Jak dochodzi do włamywania się do kamery internetowej? Atakujący nierzadko mają przewagę nad użytkownikami. Podziemie cyberprzestępcze oferuje im wszystkie niezbędne narzędzia i know-how, dzięki którym mogą przeprowadzić skuteczny atak, praktycznie na każdego. Jednym z takich narzędzi jest trojan zdalnego dostępu (RAT).

Kiedy Neil Wyler, bardziej znany w hakerskiej branży jako Grifter, wchodzi do pokoju, każdy, kto w nim przebywa, wie, że coś musiało się wydarzyć. Wyler przeprowadził kontrolowany atak SQL na domenę publiczną. Oczywiście w celach szkoleniowych. Bo właśnie szkolenia to podstawa Black Hat. Wyler jest inżynierem ds. bezpieczeństwa informacji i naukowcem. Aktualnie spełnia się zawodowo w RSA Security, gdzie pracuje na stanowisku specjalisty ds. zaawansowanych operacji bezpieczeństwa. Od ponad 15 lat koncentruje się na ocenie podatności na zagrożenia i testach penetracyjnych. Z Black Hat Security Briefings jest związany od 13 lat. Dzięki szkoleniom w ramach Black Hat nowicjusze mają szansę zobaczyć i zrozumieć, w jaki sposób potencjalni agresorzy mogą przeniknąć do kodu i urządzeń, włamać się do telefonu, znaleźć słabe punkty i zinfiltrować cel. Pokój, do którego wszedł Tyler, to miejsce przeprowadzania ataków w tzw. czasie rzeczywistym. To oswajanie przyszłych specjalistów do spraw bezpieczeństwa danych z sytuacją, która z pewnością kiedyś nastąpi. Będą musieli wykazać się wtedy nie tylko wiedzą, ale i odpowiednio szybką reakcją oraz podejmować właściwe decyzje. Podczas późniejszych wykładów adepci sztuki hakerskiej poznają szczegóły dotyczące przeprowadzonego ataku. Koszt takiego kursu? Kilka tysięcy euro. Podatności urządzeń Apple W obiegowej opinii, ochoczo podtrzymywanej przez samo Apple, urządzenia sygnowane symbolem nadgryzionego jabłka są wyjątkowo bezpieczne – niezależnie od tego, czy próbę ataku podejmuje haker, grupa cyberprzestępcza, czy policja lub agencje wywiadowcze. Opinia ta wynika w dużej mierze z samej architektury bezpieczeństwa urządzeń Apple z systemem iOS. Faktem jest, że Apple wiele elementów swojego oprogramowania i infrastruktury sprzętowej zaprojektowało tak, aby bardzo utrudnić, czy wręcz uniemożliwić nieuprawnionym użytkownikom (czyt. hakerom) wprowadzanie zmian w systemie. Ostatnią linią obrony jest nowy system plików Apple File System. Dlaczego ostatnią? Otóż, osoby, które będą w stanie wprowadzić zmiany w APFS, będą mogły również uzyskać dostęp do katalogu głównego urządzenia i wprowadzić tam swoje własne oprogramowanie, jak również pobrać dane bez wiedzy właściciela smartfonu. Kod blokady z dodatkowo włączonym czyszczeniem pamięci iPhone’a po kilkakrotnym, błędnym wprowadzeniu hasła nie jest już skuteczną ochroną (graf. CHIP) Na szkoleniu Black Hat jeden z najlepszych specjalistów i badaczy bezpieczeństwa systemu iOS, Xiaolong Bai, zademonstrował sposób na ominięcie systemu bezpieczeństwa APFS. Sam przyznaje, że nie było to trywialne zadanie. System plików zaprojektowany przez Apple jest tak zbudowany, że najpierw instaluje się w urządzeniu jako tylko do odczytu, tzn. z zabezpieczeniem zapisu. Jeżeli ktokolwiek próbuje zmienić zamontowany obraz sytemu, iOS automatycznie rozpoznaje niewłaściwy znacznik czasu i sumę kontrolną, reagując dobrze znanym kernel panic, czyli całkowitym przerwaniem pracy i zawieszeniem systemu. Bai był w stanie ominąć system bezpieczeństwa poprzez dość wyrafinowane działania polegające, w dużym uproszczeniu, na przeprowadzeniu ataku na jądro iOS-a tak, by móc podstawić własny system plików i na tej podstawie uzyskać prawidłowy znacznik czasu umożliwiający już modyfikację oryginalnego systemu