Взлом дата-центру, реальний кейс пентесту та рекомендації з безпеки

У статті  розглядається реальний приклад тестування на проникнення (пентесту) дата-центру. Автори починають з використання OSINT (Open Source Intelligence) для збору інформації про співробітників через LinkedIn, виявляють витоки даних за допомогою сервісів на кшталт Leakcheck, аналізують соціальні мережі на предмет компрометуючих фотографій та створюють дублікат ключа на основі знайденого зображення. Цей кейс підкреслює важливість комплексного підходу до безпеки, включаючи захист від витоків інформації в соціальних мережах та контроль за публікацією потенційно чутливих даних співробітниками.

• Дисклеймер: Інформація, представлена у цій статті, має виключно навчальний характер, не є закликом до дії та не може бути використана зі зловмисними цілями. Мета матеріалу – продемонструвати існуючі вразливості та недоліки, які потребують усунення фахівцями з інформаційної безпеки в організаціях, а також показати роботу експертів у сфері кібернавчань.

Розпочнемо

Захоплююча подорож почалася з ранкового дзвінка від представника постраждалої організації з проханням розрахувати комерційну пропозицію на послугу. Зазвичай у таких випадках збирається якомога більше інформації, проте цього разу подробиці не розголошувалися, і було запропоновано очну зустріч.

У процесі розмови із замовником стало зрозуміло, що організація вже неодноразово проводила пентестинг, має аспекти, які потребують доопрацювання як зовні, так і всередині. Однак, на фоні деяких подій, виникла потреба перевірити рівень фізичного захисту.

Попередньо було проведено загальний огляд компанії та її діяльності, проте отримати детальну інформацію не вдалося. Було досягнуто домовленості щодо підписання NDA з обох сторін і початку роботи.

На початковому етапі, володіючи лише назвою компанії, було прийнято рішення шукати інформацію з різних джерел. Для цього використовувався глибинний аналіз технологій, співробітників, керівництва, клієнтів, партнерів і навіть геолокації об’єкта.

Першим інструментом для збору даних став LinkedIn. Практичний OSINT без відповідного узгодження публікувати неможливо, тому скриншоти не надаються. Сам процес був досить простий: почався пошук співробітників компанії з подальшим внесенням інформації до таблиці, цього разу для зручності вибір пав на Excel.

Далі відбувався збір інформації зі злитих баз даних, таких як Leakcheck та подібні сервіси-колаборатори. Використовуючи корпоративні електронні адреси та злиті паролі, вдалося отримати доступ до контактних телефонів співробітників, прив’язаних до різних месенджерів (Viber, WhatsApp тощо), а також до інформації про їхні покупки та інші дані.

Спершу вдалося знайти інформацію про керівників IT-відділу, а згодом про технічних фахівців, які працюють у різних сегментах мережі. На основі цих даних було складено повноцінне досьє співробітників, яке можна було б використовувати для впровадження в організацію чи встановлення знайомств. Для документування знахідок використовувалася зручна система ведення записів, адаптована під конкретні потреби.

На цьому етапі були визначені адресати для фішингових листів, які допомогли б проникнути в потрібний сегмент мережі. Інформація про обов’язки співробітників та їхні функції була отримана через розмови з HR-відділом. Такі дані також корисні у випадках, коли виникає потреба представитися певною особою чи назвати імена співробітників для пояснення присутності на території. У разі крайньої необхідності передбачалося створення дублікату особистості для тимчасового використання.

Особлива увага була зосереджена на соціальних мережах, де виявили багато фото з потенційно корисною інформацією, включаючи зображення документів, ключів та інші важливі деталі. Також було знайдено статті, в яких фотографії надавали уявлення про внутрішній вигляд підприємства.

Знайдене фото ключа в соціальних мережах дало змогу виготовити його дублікат для перевірки. Для демонстрації механіки виготовлення ключів додаткові інструкції можуть бути представлені на YouTube за окремим запитом.

