Početkom maja su iz ukradene baze podataka objavljeni milioni e-mail adresa, šifri i brojeva telefona. Napad je izvršen tokom 2015. godine, ali do danas nije jasno odakle su ti podaci došli, niti ko je odgovoran za napad

Izvor: Goran Milić
E-mail: redakcija@asadria.com

Hakeri su 2015. godine u najvećoj tišini ukrali bazu koja je sadržavala podatke o više od 57 miliona ljudi. Krađa je objavljena tek početkom maja 2016, kada su se podaci iz baze podataka našli na prodaji u najtamnijim uglovima Dark weba (naziv za anonimni dio interneta do kojeg se ne dolazi uobičajenim putevima, a na kojem se nalaze informacije osjetljivog sadržaja poput foruma za prodaju ilegalnih roba i usluga, kao što su narkotici, oružje ili podaci s hakiranih kompjuterskih mreža). Podaci su ukradeni između 2012. i 2015. godine, a uključuju korisnička imena, e-mail adrese i šifre sa MD5 hashevima, koje se danas lahko razbijaju. Osim toga, u bazi se mogu pronaći i brojevi mobilnih telefona te Facebook korisnička imena.

Lažni i stvarni napadi

Velika većina e-mail adresa koje se nalaze u bazi povezana je s velikim kompanijama kao što su Apple, Twitter i Google, kao i s vladama zapadnih zemalja i njihovim agencijama. Informacije o ovome došle su samo nekoliko dana nakon objave o drugom napadu na velike mail servise (Google, Yahoo, Outlook i mail.ru), koji se ipak pokazao lažnim. Međutim, napad o kojem govorimo u ovom tekstu itekako je stvaran. Napade je otkrio gray hat haker poznat pod imenom Peace, koji je do baze podataka došao posredstvom ruskih hakera. Dio podataka je proslijedio web-stranici ZDNet, koja je prva izvijestila o napadu, a on kompletnu bazu podataka veličine 4,6 GB prodaje po cijeni oko 400 američkih dolara ili 0,8 bitcoina.

Sigurnosni stručnjak Troy Hunt, koji vodi web-stranicu „Have I Been Pwned“, na kojoj možete vidjeti jesu li vaši podaci žrtva nekog od hakerskih napada, objavio je da je pronašao 52,5 miliona jedinstvenih e-mail adresa, što znači da je velika većina podataka prvi put objavljena, te da je riječ o stvarnoj krađi podataka koji prije nisu bili dostupni.

Odakle je ukradena baza podataka?

Na pitanje iz podnaslova za sada nema odgovora i to je ono što ovoj priči daje posebnu notu zanimljivosti. Hacker Peace navodi da su podaci došli sa web-sajta Zoosk, koji služi za upoznavanje parova, ali on ima „samo“ oko 33 miliona korisnika. Peace kaže da je za napad iskorišten zastarjeli softver na samoj web-stranici, bez specifičnih detalja.

Nakon što je pregledao neke od objavljenih podataka, Zoosk je oštro odbacio ovakve tvrdnje pošto se objavljeni ne slažu s njihovim podacima. Njihov glasnogovornik je naglasio da se nijedan objavljeni podatak ne slaže s podacima u Zooskovoj bazi, odnosno da se samo dio objavljenih e-mail poruka slaže s podacima koje oni posjeduju, te da je to nedovoljno da bi se uspostavila pouzdana veza između dva seta podataka. Troy Hunt je otišao i korak dalje kontaktiravši nekolicinu osoba čije su e-mail adrese objavljene. Samo neki od njih su potvrdili da su koristili Zoosk, dok ih je većina negirala upotrebu tog servisa. Rasmus Poulsen, jedan od ljudi čija je e-mail adresa objavljena, kaže da uopšte nije šokiran ovakvim otkrićem, jer su sigurnosni propusti svakodnevna stvar. Miran je, kaže, jer je implementirao LastPass rješenje za zaštitu svog digitalnog identiteta. Ipak, vrijedi istaći da je Poulsen, kao i mnogi drugi korisnici, koristio istu e-mail adresu i šifru na više različitih servisa, što je jedan od najsigurnijih načina da svoje digitalne podatke pronađete objavljene na Dark webu.

