрьмы в одиночку, чем она воспользовалась, чтобы наделать фотографий и внедрить флэшки-жучки.
В конце "проверки" Риту в свой офис пригласил начальник тюрьмы, чтобы обсудить с ней меры по улучшению работы местной службы общепита. Поскольку в своей прежней профессии Рите не единожды приходилось сталкиваться с санинспекторами, она не понаслышке знала, что в таких случаях следует говорить. Под шумок удалось внедрить и еще одну флэшку-жучок: Рита предложила поделиться чек-листом для самоконтроля, с помощью которого можно до инспекции выявлять возможные недочеты. Соответствующий документ (с вредоносным макросом в виде бонуса) был заранее сохранен на USB-накопителе. Стоило открыть файл, и команда Black Hills Info Sec получила доступ на компьютер начальника тюрьмы.
Описанный Джоном пентест был единственным, в котором успела поучаствовать его мать. В 2016-м она умерла от рака поджелудочной железы. Глава Black Hills Info Sec отказался назвать тюрьму, в которую под видом инспектора проникла Рита. Он лишь сказал, что с тех пор учреждение уже закрылось, но сразу после пентеста в нем были предприняты меры по усилению безопасности.
