Alábbiakban egy támadási koncepció részletei következnek.
A történet a képzelet szüleménye, hasonlósága valós alakokkal, helyzetekkel, a véletlen műve csupán.

Féltucat biztonsági szakértőt is összehordhat a szél, ha nincs köztük egy pedagógus vagy pszichológus, akkor a falon jönnek be csákánnyal, a biztonsági ajtó mellett.
Fejlődik a technológia, de az emberláncszem oktatás nélkül gyönge és gyarló marad.

a terv:

- bemenni és kihozni
- idő szűkös
- nincs B-terv, párhuzamosan fusson az A, a B, a C és a D-terv

„Kedves Vitay Georgina!

Elnézést, hogy így ismeretlenül kereslek, megmondom őszintén még sosem csináltunk ilyet. Komoly cég vagyunk 4ooo fős portfólióval, európai és izraeli piacra dolgozunk. Egyik ügyfelünk az izraeli Life Industries a Facebook-on találta meg a profilodat és szeretett bele teljesen. Egy parfümös fotózással kapcsolatos felkérés miatt kereslek. Most épp a reptéren vagyok, eléggé idő szűkében, a Life-on kívül még két nagy ügyféllel folyamatos kapcsolatban. Ha el tudsz szabadulni 2-3 napra Magyarországról és érdekel a lehetőség, akkor ide tudsz választ küldeni. 15oo-3ooo eurot lehet szerintem kihozni a sztoriból + utazás és ellátás, de kőkemény, napi 13 órás fotózásokra lehet számítani. Szerződéstervezetet fogok visszaküldeni két nyelven és nagyon örülnénk, mert sürgős lenne - Köszi!

Üdvözlettel, Truth Gertrúd”

I.
Fedősztori: fotóügynökségi honlap elkészítése [mi sem természetesebb annál, hogy ez egy fertőző weboldal].

II.
Közösségi kapcsolattartó alkalmazásokon megadott adatok alapján egy a célpontnál dolgozó fiatal nő becserkészése. Fenti e-mail elküldése munkaidő kezdetén a privát és hivatalos címre.

III.
Adatok validálása - amennyiben a nő még a szomszédos országban működő cégnél dolgozik, az A-terv keretében egy szerződéstervezetnek álcázott támadókód bejuttatásának kísérlete a cég rendszerébe [csatolmány].

IV.
Úgynevezett drop&found drive-ok készítése: olyan CD és/vagy pendrive, amin, ha csatlakoztatják egy céges gépre automatikusan lefutó program van. A program észrevétlenül megfertőzi a belső hálózatot és ajtót nyit a távoli hozzáféréshez egy szakértő részére. Az adathordozókon kézírással az alábbi szöveg szerepel:

„Vitay Georgina ruhapróba”

V.
Elindul egy futár a célponthoz. A legenda alapján a Life Industries projekt még nem publikált vizuális terveit viszi megtekintésre a becserkészett munkavállalónak. A futár felszerelése: kreatív koncepció, elszórható drop&found drive-ok.

VI.
A futár elszórja a parkolóban és a közösségi helyiségekben a csalikat. Ha adódik nulla kockázattal járó lehetőség, a bejutást követően a helyszínen fertőzi meg a cég rendszerét [csatlakoztat egy pendrályvot..]. Majd távozik és átadja a terepet a távolról dolgozó szakértőnek.

A csalikat jelen esetben a férfi kollégáknak szánjuk. Ismerős név, érdekesnek ígérkező tartalom lesz a felirat szerint.
Majdnem minden munkahelyen van egy külső adottságaival kompenzáló férfi vagy nő, aki valamelyik vezető kegyeltje. Erre lehet támadási koncepciót építeni.
Ezek a munkavállalók általában nem az intellektusukból élnek [social engineering, phishing] és a külső jegyek alapján könnyen azonosíthatóak, ha esetünkben nincs releváns végzettségük, munkatapasztalatuk és koruk alapján alkalmasnak tűnnek a hordozó szerepre [social media]. Amennyiben a példánál maradva egy hölgy az, akit becserkésznek, esélyes, hogy a férfi kollégák kíváncsiak a privát fotóira, a nők pedig talán a kegyvesztettség előidézése miatt aktivizálhatóak.

A célpont rendszerébe bejuttatott támadókód lehet egyszerű kémprogram vagy lappangó, időzített cryptolocker is, ami például egy fontos leadási határidő előtt 12 órával blokkolja a konkurencia informatikai rendszerét, de a kártevő egy gyártási folyamatba is beavatkozhat. A távoli hozzáférés mindezek kombinálására is lehetőséget biztosít.

mit írjunk drop&found drive-ra?

Vagy mi legyen a támadókóddal preparált csatolmányt tartalmazó csali e-mail Tárgy-mezőjében? Azt mondják, hogy olyanok: munka, határidő.. De a tapasztalatok alapján egy rendes munkahelyen a munkával és a határidőkkel túl nagy hatást nehéz elérni. Sokkal inkább a szexualitás, bennfentes információk és a pénz körül mocorgó motivációk, tudatalatti ösztönöket megmozgató impulzusok alkalmasak minderre, a gyűlölt vagy titkon szeretett munkástárs magánéletébe való betekintés lehetősége.

- „bankszámla kivonat”
- „céges hétvége, éjféltől durva!”
- „ex-képei”
- „fegyelmi”
- „fizetési lista”
- „jelszavak”
- „karácsonyi jutalmak”
- „kifizetések”
- „naked csak Neked 18+”
- „wellness csajokkal :))”
- ..

A munka néhány évvel ezelőtt zajlott. Napjainkban már több tévéműsor is feldolgozta ezt a módszert - a technikák fejlődnek.
A célpont munkatársainak felelőssége, ha ugyan megállapítható ilyesmi bizonyosan már elévült.
A három fős sebezhetőség vizsgáló brigád tagjai sosem találkoztak személyesen.
A Királynő feladata a tervezés, valamint a telefonos és elektronikus kapcsolattartás a célpont emberláncszemével.
A Király ipari infrastruktúra tesztelésére szakosodott hölgy.
A Futó egy megnyerő modorú script kiddie volt.
Talán egyszer találkoznak. Monacóban egy vitorláson.
Legalábbis a Királynő tavaly megígérte.

illusztráció: Jessica Rabbit és Betty Boop