Laptop zamiast kałasznikowa, czyli jak działają hakerzy

sxc.hu
sxc.hu
Grupy hakerskie porównywane są ostatnio do rycerzy na białym koniu broniących szlachetnych idei wolności. Anonymous zwalczają korporacyjną bezduszność, a LulzSec walczą z tyranami w realnym świecie. To tylko cząstka prawdy.

Masowe manifestacje "anonimowych", atak na stronę premiera Tuska - wszystko to robi wrażenie potęgi hakerskich ugrupowań, a zarazem zagrożenia z ich strony. Bo przecież praktycznie każdy z nas korzysta z sieci internetowych, a w nich - okazuje się - może zdarzyć się wszystko.

- Szacuje się, że w wyniku niedawnego włamania do usługi Sony dla graczy PlayStation Network w ręce hakerów wpadło 77 milionów użytkowników, a dokładnie ich nazwiska, adresy zamieszkania, adresy poczty elektronicznej, daty urodzenia, loginy i hasła. Cala tożsamość - mówi Mirosław Maj z Fundacji Bezpieczna Cyberprzestrzeń. Za tą akcją stała grupa hakujących dla idei. Pytanie, czy w grę wchodziła tylko manifestacja umiejętności czy też zdobyte dane zostaną nieuczciwie wykorzystane.

Takie hakerskie akcje, a nie manifestacje anty-ACTA, stanowią prawdziwe zagrożenie - uważają eksperci od bezpieczeństwa sieci. Michał Chrobot, specjalista od rynku IT, dodaje: - Ze zdumieniem patrzyłem na zamieszanie wokół "hakerskich" ataków anty-ACTA. Dziewięćdziesiąt procent ludzi, którzy brali udział w atakach DDoS na strony rządowe, to nie żadni hakerzy. To po prostu ludzie, którzy usłyszeli w mediach o akcji, pobrali odpowiedni program i przyłączyli się do akcji, uruchamiając na swoim komputerze jedną prostą aplikację.

To się opłaca

Pierwsi hakerzy nie byli złodziejami: - Pracowali często na uczelniach i prześcigali się w odnajdowaniu luk w oprogramowaniach - mówi Mirosław Maj.

Bardzo szybko określenie haker nabrało jednak negatywnego znaczenia i tak już zostało. Bo hakerzy zaczęli kraść. Byli sprytnymi, uzdolnionymi, inteligentnymi, pomysłowymi i działającymi z fantazją, ale jednak złodziejami.

W latach 70. ubiegłego wieku włamywali się do regionalnych i międzynarodowych sieci telefonicznych po to, by dzwonić za darmo. Wykorzystywali różne patenty, czasem ich pomysły były tak prymitywne jak ówczesne cybertechnologie.

Odkryli na przykład, że zabawkowy gwizdek wydaje dźwięk o takiej samej częstotliwości jak sygnał centrali umożliwiający międzynarodowe rozmowy telefoniczne. To tak, jakby odkryć, że płatności zamiast kartą kredytową można równie dobrze robić za sprawą przypadkowej magnetycznej karty do drzwi. Nieprawdopodobne, a jednak.

Dziesięć lat po atakach na sieci telefoniczne jasne się stało, że apetyt komputerowych włamywaczy rośnie w miarę jedzenia. Bank Narodowy w Chicago stracił 70 milionów dolarów - pieniądze zostały po prostu przez hakerów wyprowadzone z kont, a bankowcom nie pozostało nic innego, jak ze zdumieniem patrzeć na zdemolowane rachunki. Zdolni hakerzy działają nie tylko za oceanem, rosyjscy włamywacze zaspokoili się 10 milionami dolarów, także ściągniętych z kont bankowych.

30-latek, który dokonał "przelewów", użył po godzinach pracy służbowego laptopa. Bezczelnie, ale skutecznie. Oszustwa oraz pokazówki dla śmiechu (jedna ze słynnych grup hakerskich nazwę wzięła z hasła Lots of Laughts - kupa śmiechu) zwykle opłacają się sprawcom, a kary są niewspółmierne.

- Szczególnie w porównaniu ze stratami ponoszonymi przez użytkowników końcowych sieci i przedsiębiorstwa w wyniku kradzieży danych i pieniędzy, wymuszeń, wyłudzeń i innych typów oszustw - dodaje Ludwik Krakowiak, ekspert i zastępca redaktora naczelnego pisma "PC World". - Dobrym hakerom, a więc tzw. białym kapeluszom, też się opłaca, bo wyrabiają sobie renomę i nazwisko, zyskują status ekspertów, na czym akurat dwóm pierwszym grupom nie zależy - tamci zdecydowanie wolą pozostać w ukryciu.

Hakerzy mają tupet. Kevin Poulsen zasłynął z tego, że jako haker recydywista wraz z dwoma kumplami zawiesił system telefoniczny w ten sposób, że tylko on i jego wspólnicy mogli dodzwonić się do programu radiowego, w którym rozdawano bardzo atrakcyjne nagrody. Zgarnęli więc między innymi dwa samochody Porsche, kilka wycieczek zagranicznych i 20 tysięcy dolarów.