plików. Demonstrując swoją metodę, pokazał nielegalny, teoretycznie niemożliwy do zainstalowania na urządzeniach Apple, nieautoryzowany przez producenta sklep z aplikacjami Cydia. Dostał ogromne brawa. Z prezentacji Baia skorzysta także Apple. Programiści giganta z Cupertino reagują szybko i wprowadzają zmiany w kodzie, neutralizując potencjalny atak, który w najnowszych, zaktualizowanych wersjach systemu iOS już nie byłby skuteczny. Sposób na Apple ma również DriveSavers, grupa specjalistów, która jednak nie dzieli się wiedzą z producentem iPhone’ów. Przestępcy? Nic z tych rzeczy, po prostu utrzymanie tajemnicy leży w ich interesie. DriveSavers znają metodę na odczytanie kodu dostępu do zablokowanego urządzenia Apple i to nawet w sytuacji, gdy użytkownik skonfigurował system tak, żeby po dziesięciu nieudanych próbach wprowadzenia kodu PIN iOS aktywował procedurę usuwania wszystkich danych z urządzenia. Dzięki swojej wiedzy DriveSavers proponuje tym, którzy zapomnieli kodu, możliwość tworzenia kopii zapasowych wszystkich danych urządzenia. Dlaczego nie chcą ujawnić, jak dokładnie działa trik i jakie słabe punkty kodu Apple wykorzystuje? Stawka jest zbyt wysoka. Jednorazowe odblokowanie urządzenia kosztuje 3900 dolarów (blisko 15 tysięcy złotych). Ujawnienie ich wiedzy może i pomogłoby Apple, ale zniszczyłoby biznes DriveSavers. Co ciekawe, usługa skierowana jest do zwykłych użytkowników i choć może trudno w to uwierzyć, biorąc pod uwagę ceny, to klientów nie brakuje. Rządy wolą Androida W przypadku iOS-a atak, choć jest możliwy do przeprowadzenia, wymaga jednak wyrafinowanych metod, zaawansowanej wiedzy i dużych pieniędzy. Z Androidem jest zupełnie inaczej – i nie dlatego, że jest np. niedbale zaprojektowany. Problem leży w architekturze, a dokładnie w otwartości Androida, skrzętnie wykorzystywanej przez cyberprzestępców, cyberterrorystów oraz służby wywiadowcze. Eksperci z firmy Lookout, Michael Flossman, szef grupy specjalizującej się w wykrywaniu zagrożeń, oraz Kristin Del Rosso, analityczka wywiadu bezpieczeństwa, zbadali, jak działają profesjonaliści. Wzięli na warsztat narzędzia ataku wykorzystywane przez grupę hakerów znaną pod nazwą Syryjska Armia Elektroniczna. Syrian Electronic Army jest grupą najprawdopodobniej sponsorowaną przez agencje rządowe. Jej główne zadania to szpiegowanie przeciwników rządu Baszara el-Asada oraz rozpowszechnianie syryjskiej (prorządowej), a także prorosyjskiej propagandy. Schemat działania SEA rozpoznany przez ekspertów z Lookout jest następujący. Syryjscy hakerzy przez podstawionych wydawców rejestrują w sklepie Google Play aplikacje, które, pobierane przez niczego nie podejrzewających użytkowników, służą do rozprzestrzeniania szpiegowskiego oprogramowania Silverhawk. Jak na ironię, oprogramowanie udaje aktualizacje popularnych komunikatorów, takich jak np. Telegram, Chat-Secure itp., czyli programów, z których korzystają raczej ci, którzy chcą uniknąć szpiegowania ich urządzeń (Telegram na przykład znany jest z szyfrowania end-to-end). Opisywany złośliwy kod może udawać również aktualizację MS Office’a. Dla bezpieczeństwa Androida, warto nie tylko aktualizować aplikacje, ale też uruchamiać aktualizacje bezpośrednio w sklepie Google Play (graf. CHIP) Po tym jak złośliwy kod w formie fałszywej aktualizacji trafi na telefon ofiary, Syryjska Armia Elektroniczna jest w stanie niezauważenie rejestrować dźwięk i obraz (zdjęcia, wideo). Ponadto może kopiować wiadomości SMS oraz kontakty i eksportować treści z komunikatorów takich jak WhatsApp czy wspomniany Telegram. Hakerzy mają dostęp do aktualnych danych lokalizacyjnych i całej historii