Снова с вами PWNED — рубрика, в которой The Reg делится поучительными историями людей, оставивших свои двери нараспашку для злоумышленников и выживших, чтобы рассказать об этом. На этой неделе речь пойдет о необновленных старых машинах и пароле, который должен был послужить посланием для преступников.
Наша история снова благодаря ведущему специалисту по красным командам и тестированию на проникновение Давиду Шлоссу из Suzu Labs.
Один из клиентов попросил Шлосса посетить фабрику и проверить серверы на наличие уязвимостей. Компания уже подвергалась взлому за шесть месяцев до этого, внесла некоторые изменения и хотела убедиться, что теперь она неуязвима.
Миссия Шлосса, которую он принял, заключалась в получении прав администратора домена.
Шлосс приехал на фабрику и заметил, что ряд серверов под управлением Windows 7 подключен к станкам с ЧПУ, хотя Windows 10 к тому времени уже была поддерживаемой настольной ОС от Microsoft. Это было ожидаемо, поскольку компании с проприетарным программным обеспечением часто используют устаревшие ОС из-за опасений нарушить работу приложений.
Поначалу Шлоссу было трудно проникнуть в систему, поскольку большинство серверов не были подключены к домену. Поэтому не имело смысла использовать эксплойт EternalBlue, который мог бы предоставить ему доступ.
«Я просмотрел их, и большинство из них были отключены от домена, так что это правильное решение», — сказал он. «Да, вы могли бы запустить EternalBlue в сети, но на самом деле вы бы никуда не продвинулись, потому что, получив доступ к устройству, вы бы обнаружили: вы выгружаете LSASS [подсистему безопасности Windows], и говорите: «Хорошо, есть учетные данные локального администратора, но они отличаются от учетных данных локального администратора на большинстве рабочих станций».
Наконец, Шлосс получил доступ к одному из серверов, подключенных к станкам, и обнаружил, что он подключен к сети и находится в домене. Он был уязвим для EternalBlue, и Шлосс выгрузил LSASS, найдя пару учетных данных от WDigest, одно из которых выглядело как учетная запись администратора.
Однако Шлосс решил, что это, вероятно, не настоящая учетная запись администратора, когда прочитал пароль: «heyhackergof***yourself», но написанный на сленге «l33t speak» [l337 5p34k].
Полученная строка была надежным паролем, но Шлосс предположил, что администраторы играют с ним и оставили эти учетные данные для него. Шлосс решил, что они не сработают, и отложил проверку на неделю.
Во время брифинга с IT-отделом он представил свои находки и спросил, кто создал учетную запись администратора с таким забавным паролем.
«Было видно, как все смотрят на старшего менеджера IT, как бы говоря: «Это был ты, не так ли», — объяснил Шлосс. «У него такое лицо. Я думаю: «Черт возьми, что такое?» Оказалось, что «heyhackergof***yourself» был настоящим паролем для его учетной записи администратора».
В понедельник Шлосс попробовал комбинацию имени пользователя и пароля, и, о чудо, это дало ему полный контроль над всей сетью. Затем он смог получить доступ к другим паролям, и многие из них также были оскорблениями, направленными на потенциальных хакеров.
Шлосс понял, что команда все еще злится из-за взлома, который произошел шесть месяцев назад, и, если их снова взломают, они хотели послать к черту хакера, который это сделал. К сожалению, их система оставалась уязвимой из-за устаревшей машины, подключенной к домену, и ему удалось получить контроль.
Главный урок здесь — обновляйте свои системы и избегайте использования небезопасных устаревших ОС, когда это возможно, потому что именно старая машина позволила Шлоссу проникнуть, а не слабый пароль.
Действительно, «hackergof***yourself» на сленге l33t speak — не ужасный пароль, а просто неловкий, если он станет известен. ®
Всегда имейте в виду, что редакции могут придерживаться предвзятых взглядов в освещении новостей.
Автор – Avram Piltch