Czarne kapelusze hakują bez skrupułów, okradają z majątku, tożsamości, są gotowi na wszystko i przyjmą każde zlecenie. - Dochodowość szpiegostwa, inwigilacji bywa dla wielu nieodpartą pokusą - twierdzi w książce "Cisza w sieci" Michał Zalewski, specjalista od bezpieczeństwa Google.

Dla idei

Michał Zalewski "lcamtuf" został przed laty okrzyknięty czołowym polskim hakerem. Ledwo dostał dowód osobisty, a już interesowały się nim korporacje telekomunikacyjne, by pilnował firmowych serwerów i sieci.

W odkrywaniu luk w programach, zabezpieczeniach i przeglądarkach Zalewski jest tak dobry, że jeden z jego patentów wykorzystano w Matrixie, w scence, kiedy Trinity skanuje i włamuje się do komputerów. W połowie 2010 r. znalazł około setki dziur w najpopularniejszych przeglądarkach internetowych.

Poinformował o tym producentów. Niektórzy podziękowali i załatali dziury. Microsoft nie zareagował, choć był kilkakrotnie powiadamiany. Zalewski po paru miesiącach upublicznił więc stworzone przez siebie narzędzia, dzięki którym można było dotrzeć do luk. Stał się bohaterem.

Dziś 31-letni Zalewski to spec od bezpieczeństwa firmy Google i wyprasza sobie, by nazywać go hakerem. Nie przez skromność, ale z powodów formalnych: - Medialnie termin haker odnosi się do działań, których celem jest narażenie na szwank cudzych komputerów ze złości lub dla zysku. Z tym się nie identyfikuję - wyjaśnia.

Umiejętności hakerskie wykorzystywane są dla wielu szczytnych celów. "Łamacze" haseł pracują na przykład w organizacji założonej przez Natashę Grigorii (sama kiedyś wspierała dystrybucję nielegalnego oprogramowania) i namierzają dystrybutorów produkcji porno z udziałem dzieci. Zdobywają ich dane, a potem przekazują amerykańskiemu wymiarowi sprawiedliwości.

- Białe kapelusze działają mniej spektakularnie, o czarnych jest głośno - mówi Mirosław Maj. - Europa Środkowa jest zagłębiem black hat, bo tu trudno z legalnej pracy przy oprogramowaniach zdobyć tyle pieniędzy, ile z cyberprzestępczości.

Realna śmierć

W wirtualnym świecie można dokonać całkiem realnych zbrodni. Podczas jednej z konferencji Black Hat przeprowadzono pokaz cyberataku, który może zabić człowieka. Jay Radcliffe, specjalista ds. bezpieczeństwa, który od kilkunastu lat cierpi na cukrzycę typu 1 i korzysta z pompy insulinowej, zademonstrował, w jaki sposób można zaatakować to urządzenie.

Napastnik komputera z odpowiednim oprogramowaniem powinien znać numer seryjny pompy. Taki zestaw pozwala na połączenie się (z odległości około 40 m) z pompą i wydawanie jej poleceń. Można ją wyłączyć lub, co gorsza, zmienić podawane przez nią dawki insuliny.

To może doprowadzić do śmierci chorego.
Najgroźniejszy jest cyberterroryzm. Nie powinno się tego pojęcia używać do określania ostatnich ataków na strony www polskiego rządu. Użyta tam metoda hakowania była - jak zapewniają spece - prosta, podobnie jak prymitywne było zabezpieczenie strony rządowej hasłami admin, admin1.

- Szczególne zagrożenie jest ze strony cyberwojny i szpiegostwa elektronicznego - podkreśla Ludwik Krakowiak. - Hakerzy są bowiem na usługach rządów i agencji wywiadowczych.

A także terrorystów. Cyberterroryści Al-Kaidy 11 września 2001 roku przeprowadzili operacje mające na celu uszkodzenie systemów identyfikacji porwanych podczas zamachów samolotów. Terrorystom z sieci najłatwiej jest się samofinansować. Działająca z ramienia Hezbollahu grupa hakerów włamała się w 2000 roku do Banku Izraela i giełdy w Tel Awiwie, takich przypadków jest więcej.

I jeszcze jedno - szkolenie hakerów wcale nie jest drogie. Za kwotę potrzebną do wyszkolenia jednego zawodowego żołnierza można wyszkolić nawet armię cyberterrorystów i dlatego coraz częściej laptop zastępuje terroryście kałasznikowa.

- Ostatnio uczestniczyłem w ciekawym spotkaniu dotyczącym powiązań rządu Federacji Rosyjskiej z cyberatakami na Gruzję w 2008 roku - mówi Mirosław Maj z Fundacji Bezpieczna Cyberprzestrzeń. - Gruzińska infrastruktura IT została zaatakowana w tym samym czasie, kiedy rosyjskie wojska zbliżały się do Tbilisi. Rządowe strony podmieniano, pojawiły się fałszywe komunikaty BBC i CNN, które w rzeczywistości infekowały komputery, kolejne ataki rozwalały rządowe serwisy, a także strony banków i ambasad państw, które wspierały Gruzję.