GPS, a także wszystkich danych aplikacji. Złośliwy kod umożliwia też odczytanie danych poprzez połączenie z innym telefonem komórkowym. Google oczywiście stara się neutralizować tego typu ataki w swoim sklepie, niemniej wciąż zdarzają się często. Recepta ekspertów? Korzystanie z mobilnego skanera antywirusowego. Ale przede wszystkim warto aktualizacje oprogramowania przeprowadzać, klikając przycisk Aktualizuj w samym Google Play, a nie poprzez np. powiadomienie, które pojawia się na pasku. Utrata danych przez kabel ładujący Niestety, nawet jeżeli twoje urządzenie jest wyposażone w nowoczesne rozwiązania antywirusowe, dbasz o to, by wszystkie aktualizacje systemu i zainstalowanego w nim oprogramowania były zainstalowane, a ustawienia systemu są świetnie zestrojone pod kątem ochrony danych – napastnicy wciąż mogą odczytać twoje dane. Riccardo Spolaor z Oxford University zademonstrował ciekawą metodę bazującą na analizie zużycia energii podczas ładowania mobilnego urządzenia z systemem Android. Spolaor udowodnił, że w trakcie ładowania da się wejść do pamięci smartfonu. Przejściówka USB, wygląda jak zwykły pendrive, ale pozwala wyłącznie ładować urządzenie mobilne (fot. CHIP) Podstawowa idea nie jest tak do końca nowa. Być może niektórzy z was słyszeli już np. o zmanipulowanych ładowarkach na lotniskach czy w innych miejscach publicznych. Ofiara, podłączając swój telefon do publicznej ładowarki, myśli, że ładuje akumulator smartfonu, a tymczasem ukryty w ładowarce komputer umożliwia agresorom odczyt danych z telefonu. W przypadku najnowszych wersji Androida przeprowadzenie tego ataku nie jest już tak łatwe, ponieważ Google zadbało o ochronny kod, który blokuje nawiązywanie połączenia dla danych bez wyraźnej zgody użytkownika ładującego smartfon. Po prawej zwykłe złącze USB, po lewej złącze USB Data Blocker. Wyraźnie widać, że to drugie nie ma dwóch środkowych złącz odpowiedzialnych za transfer danych. Niestety, nawet bez pinów do przesyłu danych można przesłać dane (fot. CHIP) Co bardziej zapobiegliwy (lub paranoicy, jak wolą niektórzy) mogą stosować specjalne nakładki, przejściówki czy kable nazywane prześmiewczo „prezerwatywami USB”. To nakładki na złącze USB wtykane do ładowarki, które na wyjściu mają tylko dwa kontakty – co wystarcza do transferu energii, lecz wyklucza transfer danych. Jednak Ricardo Spolaor uporał się z odczytem danych nawet w przypadku owego „paranoidalnego” zabezpieczenia. Jego metoda wykorzystuje miernik prądu, którym można badać różnice w przepływie energii i w ten sposób rozpoznawać, kiedy wyświetlacz ładowanego smartfonu jest wyłączony, a kiedy CPU urządzenia jest mocno zajęte obliczeniami. Aby odczytać dane z zabezpieczonego urządzenia, napastnik musi zainstalować w smartfonie aplikację, która ma dostęp do odczytywanych danych. Spolaor napisał dla celów demonstracyjnych aplikację typu „proof-of-concept” (pomysł a nie gotowe rozwiązanie), udowadniając jednocześnie, że podczas prawdziwego ataku ukrycie aplikacji np. w standardowym budziku w Androidzie jest możliwe. Co więcej, programu Spolaora nie rozpoznają mobilne skanery AV czy mechanizmy radaru Google’a. Spolaor wyjaśnia, że aplikacja nie musi mieć żadnych uprawnień, więc nie budzi podejrzeń, jej zadaniem jest tylko komunikowanie się z komputerem w ładowarce i przesyłanie danych kodem Morse’a poprzez odpowiednie modulowanie impulsów elektrycznych. W jaki sposób alfabet Morse’a jest modulowany, skoro zakłada się, że użytkownik korzysta ze wspomnianej „prezerwatywy USB”, czyli z kabla pozbawionego pinów do transmisji danych? Pomiar prądu pobieranego przez smartfon pozwala wykryć np. obciążenie