Крім цього, було проаналізовано статті та відео з відкриття чи реконструкції об’єктів, які містили плани будівель та деталі про їхню інфраструктуру. Такі матеріали використовувалися для створення повної картини об’єкта.

Для потенційної роботи з Wi-Fi було складено карту точок доступу, яку використовували для атак типу «Злий двійник» за допомогою інструмента Eaphammer. Така розвідка проводилася безпосередньо на місцевості чи під час мобільного пересування.

На завершення досліджувалися фізичні обмеження, такі як замки та можливі лазівки, залишені самими співробітниками для уникнення проходження через основну охорону. Було зафіксовано наявність стандартних навісних замків Apecs та англійського профілю на внутрішніх хвіртках. Замки оцінювалися на відстані, тому точне визначення виробника було ускладнене.

Було необхідно оцінити роботу поста охорони, зокрема, як часто перемикаються камери та чи здійснюється за ними постійний контроль. Складається враження, що охоронців попередили про можливий тест, оскільки вони постійно спостерігали за моніторами, активно щось обговорюючи. Навіть жалюзі на посту були прикриті, щоб їх не було видно зовні. Проте, коли колега здійснював огляд периметра, жодної реакції не було, що свідчить про автоматичний режим роботи камер, які не ініціюються за допомогою датчиків руху. Час обходу було зафіксовано, і можна було переходити до підготовки необхідного обладнання.

Для нічної роботи було зібрано стандартний набір інструментів, акцентуючи увагу лише на найнеобхіднішому, розташувавши все в зручних для швидкого доступу місцях. Використовувалося якісне спорядження, таке як Multipick, який є одним із найкращих інструментів для роботи з різними типами замків.

Підготовка до проникнення включала фіксацію відео на камеру GoPro у форматі 1080p при 60 кадрах в секунду. Завдяки попереднім проєктам вдалося уникнути стресу, і дії виконувалися спокійно та злагоджено. Найбільш очевидним шляхом проникнення виявилися зовнішні пожежні сходи, периметровий паркан або легкий доступ через відкручування профнастилу. У конкретному випадку було використано якісний болторіз для подолання першого контуру.

Внутрішній доступ відкрився завдяки конструктивним особливостям будівлі, таким як пожежні сходи, переходи між корпусами та відкриті вікна на верхніх поверхах. Підготовлені інструменти, як-от відмички, дозволили швидко подолати перешкоди та потрапити до блоку управління резервним живленням. Там було встановлено додаткове обладнання, включаючи «малинку» (Raspberry Pi), що дозволило виконати необхідні дії.

Для подальшої роботи була створена прихована точка доступу, пристрої розмістилися в малопомітних місцях, таких як мережеві фільтри чи електрощити, що гарантувало ефективне використання отриманого доступу. Усі дії були виконані з урахуванням високих стандартів професіоналізму.

Операція була успішно завершена тим самим шляхом, усе пройшло тихо і без зайвого шуму. Проте наступного дня Замовник попросив повторити маніпуляцію вдень. Було очевидно, що цей етап мав підвищений ризик, адже ймовірно, що про дії вже знали, а записи з камер могли бути переглянуті. Незважаючи на це, було прийнято рішення виконати завдання. Замовник наполягав, що про пентест нічого не відомо, але команда свідомо пішла «на забій». Як кажуть, «ми виконуємо, ви оплачуєте».

Денна операція відбувалася у присутності великої кількості людей, які пересувалися територією підприємства. Для маскування було знайдено коптерку з жовтими жилетами, що дозволило легко видати себе за підрядників. У нових умовах було номінально перевірено попередні дії. Операція завершилася зйомкою якісного відео з декількох камер, яке передали Замовнику.

Звіт потребував додаткового часу, оскільки одних відеозаписів із камер та екшн-камер виявилося недостатньо. Проте робота була виконана успішно, завдання виконано, репутацію зміцнено, а також зароблено фінансову винагороду.

Зазначимо, що деталі щодо злому внутрішніх та зовнішніх систем або використання соціальної інженерії не описувалися, оскільки операція проводилася за стандартним сценарієм без складних технічних ланцюжків.