Взлом Российского банка

Master-lame-master

Xakep, номер #062, стр. 062-050-3

Что же, действовать нужно было быстро. Залив эксплойт на свой шелл, хакер натравил его на сервер банка. Спустя две минуты хакер опять получил рутовый шелл :). В системе находились два рута с разных консолей. Как и предполагал взломщик, админ полностью снес систему и поставил ее заново. Так что хакер вовремя заглянул к нему на огонек.

Локальная атака

На этот раз наш пионер решил прошарить локалку на предмет ценной инфы. Скан портов показал, что в локальной сети лишь три компьютера были живыми, причем ни один из них не был уязвимым (на момент взлома мир еще не знал о существовании таких дыр, как RPC DCOM и т.п.). Поэтому взломщик поставил обычный sniffit (packetstormsecurity.nl/sniffers/sniffit/sniffit.0.3.5.p1.tar) и стал ждать какого-нибудь улова.

Ждать пришлось недолго. Парочка пользователей часто проверяли свою почту, поэтому снифер быстро выловил их пароли. Просмотрев почту этих юзеров, хакер не нашел ничего интересного – как выяснилось, спам читают даже банковские сотрудники. Интересен был другой вопрос: совпадет ли пароль с администраторским на клиентской машине? Закачав бинарник smbclient’а на сервер (пакет samba отсутствовал), хакер начал свое бета-тестирование. Попробовал соединиться, но в ответ получил надпись NT_WRONG_PASSWORD. Тогда он попробовал сделать коннект на вторую машину. Как ни странно, пароль подошел. В итоге взломщику удалось соединиться к шаре IPC$ с правами админа.

Как оказалось, сетевой ковырятель попал на компьютер менеджера банка. Об этом говорили документы, лежавшие прямо в корне диска. Покопавшись в других каталогах, хакер не нашел для себя ничего интересного (хотя банковские данные могли быть полезны другим лицам). Но выкачивать файлы было лень, поэтому взломщик просто покинул сервер.

Заметив, что горе-администратор закончил настройку сервера, хакер решил забрать архив почты с сервера (база почтовых сообщений находилась в каталоге backup у админа). Там также не оказалось ничего интересного. Не было даже вакансии для системного администратора банка ;).

Послесловие

Поначалу наш герой опасался админа (хотя знал, что тот ни на что не способен, кроме как на переустановку системы) и редко появлялся на сервере. Но потом он осмелел и стал вешать разного рода баунсеры и прокси-серверы, юзая маршрутник как средство для понта. Когда взломщик (и скрипткидди, который получил доступ к баунсеру) появлялся с хостом банка, его знакомые долгое время интересовались, как же он поимел такой аккаунт. А ответ прост – какой админ, такая и защита.

Но спустя два месяца администратор все-таки переустановил систему, и хакер потерял акцес к серверу. Вполне вероятно, что директор банка просто уволил старого админа и нанял нового.

Как видишь, в России (да и во всем мире) до сих пор очень много дырявых серверов и беспечных системных администраторов, плохо отрабатывающих свою зарплату. И такие админы встречаются даже в банках.