CPU (graf. CHIP) Wspomniałem, że miernik elektryczny jest w stanie wykryć zmiany obciążenia CPU ładowanego telefonu. Co robi zatem aplikacja Spolaora? Tak steruje cyklami pracy procesora, żeby jego obciążenie przekładało się na kod Morse’a na mierniku energii. Ochrona przed podobnym atakiem jest możliwa tylko w taki sposób, że użytkownik wyłączy smartfon podczas ładowania. Biorąc pod uwagę, jak trudno jest nam zwykle rozstać się ze smartfonem nawet na krótką chwilę, zwłaszcza kiedy czekamy na lotnisku, to mało prawdopodobny scenariusz. Niemniej po prezentacji Spolaora zaskakująco wielu uczestników konferencji Black Hat zaczęło wyłączać swoje telefony podczas korzystania z publicznych ładowarek. Nowe próby phishingu Atakujący mogą uzyskać dostęp do danych użytkowników komputerów stacjonarnych bez żadnych manipulacji sprzętowych. Cyberprzestępcy wykorzystują w tym celu stosunkowo starą technikę: phishing. Ponad 91 procent wszystkich ataków zaczyna się właśnie od tej metody. Jednak dziś phishing jest bardzo zaawansowany. Przez lata wystarczającą ochroną było szukanie zielonej kłódki obok paska adresu w przeglądarce. Ta wskazówka jest dziś przestarzała. Kłódka informuje tylko, że dana strona korzysta z szyfrowania, ale wcale nie oznacza – jak mylnie sądzi aż 82 procent internautów – że odwiedzany serwis jest faktycznie tą, zaufaną stroną, którą chcieliśmy odwiedzić. Statystyki z Phishlabs pokazują, że dziś już co czwarty atak phishingowy korzysta z certyfikatów TLS, co oznacza, że, będąc nawet na fałszywej, podszywającej się pod znany serwis stronie, będziemy widzieć w przeglądarce zieloną kłódkę. Laikowi nie zawsze jest łatwo rozpoznać taki certyfikat hakera. Nowoczesne systemy antywirusowe, dzięki wsparciu algorytmów sztucznej inteligencji, są w stanie wykrywać certyfikaty TLS, których celem jest jedynie ukrycie czy blokowanie widoczności złośliwych adresów URL. Z drugiej strony, napastnicy również nie śpią. Alejandro Correa Bahnsen z Cyxtera Technologies zademonstrował na Black Hat metodę ataku polegającą na skutecznym zablokowaniu rozpoznawania certyfikatów przez oprogramowanie antywirusowe. Bahnsen zaprogramował sztuczną inteligencję, która poprawia atak dzięki uczeniu maszynowemu. Wskaźnik powodzenia ataków konwencjonalnych wzrósł z około 5 do 36 procent w przypadku stosowania „złośliwej” AI. Kto mieczem wojuje ten od miecza ginie? Według Bahnsena należy zainwestować więcej w rozwój systemów SI, które będą w przyszłości wykrywać takie ataki i staną się po prostu „mądrzejsze” od SI stosowanych przez cyberprzestępców. Ciepło prawdę ci powie Specjalista w zakresie kryptografii z Uniwersytetu Kalifornijskiego, Ercan Ozturk, opracował atak, który wykorzystuje, jako bramę, nieświadomego użytkownika, a dokładniej ciepło jego ciała. Ozturk użył kamery termowizyjnej, aby z wysoką skutecznością odczytać znaki z klawiatur, na których użytkownicy wprowadzili właśnie swoje hasła. Wynik jest o tyle imponujący, że nawet w przypadku złożonych ciągów znaków, czas, jakiego potrzebował badacz na poprawne odszyfrowanie hasła, wynosił maksymalnie 40 sekund. Kamera termowizyjna okazuje się być użytecznym narzędziem do łamania haseł (fot. CHIP) W znacznie lepszej sytuacji są tu użytkownicy, którzy posiedli umiejętność bezwzrokowego pisania na klawiaturze przy użyciu wszystkich dziesięciu palców, pod warunkiem jednak, że wszystkie z nich trzymają na klawiaturze. Niestety wiele osób wpisuje hasła nawet tylko jednym palcem, co ułatwia rozpoznanie za pomocą metody zaprezentowanej przez Ercana Ozturka. Niemniej badacz przyznaje, że można stosunkowo łatwo zabezpieczyć się przed tym atakiem. Wystarczy