Читать книгу "Kingpin - Кевин Поулсен"

научилась не спорить с Максом в состоянии, когда он заложник идеи.

Макс боролся с двойственной природой своей личности: женатый профессионал столкнувшийся с мировой угрозой и импульсивный ребенок любящий пошалить. Ребенок выиграл. Он сел за клавиатуру стал неистово программировать.

Его код работал в три коротких этапа. Начиналось с того, что программа бросала виртуальный крючок, через дыру в BIND, выполняла команду, которая заставляла машину обратиться к интернету и импортировать 230 байтов скрипта. В свою очередь, этот скрипт подключался к уже зараженным хостам, откуда скачивался большой вредоносный пакет, называемый «руткит».

Руткит – это набор стандартных системных программ измененных для того, чтобы служить хакеру: измененная программа входа в системы работает так же как и оригинальная, но теперь она включает в себя, бэкдор, через которую взломщик снова может зайти на машину. Программа «passwd» все также позволяет пользователям менять пароли, но теперь она еще записывает и хранит эти пароли там, откуда их можно потом достать. Новый «list» отображает содержимое директории как обычно, за исключением сокрытия файлов, которые являются частью руткита.

После того, как руткит был установлен, код Макса мог бы сделать то, что правительство сделать не в состоянии: он бы мог обновить на взломанном компьютере BIND и закрыть дыру в безопасности, через которую он сам и вошел. Компьютер теперь был бы в безопасности, но Макс как доброжелательный вторженец, все еще мог бы повторно зайти в систему если только он этого захочет. Макс исправлял проблему и пользовался ей. Он был и black hat и white hat одновременно.

Сама атака займет буквально пару минут. В первое мгновение компьютер контролируется системными администраторами. В следующее мгновение закидывается крючок, скачивается скрипт, руткит и теперь компьютер принадлежит Максу.

Макс все еще программировал, когда из ФБР ему позвонили, чтобы спросить об отчете по поводу дыры в BIND. Но федералы профукали свой шанс. Сейчас только код Макса говорил с ним. Ему потребовалось немного времени, чтобы взломать пару машин колледжа, для использования в качестве плацдарма, и, затем, 21 мая он зашел в интернет через краденный аккаунт Verio и… запустил код.

Прекрасные результаты были получены сразу же. «Якорь» Макса сообщал об успехе на его компьютер через Verio dial-up, так что он мог наблюдать за распространением атаки. Взломанные машины отчитывались ему всплывающим окном Xterm на его компьютере. База ВВС Брукса теперь собственность Max Vision… Mc-Chord, Tinker, Offutt, Scott, Maxwell, Kirtland, Keesler, Robins… Его код проник на серверы ВВС, компьютеры армии, машину в кабинете секретаря. Каждая машина теперь имела бэкдор, который мог использовать Макс тогда, когда он захочет.

Макс отмечал свои завоевания как контрольные точки в компьютерной игре. Когда его код охватил сетевое пространство ВМФ, он обнаружил столько непропатченных серверов BIND, что спокойный поток всплывающих окон стал бурлящей горной рекой. При попытке справится с ней, компьютер Макса вырубился.

После небольшого тюнинга код был перезапущен. Пять дней Макс был поглощен своей растущей властью над киберпространством. Он игнорировал е-мэйлы ФБР, которое все еще ждало отчета. «Где отчет?» писал агент Бисон. «Позвони»

Он мог сделать все что угодно с такой властью и взломать почти любую сеть какую захочет. Макс обкатывал свой эксплоит на серверах Id Software (Мескит, штат Техас), компьютерной компании, что разрабатывала третью часть всемирно известного шутера от первого лица Quake. Макс любил такие шутеры. Он мгновенно оказался в сети компании и после небольшого поиска он вышел из нее с трофеем. Он заявил Кими, что он получил исходники Quake III, самой ожидаемой игры года.

Кими была непреклонна: «Можешь вернуть их на место?».

Вскоре Макс осознал, что его атаки привлекли определенное внимание. Верн Паксон, исследователь из Национальной лаборатории имени Лоуренса в Беркли, заметил сканирование сети с помощью системы BRO – Большой Брат. BRO был экспериментальной системой противодействия взломам с одной единственной функцией. Он тихо работал в сети, просеивал трафик в поисках подозрительной активности и в случае обнаружения таковой сообщал администраторам, что происходит что-то не то.

Паксон написал в CERT полный отчет об атаке. Макс перехватил его и изумился. Исследователь не только обнаружил атаку, но и еще составил список серверов атакованных через сеть университета им. Лоуренса – Макс использовал ее как второй стартовый пункт. Он отослал Паксону анонимное сообщение через root-аккаунт лаборатории:

Верн, прошу прощение за причиненные неудобства, но я в одиночку исправляю ОГРОМНУЮ ДЫРУ В БЕЗОПАСНОСТИ многих из ваших систем. Я признаю, что появились и новые дыры, но они все запаролены и никогда бы не принесли вреда чьему-либо компьютеру.

Если бы я не сделал это, это бы сделал кто-нибудь другой и мог бы напакостить. Например, школьники оставляющие варез, вырубающие IRC BS и втихую стирая файлы через /bin/rm, когда у них плохое настроение. Убожество.

Вы можете не оценить то, что я сделал, но это ради великого блага. Я бросил все хосты из собранного вами списка. Я не касался их, так как я знаю что вы передали список в CERT. CERT следовало бы нанять людей с моим уровнем навыков. Конечно, при достойной оплате я бы никогда не оставлял руткиты или что-то подобное.

Очень умно, не так ли? Хех. Это бомба. Владельцы сотен, даже тысяч систем, и знающие, что их системы пофиксили между делом… Хм, я больше не займусь подобным дерьмом. Теперь у вас есть все мои инструменты. Это выводит меня из себя…

Хм. Во всяком случае я не хочу, чтобы это произошло снова. Я собираюсь оставить все как есть.

«Взломщик»

Так закончилась пятидневная атака Макса на правительство, с количеством взломанных систем больше, чем он мог посчитать. Он был доволен, что он сделал интернет безопаснее, чем прежде: тысячи компьютеров, что до этого были уязвимы для любого хакера, теперь уязвимы только для одного – Max Vision.

Макс сразу же нырнул в новый, более социально-приемлемый проект: он писал Web-приложение, которое позволило бы любому в интернете просканировать свою сеть на наличие уязвимости к атаке на BIND. Он также задумал более качественный вариант осады, чем та которую он только что завершил. Как и прежде, он сканировал правительственные и военные сети. Но вместо взлома уязвимых компьютеров, он автоматически отсылал е-мэйл с предупреждением для администраторов. Не было необходимости прятаться на взломанным dial-up‘ом. Оба сервиса теперь жили на новом сайте WhiteHats.com.

После двух дней и ночей работы, Макс был по колено в его новом проекте легального хакинга, когда Бисон написал снова ему на электронную почту. «Что случилось? Я думал что ты