钱存到银行就安全了?他们不到30分钟,就黑掉了2家银行!
来源: 世界华人周刊 海外观察第一站  日期:2017-11-28 21:39:17  点击:2634  属于:海外观察

 

华哥说

在黑客的世界里,存在两大阵营——白帽黑客、黑帽黑客。利用同样的网络渗透技术,白帽黑客做好事,黑帽黑客做坏事。美国国家地理频道给我们讲了一个白帽黑客的故事。

世界华人周刊专栏作者:何岸

全文2508字,读完大约4分钟

黎巴嫩首都贝鲁特是中东的银行业中心,面对网络攻击不堪一击。

 

世界顶级黑客杰森正在为下一次行动做准备。对他来说,窃取你的社交网站账号、银行账户等私密信息都是轻而易举的事。不过别怕,他是一名白帽黑客。

 

他的两个白帽黑客伙伴哈利勒和达伦已经准备就绪。对面那家银行就是他们的下一个攻击目标。

 

过去5年间,杰森、哈利勒和达伦受雇于全世界多家公司,合法地对这些公司发动网络攻击,以便发现其网络漏洞并加以弥补。这一次,他们受到贝鲁特一家著名银行的邀请,来测试银行的安全系统。

· 01 ·

采购工具

 

一个月前,他们在美国拉斯维加斯DEFCON黑客大会上采购到不少新的网络攻击设备。

 

达伦自己就是来参加黑客大会的,他发明了一种名叫“WiFi菠萝”的装置,可以对WiFi下手,将恶意连接点伪装成咖啡馆或者酒店等公共场所的WiFi信号。当你连上这些WiFi信号时,就相当于把自己手机的控制权拱手交给了黑客。

更可怕的是,这类攻击装置的售价还不到100美元。

 

他们从参加黑客大会的另一名网络专家那里买到了一套尚未公开的“社会工程工具箱”。“社会工程”是行话,指的就是“操纵他人泄露机密信息的手段”。

 

这个优盘的绰号叫“橡皮鸭”,它看上去很普通。

 

但是,它一旦插上电脑,不会出现驱动器号,而是会伪装成键盘,从后门进行输入。然后电脑会显示命令提示符,创建大量可执行文件,然后就会运行。

如果在一家公司的一台电脑上插入“橡皮鸭”,整个公司的电脑网络就会立刻瘫痪。

 

他们带着这些最新黑客工具来到贝鲁特,准备对邀请方银行旗下的多家分行“下手”。

· 02 ·

侦察行动

 

“下手”前的第一步是侦察,必须了解银行建筑内部布局。他们从网上搜到了目标银行的照片。

 

这是其中一家银行的门口。

 

进门后就会看到门厅里的两台自动柜员机。

 

再往里走,就来到这个大厅。

 

办公区是这样的。

 

这些照片都是在互联网上搜索到的。光有这些照片还不够,还要现场侦察一番。

达伦胸前别着钮扣摄像机,包里装着“WiFi菠萝”,走进一家银行。钮扣摄像机把银行柜台的位置都拍了下来。

 

到这边的机器上取一个排队号码。

 

这时,达伦用手机把“WiFi菠萝”设置成“攻击”模式,“WiFi菠萝”会创造一个恶意WiFi信号,冒充银行的WiFi。以前连过银行WiFi的手机、平板电脑、笔记本电脑等所有设备,都会自动连上假冒的恶意WiFi信号。达伦从自己的手机上就能看到有哪些设备连上了恶意WiFi信号,然后就能对这些设备进行操纵。

在侦察过程中,达伦还发现,银行内部工作区与外部之间只隔了一扇门,门没有上锁,也不用刷卡,工作人员们进进出出十分随意。这明显是银行安全管理上的一个漏洞。

 

侦察完毕,一切准备就绪后,就要正式实施“攻击”了。世界各大顶级IT公司的证件,杰森应有尽有。

 

他们使用的网络攻击优盘“橡皮鸭”也是经过精心准备的。

 