że – dosłownie – pogłaszczą całą klawiaturę płaską dłonią przed opuszczeniem stanowiska, a tym samym w miarę równomiernie nagrzeją wszystkie klawisze. Analiza termiczna obrazu pozwala nie tylko wykryć, które z klawiszy były naciskane, ale też w jakiej kolejności (fot. CHIP) Niekiedy jednak zrobisz wszystko dobrze, masz aktualizacje, oprogramowanie AV, wyłączasz telefon podczas ładowania na lotnisku, głaszczesz pieszczotliwie klawiaturę przed opuszczeniem choćby na chwilę stanowiska pracy, a i tak cię dopadną… Uwierzytelniające tokeny RSA SecurID to chętnie wykorzystywane przez korporacje narzędzie weryfikacji tożsamości uprawnionych osób (fot. CHIP) Joe Fitzpatrick, kolejny ekspert prezentujący swoje dokonania na konferencji Black Hat, ostrzega przez zmanipulowanym sprzętem, z którego korzystają użytkownicy. Mogą to być np. klawiatury, czytniki kart płatniczych itp. Na przykład w Stanach Zjednoczonych miał miejsce przypadek, kiedy agresorzy zmodyfikowali czytnik kart zainstalowany w pompie paliwa na bezobsługowej stacji benzynowej. Czytnik przechowywał w swojej pamięci dane kart kredytowych wszystkich użytkowników konkretnej stacji. Hakerzy przychodzili co kilka dni, by odczytać pamięć urządzenia. Fitzpatrick pokazał również rozwiązanie koncepcyjne polegające na wyposażeniu RSATokena w dodatkowy układ scalony, który przekazuje agresorowi przez radio hasło wyświetlane na niewielkim wyświetlaczu tokena. Niepewny łańcuch dostaw urządzeń zabezpieczających to ryzyko, że ktoś dokona w nich zmian (fot. CHIP) Fitzpatrick swoją prezentacją chciał zainteresować duże przedsiębiorstwa, w których szpiegostwo przemysłowe opłaca się i które używają kluczy RSA do zabezpieczenia ważnych punktów dostępu na komputerach. Tokenami RSA można manipulować np. w fazie transportu, gdy są one przechowywane w magazynach firmy wysyłkowej. Dlatego ekspert zaleca stosowanie wyłącznie tych produktów, których łańcuch dostaw jest w pełni znany. Maszyny wirtualne są niebezpieczne Wielokrotnie z pewnością słyszeliście, że maszyny wirtualne to remedium na kłopoty ze złośliwym oprogramowaniem. Owszem, kiedyś tak było. Dziś nawet oprogramowanie wirtualizacyjne może być atakowane. Udowodnił to Zisis Sialveras z firmy CENSUS, który pokazał sposób wykorzystania protokołu SVGA-3D VMware do wysyłania i wykonywania kodu programu do systemu hosta w systemie wirtualnym. To przykład luki typu zero-day. Szczególnie niebezpieczny przypadek. Cechą luk typu zero-day jest przede wszystkim to, że są one praktycznie niewykrywalne przez jakiekolwiek oprogramowanie antywirusowe, a przynajmniej nie bezpośrednio. Można oczywiście liczyć na analizę heurystyczną i behawioralną, ale o ile agresor nie popełni błędów we wprowadzeniu własnego kodu podczas wykorzystania takiej luki, mamy do czynienia raczej z przypadkiem ataku nie do obrony. Zagrożenie przedstawione przez Sialverasa jest tym bardziej groźne, że zwykle wirtualne maszyny nie są tak dobrze chronione jak systemy rzeczywiste. W tym przypadku skończy się na opracowaniu odpowiedniej łaty (Zisis Sialveras współpracuje już w tej sprawie z VMware). To przy okazji kolejny dowód, że aktualizowanie systemów w telefonach, tabletach, smarttelewizorach i komputerach nie jest tylko pustą mantrą, a ma kluczowe znaczenia dla bezpieczeństwa urządzeń. | CHIP

Po zebraniu jak największej ilości informacji, zaczniesz sondować system, aby zrozumieć, jak się zachowuje i dowiedzieć się, jak zareaguje na atak. Prawdopodobnie skorzystasz narzędzia programowe do skanowania sieci i infrastruktury celu,. Możesz chcieć monitorować sieć przez pewien czas, aby zebrać jak najwięcej danych.

