Hacking per divertimento e (non) profitto

Grazie a una manciata di comandi che avevo digitato nella finestra del terminale sul mio laptop Linux in prestito, ero riuscito a rilevare un computer Windows remoto. Mentre ridacchiavo diabolicamente per tutto il tempo, avevo anche aggiunto un account utente per me stesso e riavviato da remoto quel computer.

Stavo hackerando, o meglio, proto-hacking, ed è stata una corsa tremenda.

Mi sono sempre considerato un po 'un fanatico della tecnologia in cima a un giornalista infosec. Gestisco la mia rete e mi piace scrivere i miei script e le mie piccole applicazioni. Mi piace smontare l'hardware e installare firmware personalizzato sui dispositivi. Ma non ho mai saputo davvero come acquisire queste abilità e metterle insieme per assumere il controllo remoto di un computer. Sapevo usare alcuni degli strumenti ma li ho usati come difensore per proteggere la mia rete. Non sapevo come mettere insieme le abilità per entrare davvero. Fino ad ora.

"Il tester di penetrazione di una persona è un hacker di un'altra", ha detto alla nostra piccola classe Hacker 101 di New York Mike Belton, un team leader del gruppo Assessment Services della Rapid7 della società di test di penetrazione. Gli stessi strumenti che gli amministratori di rete usano per scansionare le loro reti per identificare problemi e attività dannose sono gli stessi che gli hacker usano per ottenere accesso illegale a dati e computer.

"Non devi causare danni per essere un hacker", ci ha ricordato Belton.

Hacker 101: Linux

Ognuno di noi nella classe di Belton aveva un laptop con Kali Linux, una distribuzione Linux progettata specificamente per i test di penetrazione ed era connessa a una rete contenente un mix di macchine Windows e Linux vulnerabili. Belton ci ha mostrato come utilizzare Wireshark, nmap, alcuni altri strumenti da riga di comando e Metasploit, la suite di test di penetrazione gestita da Rapid7.

Abbiamo "trovato" una macchina Linux con un servizio di condivisione file NFS configurato in modo errato. Abbiamo sfruttato il difetto per copiare la nostra chiave SSH sulla macchina Linux remota in modo da poter accedere come root. Anche se non avevamo la password di root, siamo riusciti ad accedere alla home directory di un utente perché NFS era configurato in modo errato e questo era tutto ciò di cui avevamo bisogno.

C'è una lezione da imparare qui. Gli hacker non devono forzare la password di root se amministratori e utenti lasciano buchi del genere.

Ho cercato e letto i messaggi nella posta in arrivo, ho appreso che TikiWiki era installato e ho trovato un file di password nascosto nella directory dei backup. So che si trattava di una macchina virtuale creata con cura con vulnerabilità ed errori, ma era ancora piuttosto sorprendente (e divertente!) Guardare directory casuali e rendersi conto di quante informazioni una persona può raccogliere solo per curiosità.

In uno scenario del mondo reale, avrei potuto usare quel file di password sepolto nella directory dei backup per ottenere l'accesso al server Web o ad altre macchine sensibili. Avrei potuto guardare il file di configurazione di TikiWiki per la password del database.

Hacker 101: Windows XP

Belton ci ha anche mostrato come utilizzare Metasploit per sfruttare in remoto una macchina Windows XP. Dalle nostre precedenti attività di ricognizione, sapevamo l'indirizzo IP dei computer Windows che potevamo scegliere come target. Abbiamo configurato Metasploit per cercare una vulnerabilità legata all'esecuzione di codice in modalità remota presente in Windows 2000, XP e 2003 Server, nonché in Windows Vista e Windows Server 2008 (CVE-2008-4250). Anche se Microsoft aveva corretto il difetto nel 2008 (MS08-067), Belton ha affermato di vedere ancora macchine con questa vulnerabilità durante il test delle reti client.

Metasploit rende l'intera esperienza come un gioco da ragazzi. Con il computer di destinazione impostato e un payload selezionato, abbiamo appena digitato la parola "exploit" per lanciare l'attacco. Ho avuto questa immagine mentale di una catapulta che volava attraverso una palla di fuoco fiammeggiante e sbatteva contro le mura del castello.

"Hai sfruttato una vecchia macchina virtuale XP e hai un guscio meterpreter attivo", ha detto Belton. Avrei voluto che avessimo effetti sonori per questo esercizio. O avevamo bisogno di un "Pow" in stile Batman o di un applauso in scatola, non sono sicuro di quale.

Abbiamo preso screenshot della finestra di Windows e ho riavviato la macchina (qualcosa che un vero hacker non farebbe, poiché l'obiettivo è quello di essere furtivo). Abbiamo anche creato account utente sul controller di dominio Windows con privilegi di amministratore. A questo punto, è stato semplicissimo aprire una sessione di desktop remoto e accedere con i nostri nuovi account e fare quello che volevamo.

Strumenti usati per il bene o il male

Gli strumenti stessi non sono male. Li uso come amministratore di rete e tester abbastanza regolarmente. Sono le motivazioni della persona che le utilizza che possono essere sospette. E dopo questo esercizio, ho capito che la mentalità di "hacking for lulz" ha hackerato i burloni di Lulz Security alcuni anni fa quando hanno iniziato la loro follia distruttiva. Sono rimasto deluso quando ci hanno detto che l'orario di lezione era scaduto. Stavo appena iniziando!

"Non devi sapere tanto per fare più danni", ha detto Belton. Gli strumenti lo rendono semplice, ma devi ancora sapere abbastanza (o essere in grado di cercare online) per capire cosa stai vedendo sullo schermo.

La mentalità degli hacker non è la conoscenza tecnica, ma piuttosto la volontà di curiosare. Non è sufficiente affermare che il mio computer non ha dati sensibili, quindi chiunque vi introduca non può causare danni. La persona che arriva è abbastanza curiosa da vedere cos'altro ho fatto, su quali altri computer sono mappato o su quali file ho eliminato. Sono le informazioni che richiedono lo scavo che sarà la mia rovina, ed è esattamente quello che queste persone sono abbastanza curiose da cercare.

Questo è il motivo per cui dobbiamo essere migliori con le nostre difese.

Lezione appresa

Sono tornato a casa e ho scoperto che mentre la mia macchina Windows XP era completamente patchata, apparentemente avevo un server Windows 2003 con la stessa vulnerabilità RCE con cui avevamo giocato in classe. Ops. Non avevo mai aggiornato quella macchina perché erano anni che non ci facevo nulla, nonostante l'avessi installato e funzionante sulla mia rete. Non commetterò più questo errore.

Si applicano le stesse regole: dobbiamo tenere il passo con le patch e gli aggiornamenti del software. Utilizzare le VPN ogni volta che ci troviamo su reti wireless pubbliche. Assicurati di configurare correttamente applicazioni e servizi, come la modifica delle password predefinite e la disattivazione dei servizi che non stiamo utilizzando.

Buona difesa!