Žrtva ili ne?

Još jedan servis za upoznavanje je uključen u priču. Riječ je o Badoo servisu iz Velike Britanije, koji ima oko 300 miliona korisnika. I njihov glasnogovornik je odbio bilo kakvu vezu s objavljenim podacima. „Badoo nije bio žrtva hakerskog napada i svi naši podaci su sigurni. Pratimo sigurnost našeg sistema i koristimo sva raspoloživa sredstva kako bismo zaštitili naše korisnike. Upoznati smo s ovim hakerskim napadom, ali smo apsolutno sigurni da podaci nisu naši i da naš sistem nije kompromitovan“, kaže se u prilično samouvjerenom saopštenju iz kompanije Badoo. Prema analizi koju je obavio Hunt, oko 88.000 adresa završava sa badoo.com domenom. Dalja analiza je potvrdila da je riječ uglavnom o testnim korisničkim računima, koji su imali iste ili slične podatke. Prema tome, vjerovatno se ne radi o pravim podacima vezanim za kompaniju Badoo. Ovo je potvrdio i Andrey Andreev, osnivač te kompanije, koji kaže da je u ukradenoj bazi podataka oko 19.000 testnih korisničkih računa, koji su bili aktivni samo 30-ak minuta. Prema njemu, takvi korisnički računi se ne mogu koristititi za vanjske servise, tako da od njih hakeri nemaju nikakve koristi.

Međutim, veliki broj e-mail računa ima @mobile.badoo.com ekstenziju, što je znak da je riječ o računima koji su povezani s telefonskim brojevima korisnika koji se koriste za prijavljivanje na Badoo web-stranicu. Andreev je potvrdio da se radi o mehanizmu koji njegova kompanija zaista koristi za bilježenje podataka o svojim korisnicima.

Ko je odgovoran za napad?

Ni Andreev ni glasnogovornik kompanije Badoo nisu mogli odgovoriti na pitanje kako ili zašto su se ovi podaci pojavili u ukradenoj bazi podataka, iako su čvrsti u stavu da njihov sistem nije doživio hakerski napad. Kao još jedan dokaz Andreev navodi da njegova kompanija ne koristi MD5 enkripciju šifri. Baš kao što niko nije potvrdio da su podaci njegovi, odnosno da je njegov sistem hakovan, isto tako niko nije preuzeo odgovornost za uspješan napad, što je prilično čudno u zajednici hakera koji baš vole da se hvale svojim „uspjesima“. Na kraju krajeva, nije posebno bitno ni ko je napadač ni ko je žrtva. Bitno je da su milioni korisničkih računa i šifri na tržnici Dark weba, te da se o napadu ništa nije znalo skoro godinu dana. Šta se prije javne objave dešavalo s podacima, ostaje samo da nagađamo. Baš kao što možemo nagađati da li je bilo još sličnih napada, koji su rezultirali krađama baza s milionima podataka, koje se možda prodaju na Dark webu, a možda i ne, ili ih se koristi za neke druge svrhe.

Najpoznatiji hakerski napad na web-stranicu za upoznavanje

Razotkrivanje podataka sa web-sajta za upoznavanje AshleyMadison.com direktno je uzrokovalo štetu ne samo vlasniku web-servisa već i njegovim korisnicima. Ovaj hakerski napad otkrio je podatke oko 32 miliona korisnika tog web-servisa, a veličina baze podataka iznosila je oko 9,7 GB podataka. I ona je objavljena na ilegalnim digitalnim tržnicama Dark weba, a sadrži podatke i o kreditnim karticama. Hakerska grupa koja stoji iza ovog napada naziva se The Impact Team.

