探秘国际职业黑客：插U盘植入木马如同拍电影
时至今日,一度为新新人类的“黑客”也算现代人认知中的熟练工种了,但他们能办到的事儿,却仍旧在刷新人们的认知底线,比如本周的全国网速大抽风,据安全专家分析,就有可能是黑客所为!
不过一般情况下,主流业界的黑客还算是良民,他们受雇于企业,在网络攻击大战中成为守方的驻防军师。自称45岁的职业黑客亚历山大·琼斯就爽快地向媒体透露了他接的一些有代表性的外勤工作详情,以示堂堂正正。
Alexander Jones
亚历山大·琼斯(可能是假名)
国籍:英国
年龄:45岁(可能是假年龄)
职业:黑客
故事
这份工有钱途:检测一次安全系统,最贵盛惠8万美元
每天早上,西装革履的亚历山大·琼斯像无数普通白领一样,轻松地穿过CBD大楼的安检,走进办公室,坐下开电脑,登录内部系统,开始一天的工作。但是,琼斯并不是这个公司的员工。
如今网络攻击形势越来越严重,在一些发达国家,上至跨国公司,下至普通小公司,只要业务与信息安全息息相关,都会掏钱雇像琼斯这样的专业黑客来检查公司的安全系统,一系列测试,价格可能高达8万美元(约合48万元人民币)。琼斯所属的公司,名叫特洛伊木马安全公司,总部位于华盛顿,与白宫在同一条街上。
为了完成任务,通常琼斯会执行一系列任务,其中就包括设法进入公司所在大厦和“黑”进内部系统。每次出任务时,琼斯都会带一纸证明,或者叫“免死金牌”,一旦被员工认出或者报警,他可以拿出来证明自己的身份。但是到目前为止,他从来没用过这个“免死金牌”——这也意味着,这位业界模范,还从来没失过手呢。
以下为琼斯自述的“咱出外勤的黑客都在干什么”——
今天我的任务是混进某家大公司的主体大楼,能窃取多少资料就拿多少。此前的“踩点”看上去安全指数挺高:整栋大楼只有一个出入口;外墙全都是反射性强的玻璃,看不到里面的情况。我也曾尝试在网上找到大厦内部示意图,无果。
一进大门,我就被接待人员客气地拦住:“先生,有什么能帮到您?”
我镇定地回答他:“我叫乔治·斯蒂芬斯,是总部下来的。你们经理丹·贾尔斯邀请我过来参观。”说完,我递了一张早已准备好的假名片给他。在这张名片上,我的头衔是总部主管IT部门的副总裁——我之前就查过这家公司的员工名单,知道哪些名字可以“借用”。
一听说总部的副总裁在楼下,总经理火速下来迎我。他很激动,执意亲自陪我参观。
就这样,我们参观了所有设备,查看了整个制作工艺流程。我甚至还拍了照片,录了视频。大厦内随处可见禁止拍摄的标志,但没人阻止我。
插个U盘植入木马,这个跟拍电影一样有木有
得知我“主管”IT部时,总经理兴高采烈地说:“噢,那您一定想看看我们的服务器机房,见见我们的IT员工们。”随后就不由分说地把我领去机房。
在他们简短介绍机房情况之后,我便随意在开放的服务器机柜之间穿梭慢行。趁无人注意,我偷偷掏出一个U盘,插在一个服务器上。一连上,这个U盘就自动在系统里安装一个无法察觉的木马程序(“bot”),这个程序可以离线连上我的服务器,让我能随便进入这家公司内部系统,翻阅公司机密资料。
安装完毕后,我拔下U盘,走回去与正在交谈的总经理和IT员工会合:“你们的工作做得很好,我已经参观完所有我想看的了,非常感谢!”