Wiele wskazuje na to, że te ataki były sterowane przez rosyjskie władze, ale twardych dowodów nie ma.
- Gruzini wyciągnęli wnioski z ataków na swe strony. Przed 2008 rokiem większość połączeń internetowych Gruzja - świat odbywała się przez Rosję. Po 2008 - już tylko około 10 procent - mówi Maj.
Tyle że w wirtualnej wiosce tak naprawdę nie ma gdzie uciekać.

Wideo

Komentarze 4

Komentowanie artykułów jest możliwe wyłącznie dla zalogowanych Użytkowników. Cenimy wolność słowa i nieskrępowane dyskusje, ale serdecznie prosimy o przestrzeganie kultury osobistej, dobrych obyczajów i reguł prawa. Wszelkie wpisy, które nie są zgodne ze standardami, proszę zgłaszać do moderacji. Zaloguj się lub załóż konto

Nie hejtuj, pisz kulturalne i zgodne z prawem komentarze! Jeśli widzisz niestosowny wpis - kliknij „zgłoś nadużycie”.

Podaj powód zgłoszenia

R
Rafał

Wokół działalności hakerów jest sporo niedomówień - dla niektórych jest to pojęcie w 100% pejoratywne, mimo że większość z nich nie działa, żeby wyrządzić szkodę, tylko rozwiązać (zhakować) jakiś problem technologiczny. Mała grupa szkodliwych hakerów robi jednak tak duże szkody wizerunkowe, że nikt nie myśli o tym rozróżnieniu i cała grupa uchodzi za jednakowo niekorzystną. Zgadzam się natomiast, że do tej pracy potrzebne są wydajne laptopy, np Dell Latitude albo lepsze Lenovo ThinkPad i to w jakichś podrasowanych konfigach.

B
BlackHat

Jeśli sieć jest zarządzana przez głupca, który używa domyślnych haseł, to nic dziwnego, że uda się w nią włamać.
Demonstracja o pompie miała na celu pokazanie, że nawet takie urządzenie można złamać, a jeśli jej producent jej nie zabezpieczy, to może być kiepsko. Tak, ten zjazd się nazywa DefCon, i zjeżdżają tam eksperci od zabezpieczeń, hakerzy i nie tylko. Ale polskich kowbojów klawiatury tam nie ma, bo są zbyt genialni i awesome na taki zjazd, by się dokształcać.

I jeszcze jedno, atak emacsem przez sendmail to najlepszy możliwy atak, każdy system przed nim padnie.

n
netgirl

"Cyberterroryści Al-Kaidy 11 września 2001 roku przeprowadzili operacje mające na celu uszkodzenie systemów identyfikacji porwanych podczas zamachów samolotów" co to za bełkot? że co?! nie mozna zidentyfikowac samolotu pasażerskiego, który juz leci? bzdura!(proszę zadzwonic na jakiekolwiek lotnisko!) - że działają jeszcze dziennikarze, którzy opowiadają takie bajki...Czy pani redaktor wie co to jest wojna o ropę? Czemu mamy Petrodolary, a nie Eurodoloary, które chciał Europie zaproponować Hussein?
Powoływanie się na jakąś bzdurę z Matrixa? Film jest ok i nic więcej. Przy tym artykule możne się poturlać ze śmiechu każdy, kto cokolwiek wie w temacie :)Najwieksze włamania powstawały w oparciu o wywiad socjologiczny w firmach, a nie szukanie jakis "luk" w oprogramowaniu! (tak to tylko wygląda w filmach klasy , a pan "haker" z warszawki nigdy nie słyszał synchronizacji ataków militarnych, więc to co w Gruzji to jest normalka, a nie ciekawostka...
Proponuję bajkę "G Force", aby zaczerpnąć więcej fachowych informacji na temat hakerstwa i zaawansowanych technologii..;)lub polskie dzieło "Haker" w sam raz na ten poziom.
Można też skonsultowac się z jakimkolwiek człowiekiem z IT, zeby nie pisac takich bzur, bo na razie to jest kuriozum;)

Dodaj ogłoszenie

Wykryliśmy, że nadal blokujesz reklamy...

To dzięki reklamom możemy dostarczyć dla Ciebie wartościowe informacje. Jeśli cenisz naszą pracę, prosimy, odblokuj reklamy na naszej stronie.

Dziękujemy za Twoje wsparcie!

Jasne, chcę odblokować
Przycisk nie działa ?
1.
W prawym górnym rogu przegladarki znajdź i kliknij ikonkę AdBlock. Z otwartego menu wybierz opcję "Wstrzymaj blokowanie na stronach w tej domenie".
krok 1
2.
Pojawi się okienko AdBlock. Przesuń suwak maksymalnie w prawą stronę, a nastepnie kliknij "Wyklucz".
krok 2
3.
Gotowe! Zielona ikonka informuje, że reklamy na stronie zostały odblokowane.
krok 3