Sigurnost nikada nije bila aktuelnija tema, a to posebno važi za IT sektor, u kojem se nove sigurnosne prijetnje pojavljuju gotovo svakodnevno. Iako je nove načine na koje zlonamjerni korisnici mogu ugroziti kompjuterske sisteme nemoguće predvidjeti, evo pregleda najgorih trenutno aktuelnih sigurnosnih prijetnji koje vrebaju nedovoljno zaštićene IT sisteme

Izvor: Goran Milić
E-mail: redakcija@asadria.com

Najizraženija osobina svakog ozbiljnog hakera je upornost. Tamo gdje bi drugi vidjeli samo prepreke i brzo odustali, pravi hakeri vide izazov te na sve moguće načine pokušavaju pronaći način da prevare ili zaobiđu sistem. A spremni su sedmicama i mjesecima istraživati nove metode kako bi uspjeli u svojim namjerama. Svako ko prati cyber sigurnost zna da tehnike koje koriste hakeri svake godine postaju sve sofisticiranije i smjelije. Situacija je već danas veoma složena, a budućnost će donijeti samo još više problema. Evo šta trenutno vreba nedovoljno zaštićene kompjuterske sisteme.

Digitalno iznuđivanje

Sve je počelo napadom na kompaniju Sony 2014. godine. Nije to bio klasičan slučaj iznuđivanja u kojem hakeri enkriptuju sadržaj hard diska i traže otkupninu za otključavanje podataka. Iako su i ovakvi napadi sve češći, digitalno iznuđivanje je druga vrsta napada koja podrazumijeva ucjenjivanje kompanija ili drugih subjekata pod prijetnjom objavljivanja povjerljivih podataka kompanije. Motiv za ovakve napade ne mora nužno biti novac, već i neki drugi ciljevi, a najčešće je riječ o onim političkim. Najveći problem kod ovakvih napada je što backup ili pravljenje rezervnih podataka više nije dovoljno. Naime, u većini slučajeva se od hakerskih napada možete zaštititi redovnim pravljenjem rezervnih kopija podatka. Kod digitalnog iznuđivanja zaštitne kopije ne pomažu jer šteta ne nastaje uništavanjem ili oštećivanjem podataka, već javnim objavljivanjem tajnih podataka. Ove godine je već bilo nekoliko napada na bolnice i objavljivanja podataka o pacijentima, ali se ovi napadi neće zadržati na tome.

Drugi problem je praćenje ovakvih napada. Naime, ako žrtva popusti i plati ucjenu, vrlo je vjerovatno da niko nikada neće saznati za napad. Dva najpoznatija ovakva napada u 2015. su objavljivanje podataka sa web-stranice Ashley Madison, kojim su se služili preljubnici, te napad na InvestBanku Ujedinjenih Arapskih Emirata, kada su objavljeni podaci njihovih klijenata. Digitalno iznuđivanje je jedan od najgorih sigurnosnih napada jer subjekt zbog njega može biti izložen tužbama, novčanim gubicima, otkazima i sličnim problemima.

Napadi koji mijenjaju podatke

Prema izvještajima brojnih sigurnosnih agencija, napadi koji imaju za cilj mijenjanje ili manipulaciju podacima su sljedeća velika cyber sigurnosna opasnost. Najveći problem kod ove vrste podataka je stvaranje nepovjerenja u vlastite podatke. Ako niste sigurni da su vam podaci o poslovanju ispravni, kako možete dalje razvijati svoj posao? Uništavanje ili oštećenje podataka je mnogo lakše detektovati nego promjenu podataka. Na prvi pogled sve je kako treba, sistemi rade, podaci su sigurni. Međutim, ako podaci nisu tačni, sva poslovna i druga inteligencija koja se iz njih kreira postaje upitna. Posljedice neotkrivenih promjena podataka mogu biti nesagledive. Jedan od prvih problema ove vrste se desio tokom Zaljevskog rata, kada je zbog pogrešnih podataka odbrambeni projektil promašio Scud raketu, što je uzrokovalo smrt 28 američkih vojnika. Ova greška u podacima je nastala slučajno, ali je američko vojno rukovodstvo uplašeno mogućnošću da su kineski hakeri ne samo krali planove naoružanja već i mijenjali podatke koji se nalaze u njima.