在门口,我跟总经理握了握手,再次表示感谢,然后就扬长而去。
秘诀
只要够镇定,哪儿都能去
办公室出现一两个陌生人理直气壮地使用着办公设施,似乎也不是那么可疑的事情嘛……
如果说假扮高管是“直捣黄龙”法,那么琼斯还有一招,叫“大隐隐于市”法,这招通常更安全,因为,对大多人而言,办公室出现一两个陌生人理直气壮地使用着办公设施,似乎也不是那么可疑的事情嘛——
一家公司曾要求我们帮忙测试能否混进他们的办公室,用办公电脑“黑”进内部系统。所以,我在午饭前到达这家公司所在大厦楼下,混在吃完午饭回去上班的人中间,不用打卡就可以直接通过安检光明正大地进去。
当我走进公司时,每个人都很忙,也因此没有空余座位。我四处张望了一下,发现在行政区域有间没有亮灯的办公室。于是我信步走进去,打开灯,关上门,准备开始“干活”。
10分钟之后,有人敲门。我抬头应门:“谁?”
一个女员工打开门,支支吾吾地说:“我来找吉安……”
“吉安今天不上班。”我立刻告诉她。于是她向我道谢,然后就走了。
大约又过了10分钟,又有人来敲门。另外一个女员工推开门,吃惊地向我问好。
我不耐烦地嚷了一句:“吉安今天不上班!”结果她回我说:“我就是吉安。”
我顿时吃了一惊,故作镇定地说:“他们告诉我你今天不会来。既然这样,你等我一下,我收拾好东西就走。”
出乎我意料的是,吉安竟然跟我说:“不,先生,你继续用吧,我另找地方。”
我跟她说:“没事,这是你的办公室,我就走。”
结果吉安竟然很坚持地说:“不,没关系,真的,你用吧。”说完,她居然把门带上扭头就走了。
托吉安的福,我很安心地在这间办公室成功地黑进他们的内部系统,查看了公司的机密和资产文件。过了下班时间,办公室的人都走了,我又趁机翻看办公室里没上锁的柜子和抽屉,结果我的收获不小,包括敏感文件、公司信用卡和支票簿,甚至还有员工压在键盘下的密码!
背景
干腻FBI了吗?去当黑客吧!
顶级黑客团队有多牛掰——
这一整系列的测试不可能仅凭琼斯一人之力完成。通常大客户的案子都是由一个团队来合作完成,团队的成员,大都曾在美国三角洲特种部队、海豹突击队、CIA(中央情报局)和FBI(联邦调查局)工作过。通常他们会安排其中一人潜入大楼装个无线路由器,通过无线路由器,他们可随时进入内网获取任何机密文件。
为了进入大楼,他们无所不用其极。能够被琼斯轻易混入的公司,一般级别也不会太高,而对于一些高级别客户,黑客团队们或翻越高墙,或伪装闯过安检,或从直升机上跳到天台,或从楼梯间潜入。事后,他们会写一份详细报告,包括他们是如何进入大楼,以及如何提升安全级别的建议。
此外,还有专门针对安全防卫的团队。他们会特别针对摄像头安装位置、门锁、安保制度及围墙等,全面彻底分析大厦的安全性,并提出改进意见。这些团队的成员通常有在总统特勤处等部门工作过的经验。
■非主流
当黑客也煲剧……
2013年年末,新兴黑客 “Guccifer”又火了一把,原因是,他“黑”了热门英剧《唐顿庄园》编剧费洛斯男爵的个人邮箱,提前半年把第四季大结局“先睹为快”。据悉,他首先设法进入英国杂志编辑蒂娜·布朗的个人电子邮箱账户,下载了多达900人的地址簿,从中获取了费洛斯男爵等人的电子邮件地址并实施了黑客攻击。
这已经不是他第一次进行奇葩“黑客”行为,此前他还黑过小布什的家族邮箱,在里面发现他的自画洗浴裸像,恶趣味发上网让大家“奇图共欣赏”;逛到《欲望都市》编剧坎迪斯·布什内尔的个人邮箱,发现她还未出版的新小说文稿,于是干脆顺便把她的推特账号也盗了,把文稿发上去以“造福粉丝”……