^{Haker to włamywacz internetowy wykorzystujący luki w systemie zabezpieczeń w celu uzyskania dostępu do cudzych danych. Na pewno posiada dużą wiedzę informatyczną, musi się znać na programowaniu i funkcjonowaniu serwerów sieciowych. Nie wszystkie działania hakera muszę być szkodliwe. Firmy informatyczne często korzystają z ich pomocy do testowania zabezpieczeń i wyszukiwanie luk w systemie. Środowisko hakerów stosuje się do własnych zasad etyki. Grupa przestrzegająca tych zasad określa się mianem white hat (białe kapelusze). Działają oni jawnie, a efekty swojej pracy publikują w czytelny sposób, tak aby administratorzy systemów mogli usuwać luki w zabezpieczeniach. Druga grupa to black hat (czarne kapelusze) ich działalność jest niezgodna z prawem lub na granicy prawa. Po wykryciu dziury w zabezpieczeniach nie ujawniają tego nikomu, tylko korzystają w nielegalny sposób z pozyskanych danych, często wyrządzając szkody właścicielom serwerów. Nawet jak sami bezpośrednio nie szkodzą to przygotowują programy dla mniej zaawansowanych, które mogą im posłużyć do włamań. Taki gotowy skrypt nazywa się exploitem, jego obsługa jest prosta, zgodnie z załączoną instrukcja używają jej początkujący hakerzy "script kiddies" Przesłanki, którym kierują się hakerzy są różne. Chcą zasłynąć, zrobić zamieszanie lub złośliwy żart. Mogą też wykradać dane w celu uzyskania korzyści lub zaszkodzeniu atakowanej firmie. Haker może działać bezpośrednio, przełamując zabezpieczenia i podszywając się za uprawnionego użytkownika. Może też atakować pośrednio, wykorzystując wirusy, backdoory i napisane przez innych hakerów konie trojańskie. Atak może przebiegać wielofazowo. Początkowo jest zupełnie niezauważalny przez użytkownika. Jest to faza instalowania backdoora. Ofiara może w tym pomóc hakerowi, pobierając podstępnie zainfekowany program lub otwierając podejrzany załącznik w poczcie elektronicznej. Haker może też sam pozostawić Trojana pry swojej pierwszej wizycie. Gdy już program jest na komputerze klienta, to pozostaje go tylko zdalnie uruchomić z pomoc drugiego programu działającego na komputerze hakera. Posiadając taką ukrytą furtkę komputer ofiary wykonuje to co mu zdalnie zleca haker. Może pobierać cenne dane, podglądać wpisywane hasła, niszczyć wybrane pliki lub całkowicie zablokować system. Nieumiejętne posługiwanie się koniem trojańskim, często tylko zawiesza system i daje szanse programom antywirusowym na ich blokowanie. Dobrze napisany program jest bardzo niebezpieczny, blokuje antywirusa i wszystkie zabezpieczenia systemowe, pozwala użytkownikowi normalnie pracować, a sam penetruje zwartość dysku twardego w poszukiwaniu potrzebnych informacji. Zaatakowany komputer może sam rozsyłać wirusy do odbiorców z książki adresowej i powielać swój kod na pozostałych komputerach. Posiadając najnowszą wersje oprogramowania i program antywirusowy z aktualną bazą wirusów minimalizujemy prawdopodobieństwo ataku ze strony hakera. Jednak system nigdy nie jest bezpieczny w 100%. Nowe wirusy pisane są na okrągło, stare są modyfikowane tak, aby ich nie rozpoznawały programy antywirusowe. Zawsze może się trafić koń trojański, którego przepuści firewall i nie rozpozna antywirus. Trzeba umieć rozpoznać podejrzane objawy, które świadczą o tym, że nasz komputer jest zainfekowany lub już haker uzyskał do niego dostęp. Posiadaczy systemu Windows powinna zaniepokoić nadmierna aktywność systemu w momencie jego bezczynności. Jeśli komputer wysyła duże ilości pakietów, pomimo że nic akurat nie robimy to prawdopodobnie z naszego komputera pobierane są jakieś dane lub bez naszej wiedzy rozsyła