Chip & Pin napadi

Kad god sigurnosni stručnjaci zatvore jedan vektor napada, hakeri se prilagode i pronađu drugi. Kada su prodavači prestali spremati podatke o kreditnim karticama i transakcijama svojih kupaca u lokalne baze podataka, hakeri su počeli da prisluškuju mrežni saobraćaj. Kada su prodavači enkriptovali podatke koji putuju mrežom, hakeri su instalirali malware softver na pos-kase kako bi došli do podataka prije nego što se enkriptuju. Banke i prodavači sada koriste pametne kartice koje u sebi imaju čipove.

Osim za autentifikaciju same kartice, čipovi kreiraju jednokratne transakcijske kodove koji sprečavaju korištenje kloniranih kartica. Zbog toga će hakerski napadi sa prodavnica od cigle preći na on-line prodavnice, koje ne koriste kartice, a samim tim ni čipove u njima. U Velikoj Britaniji je od 2004. do 2014. godine broj prevara u on-line prodavnicama porastao za 69 procenata. Iako zvaničnih podataka nema, sumnja se da je taj rast u posljednje dvije godine još i veći.

——————————————

IoT zombi botneti

Iako se 2015. godina smatra godinom Internet of Things (IoT) rješenja, automobili konektovani na internet, Barbie lutke i medicinska oprema samo su neki od uređaja koji su napadnuti kroz svoje IoT funkcionalnosti. U 2016. i godinama koje slijede broj IoT uređaja će drastično rasti, a time će se povećati i količina slabosti u ovim sistemima, pa i broj uspješnih napada. Jedan od trendova se već može uočiti, a to je kreiranje tzv. botnet mreža od hakiranih uređaja. Baš kao što se i od kompjutera zaraženim virusima kreiraju mreže koje onda napadaju druge sisteme, tako i IoT uređaji mogu postati moćno oružje. S obzirom na to da je softver na IoT uređajima znatno ograničeniji, pogotovo kada je interakcija s korisnicima u pitanju, ovakve napade je mnogo teže otkriti. Već su zabilježeni slučajevi u kojima su CCTV kamere korištene za kreiranje botnet mreža kojima su kreirani DDoS napadi. Posebno je zabrinjavajuće to što broj IoT uređaja eksponencijalno raste, ali ne postoje zvanični standardni za njihovu komunikaciju, pa je hakerima posao olakšan.

Sve više backdoora

Prošla godina završila je nevjerovatnim otkrićem da je na čak nekoliko vrlo popularnih firewall uređaja kompanije Juniper Networks bio ugrađen backdoor. Priroda tih „zadnjih vrata“, koja su hakerima dozvoljavala da dekriptuju VPN saobraćaj koji prolazi kroz firewall, nagovještava da su hakeri bili na platnom spisku neke države. Razlog je jednostavan – za iskorištavanje tolike količine enkriptovanog mrežnog prometa potrebni su ogromni resursi, a takve može finansirati samo neka država. Iako nije poznato ko stoji iza napada na Juniper Networks opremu, dobro je da se sada zna kako ovako sofisticirana backdoor rješenja izgledaju i djeluju. Zato se očekuje otkrivanje sličnih napada na mrežnu opremu drugih proizvođača hardvera. A najnovija afera u kojoj je FBI tražio od kompanije Apple da im instalira backdoor u iPhone jednog od ubijenih terorista, da bi nakon povlačenja po sudu to Federalni biro za istrage uradio bez pomoći te kompanije, samo potvrđuje činjenicu da će u budućnosti biti mnogo „zadnjih vrata“ u opremi.