“橡皮鸭”里没有恶意软件,不会造成银行瘫痪,但会起到安全警示教育作用。白帽子黑客的目的就是让客户看到,不重视数据安全问题会造成什么样的严重后果。

 

白帽子黑客很希望自己的攻击行动失败,失败就意味着客户的安全防护工作很到位。白帽子黑客的成功,就意味着客户存在严重的安全防护漏洞。

· 03 ·

正式攻击

 

正式发起攻击的时间到了。三位白帽子黑客要试探一下进入银行内部工作区的难易程度、银行系统的抗攻击能力,以及被发现后逃跑的可能性。

这次行动只有银行总部的几名高管知道。他们向每家分行派了一名银行卧底代表,以免出什么差子。除此之外,分行行长和柜员都不知道接下来会发生什么。

上次进入银行执行侦察任务的是达伦,所以正式攻击时换成杰森上场。

 

杰森走进银行。

 

内部工作区的门敞开着,他毫不费力就走了进去。

 

他径直走到最里面的电脑桌前,坐了下来,没有受到任何询问和拦截。

 

他把“橡皮鸭”插入电脑,整个过程如入无人之境。

 

于是,他想进一步提高测试力度。他对旁边的柜员说:“打扰了,我们要检查一下USB权限。”这名柜员没有提出任何质疑。

 

杰森对每名柜员都提出了同样的检查要求,都没有受到质疑。

 

杰森本来只准备对一台电脑下手,然后就走人。但在实际攻击中,除了休息室的烤面包机和咖啡机,其他能下手的设备他全都下手了。如果那个优盘里真的有恶意软件,那后果不堪设想。

在另一家银行,杰森冒充微软公司的技术人员,来帮银行提高网速,成功将“橡皮鸭”插入了每台电脑。银行工作人员甚至还请杰森去楼上机房调试银行的网络服务器。

 

与此同时,达伦和哈利勒在银行对面找了块空地,准备利用“WiFi菠萝”攻破银行的无线网络。

 

不一会儿,就有211个SSID已经进入地址池。如果他俩真是坏人,那些连入假银行Wifi的设备就全完蛋了。

 

最后,他俩成功攻击了银行职员近300台无线设备。

 

这次行动中,三位白帽黑客一共攻击了3家银行分行,只在1家失败了。

在这家银行里,当杰森表明自己是总部派来的,需要迅速检查一下银行电脑时,遭到了工作人员的阻拦。工作人员叫来了主管领导,要求他出示各种证件。

 

杰森借口证件都在车上,趁机溜走了。

 

· 04 ·

事后总结

 

行动结束后,杰森和一名银行代表返回每一家分行,揭密真相。工作人员得知真相后,个个都大吃一惊。

杰森和哈利勒向银行总部负责人作了约3小时的汇报,并提出安全防护措施建议。

 

出于安全考虑,本次白帽黑客攻击行动的细节均已略去。目前,该银行已实施新的规章制度和新的防护措施。

面对日益高深网络罪犯技术和日益严峻的网络威胁,无论是个人,还是政府、企业和军队都存在软肋,都可能成为黑客的攻击目标。据估计,企业发现己方数据泄漏和遭受网络攻击的概率只占6%,而且发现时间往往是在事发半年后。作案人员因网络犯罪而被绳之以法的可能性大约只有百万分之一。到2019年,网络犯罪预计将给全球经济带来2万亿美元的损失。

魔高一尺,道高一丈。网络空间的较量就是矛与盾的较量、攻与防的较量。而白帽黑客既要打造尖锐的矛,也要铸成坚硬的盾,因为他们在攻破网络安全系统之后,还要想办法防,然后再攻、再防。

在白帽黑客看来,世界上好人远比坏人多,只有让更多的好人加入到网络安全工作中来,与政府和安全官员合作,我们的网络技术才会拥有一个光明的未来。



  • 我要评论

    评论内容*
    姓名
    验证码*  

    评论列表