wirusy. Podobnie niepokojąca jest aktywność dysku twardego w czasie bezczynności systemu. Nasz firewall może zablokować dużą ilość pakietów pochodzących z jednego IP, to może oznaczać, że haker testował wiele typów exploitów, na razie nie udało mu się uzyskać dostępu, ale i tak warto zablokować taki podejrzany adres IP. Również komunikaty o wykryciu wirusa przez program antywirusowy w momencie gdy sam użytkownik niczego nie otwiera, może oznaczać obecność hakera w systemie. Nawet jak w danej chwili nie widać objawów infekcji, to mogą być już testowane różne Trojany w celu uzyskanie pełnego dostępu. W komputerach pod systemach Unix obecność exploitów możemy rozpoznać po pozostawionych plikach w folderze /tmp, niektóre robaki wykorzystują ten folder jako domowy dla potrzeb kompilacji swojego kodu. Dobrym miejscem na pozostawienie back doora są foldery 'login', 'telnet', 'ftp', 'finger' pojawienie się tu nowych plików bywa trudne do wykrycia, a by móc to kontrolować trzeba okresowo sprawdzać sumy kontrolne. Objawem infekcji w Linuxie są zmodyfikowane pliki w folderach: pliki /etc/passwd, /etc/shadow i głównym /etc. Działanie trzeba podjąć gdy niespodziewanie pojawi się nowy użytkownik o nieznanej wcześniej nazwie. Został on podstępnie utworzony w celu przyszłego zdalnego logowania. Haker w Linuxie może zainstalować back doora dodając tylko dwie linijki kodu i uruchomi nowe usługi w folderach: /etc lub /etc/ Ważne jest aby monitorować wpisy w tych folderach bo mogą w prosty sposób przyłączyć backdora do nieużywanego portu. Typową metodą ataków na serwery http jest DoS (Denial of Service) jego celem jest przeciążenie i zablokowanie serwera. Ofiarą ataku może paść każdy serwer w dowolnym systemie, bo wykorzystuje się tu protokół IP popularny w Internecie. Popularne programy do ataków DoS to: bonk, boink, Hanson, Jolt, Land, Pong, Teardrop i Winnuke. Powodują one zawieszenie systemu, blokadę lub przeciążenie. Kolejne mutacje programów do DoS: "SYN Flood Attack" i "Smurf Attack" działają na podobnych zasadach, wysyłają dużą liczbę zapytań, na które serwer nie nadąża odpowiadać i się blokuje lub uszkadza. Odmianą ataku DoS jest zmasowany atak DDoS (Distributed Denial of Servic) wykonuje się go jednocześnie z wielu komputerów, na skutek zalewu zapytań serwer jest przeciążony i strony przestają działać. Spoofing (maskarada) to bardzo zaawansowana technika ataku hakera, podszywa się on pod IP uprawnionego użytkownika i bezkarnie penetruje serwery, nie jest rozpoznany przez firewall, switche i rutery. Atak na serwer pocztowy to działanie hakera mające na celu przechwycenie poczty użytkowników, modyfikacje wiadomości i podszywanie się pod innych nadawców. Skuteczne ataki możliwe są dzięki błędom użytkowników, haker często korzysta z socjotechniki (social engineering) przez inteligentny wywiad wyłudza informacje przydatne do włamania. Ze zwykłej rozmowy na temat na pozór mało istotny, może się dowiedzieć o szczegółach działania sieci firmowej, a niekiedy podstępnie uzyskać wyjawienie haseł. Wbrew pozorom przyczyny większości włamań to nie pokonywanie zabezpieczeń, bo te wymagają sporej wiedzy lecz właśnie cierpliwa obserwacja i poznawanie zwyczajów użytkownika. Właściciele serwerów nadal stosują proste do odgadnięcia hasła lub używają jednego hasła do różnych celów. Skutki takich błędów to utrata danych, strat finansowe i wizerunkowe.} 25 najpopularniejszych haseł na świecie. Miejsce pierwsze, drugie i trzecie zostało już wyżej wymienione, ale aby lista była kompletna zaczniemy właśnie od nich: 123456. password. 123456789. 12345678. 12345. 111111. 1234567.