Nakon što smo govorili o 10 najgorih virusnih zaraza, red je da nešto kažemo i o ljudima koji stoje iza nekih od najpoznatijih hakerskih napada. Bitno je uočiti da hakeri tek u određenoj mjeri koriste tehnološka sredstva, dok je u većini slučajeva njihov napad kreiran na osnovu socijalnog inženjeringa. Uspješan hakerski napad najčešće sadrži dobro isplaniranu strategiju u pogledu najveće slabosti sistema, a to su po pravilu ljudi, a ne tehnologija. Iako ima i nekih suprotnih primjera, socijalni inženjering je najčešće glavno oružje hakera

Izvor: Goran Milić
E-mail: redakcija@asadria.com

Iako se pojava hakera i hakerskih napada veže za osamdesete godine 20. vijeka, prvi zabilježeni hakerski napad se desio davne 1903, kada je Nevil Maskelyne tokom demonstracije rada bežičnog telegrafa ubacio neprikladan sadržaj u poruke kodirane Morseovim kodom. Nešto kasnije, 1930. godine, tri poljska kriptologa Marian Rejewski, Henryk Zygalski i Jerzy Rozycki razbili su kod čuvene Enigma mašine za šifriranje. Nakon toga bilo je još sličnih primjera, a svi su vezani za vrijeme prije nego što su digitalni kompjuteri ušli u masovnu upotrebu.

Kevin Mitnik

Nijedan pregled slavnih hakera ne može proći bez Kevina Mitnika, najtraženijeg cyber kriminalca svog vremena. Američko ministarstvo pravde ga je proglasilo najtraženijim kompjuterskim kriminalcem u historiji SAD-a. Kevin je provalio u sisteme mnogih velikih kompanija, kao što su Novell, Sun, Nokia i Motorola, a navodno je prisluškivao i telefonsku mrežu Američke državne sigurnosne agencije (NSA), mada za to ne postoje dokazi. Ono najvažnije jeste da je Kevin Mitnik u svojim napadima koristio socijalni inženjering, o čemu je kasnije otvoreno i govorio. Uhapšen je 1995. i osuđen na pet godina zatvora. Kaznu je odslužio 2000. i od tada se bavi konsultantskim poslom u sigurnosnom sektoru.

Kevin Poulsen

Drugi Kevin je bio poznat kao Dark Dante. Njegova specijalnost su bili telefonski sistemi, a jedan od njegovih najpoznatijih napada je povezan s radiostanicom KIIS-FM i njihovom nagradnom igrom, koju je Poulsen tako namjestio da dobije glavnu nagradu – automobil Porsche 911. Na listu traženih kriminalaca je dospio kada je otkriveno da je upao u federalne baze podataka SAD-a, te je FBI pokrenuo veliku istragu. Poulsen je uhvaćen i osuđen na zatvorsku kaznu od četiri godine i četiri mjeseca. Nakon izlaska iz zatvora posvetio se novinarskom poslu i trenutno je jedan od urednika poznatog časopisa Wired.

Jonathan James

Poznat kao Comrade, Jonathan James je prvi maloljetni haker koji je uhvaćen i osuđen na zatvorsku kaznu. Sa 15 godina James  upada u sisteme velikih kompanija i američkih škola, ali je najpoznatiji po upadu u američko Ministarstvo odbrane 1999. godine. Ovaj haker je uspio doći do izvornog koda programa koji je upravljao Međunarodnom svemirskom stanicom. Nakon što je upad otkriven, NASA je ugasila svoj kompjuterski sistem na tri sedmice. Uhapšen je 2000. i osuđen na kućni pritvor. Sedam godina poslije bio je pod istragom zbog napada na kompanije Boston Market, Barnes & Noble i Office Max, ali nije uhapšen. 2008. godine Jonathan James je izvršio samoubistvo.

Vladimir Levin

Ruski haker Vladimir Levin je 1995. godine pristupio kompjuterima banke Citibank i preusmjerio 10 miliona američkih dolara na druge račune širom svijeta. Još jednom Levin nije koristio kompjutere za ovaj napad, već je prisluškivao telefonske razgovore u kojima su korisnici iznosili podatke o svojim bankovnim računima i tako dobio podatke koji su mu bili potrebni. Levin je uhvaćen i osuđen na tri godine zatvora, a FBI je uspio da vrati gotovo cjelokupnu ukradenu sumu.

Gary McKinnon

Škot Gary McKinnon u početku je bio lovac na leteće tanjure, ali je onda odlučio da potraži podatke direktno u bazama NASA-e. Uspio je provaliti u čak 97 kompjutera američke vojske i Svemirske agencije, na kojima je brisao podatke i instalirao viruse. McKinnon je na web-sajtove vojnih institucija u koje je upadao ostavljao poruku: “Your security is crap.” Ovaj haker uspio je na 24 sata ugasiti kompletnu vojnu mrežu američke države Washington sa oko 2.000 kompjutera. Ovo je i danas najveći hakerski napad na neku vojnu mrežu.

Mathew Bevan i Richard Pryce

Ova dva hakera su mogla prouzrokovati međunarodni sukob većih razmjera, pa čak možda i nuklearni rat. Jer šta drugo pomisliti kada čujete informaciju da su Mathew Bevan i Richard Pryce hakirali sisteme SAD-a i Sjeverne Koreje. Prvo su upali u vojne sisteme američke vojske, a onda su preko njih napadali vojne sisteme drugih država. Ključan je bio upad u Korejski istraživački institut za atomsku energiju i prebacivanje podataka u bazu američkih zračnih snaga (USAF). Sreća u nesreći je što su zabunom napali institut Južne Koreje, pa podaci nisu bili toliko bitni. Da su bili podaci Sjeverne Koreje, ko zna šta bi se desilo.

Adrian Lamo

Vjerovatno jedna od omraženijih ličnosti čak i u hakerskoj zajednici, jer je njegov “rad” doveo do hapšenja američkog vojnika Chelsea Manninga, koji je proslijedio 750.000 povjerljivih dokumenata američke vojske i diplomatije web-sajtu WikiLeaks. Prije toga Adrian Lamo je provalio u bazu podataka The New York Timesa i ukrao podatke o 3.000 novinara i saradnika ove ugledne novine. Njegove žrtve uključuju i kompanije Yahoo, Microsoft i Google. Lamo nikada nije odslužio zatvorsku kaznu, što se dovodi u vezu s otkrivanjem Manninga, ali je izjavio da je to bila njegova velika greška i da ne prođe ni dan a da ne razmišlja o njemu, jer odslužuje dugotrajnu zatvorsku kaznu.

Astra

Astra na Sanskritu znači oružje, ali to je i ime grčkog hakera koji je najpoznatiji po krađi i prodaji nacrta za moderno naoružanje. Ovaj 58-godišnji matematičar je hakirao sistem francuske kompanije Dassault Group, krao strogo povjerljive podatke o tehnologiji izrade modernog naoružanja i prodavao ih drugim državama čitavih pet godina. Riječ je o podacima o borbenim avionima, a pretpostavlja se da je Astra povodom toga bio u kontaktu sa 250 ljudi iz svih krajeva svijeta. Ukupna šteta se procjenjuje na 360 miliona američkih dolara. Astra je uhvaćen i osuđen na šest godina zatvora, a njegov pravi identitet je ostao tajna.

Albert Gonzalez

Albert Gonzalez drži rekord za najveću krađu kreditnih kartica u historiji. On je tokom dvije godine prikupljao podatke o kreditnim karticama i prodavao ih na internetu. Procjenjuje se da prodao oko 170 miliona kreditnih kartica i brojeva bankomata. Ovo je uspio zahvaljujući instaliranom sniffer alatu, koji mu je slao podatke iz jedne velike američke kompanije. Gonzalez je osuđen na 20 godina zatvora.

Anonymus

Na kraju, moramo spomenuti i hakersku grupu Anonymus, koja okuplja veliki broj anonimnih hakera. Za njih je karakteristično to što djeluju kao borci protiv cenzure, kontrole i ostalih vidova ugnjetavanja slobode. Sebe nazivaju digitalni Robin Hoodovi, a prepoznatljivi su i po maskama Guy Fawkesa, koje je popularizovao film V for Vendetta. Žrtve ove hakerske grupe su Vatikan, FBI, PayPal, Sony, Mastercard, Visa te državni organi Kine, Izraela, Tunisa i Ugande.