Większość luk w komputerach może zostać wykorzystana na wiele różnych sposobów. Ataki hakerów mogą wykorzystywać jeden konkretny exploit, kilka exploitów równocześnie, złą konfigurację, jeden z elementów systemu lub nawet backdoora z wcześniejszego ataku. Z tego względu wykrycie ataków hakera jest niełatwym zadaniem dla niedoświadczonego użytkownika. Artykuł ten zawiera kilka podstawowych wskazówek mających pomóc użytkownikom w rozpoznaniu, czy ich komputery są atakowane, lub czy nastąpiło włamanie do systemu. Należy jednak pamiętać, podobnie jak w przypadku wirusów, że przedstawione sposoby nie dają 100% gwarancji wykrycia ataków hakerów. Istnieje jednak duże prawdopodobieństwo, że system, do którego włamano się, będzie zachowywał się na jeden lub więcej następujących sposobów: duży ruch sieciowy wychodzący. Jeżeli użytkownik korzysta z połączenia Dial-Up lub ADSL i zauważy wyższe niż zazwyczaj natężenie ruchu sieciowego wychodzącego (szczególnie gdy komputer jest bezczynny lub niekoniecznie wysyła dane), może to oznaczać, że ktoś naruszył ochronę danych może zostać użyty do rozsyłania spamu lub wykorzystany przez robaka sieciowego, który tworzy i wysyła swoje własne kopie. Mniejsze znaczenie ma to w przypadku połączeń kablowych - ruch wychodzący jest wówczas zazwyczaj taki sam jak przychodzący, nawet jeśli nie robimy nic więcej poza przeglądaniem stron lub ściąganiem danych z aktywność dysku lub podejrzanie wyglądające pliki w folderach głównych dowolnego napędu. Po włamaniu do systemu wielu hakerów przeprowadza masowe skanowanie w poszukiwaniu interesujących dokumentów lub plików zawierających hasła lub nazwy użytkownika dla kont bankowych lub systemów płatniczych, takich jak niektóre robaki przeszukują dysk w celu znalezienia adresów e-mail i wykorzystaniu ich do rozprzestrzeniania się. Jeśli dysk główny jest aktywny, nawet gdy system jest bezczynny, a popularne foldery zawierają pliki o podejrzanych nazwach, może to oznaczać włamanie do systemu lub infekcję złośliwym programem. 3. Duża liczba pakietów pochodząca z jednego adresu zatrzymana przez osobistą zaporę sieciową. Po zlokalizowaniu celu hakerzy uruchamiają zazwyczaj automatyczne narzędzia skanujące próbujące wykorzystać różne narzędzia w celu dokonania włamania do po uruchomieniu osobistej zapory sieciowej (podstawowy element ochrony przed atakami hakerów) użytkownik zauważy wyższą niż zazwyczaj liczbę zatrzymanych pakietów przychodzących z jednego adresu, oznacza to atak na komputer. Dobra wiadomość jest taka, że jeśli zapora zarejestrowała te ataki, prawdopodobnie komputer jest w zależności od liczby usług udostępnionych w Internecie, osobista zapora sieciowa może nie uchronić użytkownika przed atakiem skierowanym na konkretną usługę uruchomioną i udostępnioną w systemie. W tym przypadku rozwiązaniem może być tymczasowe zablokowanie atakującego adresu IP do czasu ustania prób połączeń. Wiele osobistych zapór sieciowych i systemów wykrywania włamań (IDS) ma wbudowaną taką Chociaż nie wykonano żadnej nietypowej czynności, rezydentny program antywirusowy zgłasza nagle wykrycie backdoora lub trojana. Ataki hakerów mogą być złożone i innowacyjne, jednak wielu włamywaczy w celu zdobycia pełnego dostępu do zaatakowanego systemu wykorzystuje znane trojany lub rezydentny składnik programu antywirusowego wykrywa i zgłasza taki złośliwy program, oznacza to, że możliwe jest uzyskanie dostępu do systemu z Lab Polska Przygotuj się do stosowania nowych przepisów! Poradnik prezentuje praktyczne wskazówki, w jaki sposób dostosować się do zmian w podatkach i wynagrodzeniach wprowadzanych nowelizacją Polskiego Ładu. Tyko teraz książka + ebook w PREZENCIE

. 12 123 384 227 92 341 288 295

jak rozpoznać atak hakera