Специалист технической поддержки
Шрифт:
В итоге мне пришлось отложить вопрос подработки и заняться своими непосредственными обязанностями. За время моего отсутствия ничего не изменилось — информация в тасках как пропадала, так и пропадает. Чертовщина какая-то, будто бы в офисе клиента завелся проказник-токкэби, который стирает данные из тикетов и задач одного конкретного человека.
В моей голове что-то щелкнуло, едва я подумал о демоне из легенд.
Проказник? А что, если это не сбой, мне же намекал об этом хён? Что он там говорил? Никогда не доверять людям? Или что-то про то, что не стоит недооценивать людскую тупость?
Когда ты занимаешься взломом, людская тупость
В чем мне нужно убедиться?
Первое — что новый сотрудник не водит меня и свою коллегу за нос и на самом деле заполняет все задачи. Вот только как это сделать? Заставить его включить запись экрана или удаленный доступ, чтобы я смог за ним понаблюдать? Но тогда будет нарушена чистота эксперимента. Поехать туда лично? Тоже отпадает, тем более, выезд на объект придется оформлять через кучу бумажек и получится у меня это только через неделю, а то и две.
Но у меня есть маленькое окошко на клиентской стороне. Та самая виртуальная машина, которая подключена к клиентской сети и через которую я имею доступ к боевой базе. Так как изменения в системе учета показываются с задержкой, мне недостаточно мониторить проблемный раздел — все что я увижу, это просто исчезновение данных из таска, я этим уже занимался.
Тогда что мне остается?
Вопрос с исчезновением информации будоражил кровь. Я чуть привстал со своего стула и посмотрел через перегородку на Ким Бон-Со. Как бы все провернуть так, чтобы хён не догадался? Плевать! Если я разберусь в ситуации, то будет важен только результат, никто не будет задаваться вопросом, как я добыл эту информацию.
Если мне нужно незаметно следить за компьютером пользователя, его надо взломать. При иных обстоятельствах я бы прибегнул к социальной инженерии или фишингу, но у меня и так было окошко в сеть моего клиента. Та самая виртуальная машина. Все, что мне нужно теперь сделать — это оформить VM-Escape — «побег из виртуальной машины», один из типов хакерской атаки, который позволяет получить доступ уровня выше задуманного администратором сети. Я очень сомневался, что мою рабочую виртуалку развернули на аппаратно-изолированной машине. Скорее всего, она в тупую крутится на одном из серверов фирмы, скорее всего, на том же сервере, на котором развернута наша система, просто чтобы два раза не вставать. Ведь никому и в голову не могло прийти, что вектор атаки будет исходить из компании-подрядчика и поставщика программного обеспечения. У нас и так есть почти неограниченный доступ к их системе, зачем нам еще и сервер взламывать?
Вот только была у меня еще одна маленькая проблемка. Последний раз Virtual Machine Escape я оформлял года три назад, и особо не помнил деталей вариантов взлома кроме использования протокола удаленной отладки ядра через отладчик WinDbg. Это был довольно редкий метод, когда на стороне хоста в процесс vmware-vmx совершается инжекция dll-файла для накатки патча таблиц. В итоге хакер перехватывает ряд функций dkcom.dll и получает полноценный VMware бэкдор и, соответственно, возможность покинуть
Вот только я уже напрочь успел забыть реализацию кода того самого патча таблицы. Можно было бы попробовать вломиться через подмену общего буфера обмена между виртуальной и реальной машиной, но это тоже довольно кропотливый процесс, если у тебя нет нужных заготовок. Хотя я уверен, что атака именно на общий буфер обмена была бы наиболее простой, ведь для ее пресечения надо отдельно настроить изоляцию гостевой ОС, что администраторам обычно делать крайне лениво.
Может, атаковать сеть клиента снаружи? Но у меня уже почти есть ключи от их сети, надо только выбраться за пределы виртуальной машины. Это необходимо, чтобы не вызывать подозрений, все же, атаку извне могут и заметить, а если я буду использовать существующий канал с клиентским сервером, то шансы потерять свое инкогнито стремятся к нулю. Тем более, мне и так надо подключаться к боевой базе клиента по работе.
В итоге я выбрал путь наименьшего сопротивления. Подготовил необходимые файлы, нашел в переписке номер телефона клиента и просто позвонил своей потенциальной «жертве».
— Госпожа Ли Чи А! Это беспокоят вас из технической поддержки InterConnect, меня зовут Кан Ён Сок! — бодро начал я разговор. — Уделите этому специалисту минутку?
— Наконец-то! — воскликнули на том конце провода. — А я уже думала, вы про нас забыли!
— Ни в кое разе, госпожа Ли Чи А! Расследование вашей проблемы занимает у нас все силы! Я звоню вам, чтобы сообщить хорошие новости.
— Слушаю вас, специалист Кан Ён Сок!
— Госпожа Ли Чи А, сейчас я отправлю вам письмо с прикрепленными диагностическими файлами. Скажите, вы знаете, кто отвечает за сервер, на котором установлено наше программное обеспечение? Мне будет необходимо, чтобы вы…
— Конечно знаю! Этот шкаф прямо тут и стоит. Я в одном кабинете с этим бездельником!
— Каким бездельником? — удивился я.
— Администратором! Хотите поговорить с ним? Я сейчас переключу, так что…
Вот администратор мне в этой цепочке не нужен. Он может полюбопытствовать, что же там за файлы, а мне это было не нужно.
— Госпожа Ли Чи А, не волнуйтесь! Вы справитесь и самостоятельно! Все что необходимо — перебросить файлы на флешку и подключить ее к серверу на пару минут. Файлы сами подхватятся системой, и установится диагностический патч! — сейчас я изо всех сил надеялся, что она не спросит, почему мы не можем запушить это обновление удаленно, но видимо госпожа Ли Чи А в такие тонкости не вникала.
— И все? — с недоверием спросили на той стороне.
— И все, — подтвердил я. — Мы соберем необходимую информацию и в ближайшее время устраним вашу таинственную проблему! А так же предоставим полный отчет о проделанной работе, дабы впредь таких ситуаций не возникало и вы были в курсе всего происходящего!
На той стороне трубки затихли, после чего последовал целый ряд интенсивных щелчков мыши.
— Я готова получать письмо, — решительно сообщила женщина. — Высылайте!
— Постараемся вместе! — ответил я. — Отправляю файлы!
Зачем мне ломиться из виртуальной машины через буфер, если я могу продырявить ее с обратной стороны?
Госпожа Ли Чи А оказалась очень исполнительным сотрудником. Уже через пятнадцать минут я обнаружил, что мой свежий autorun.inf заразил целевую машину, а я получил доступ к выполнению кода из-под виртуалки на реальной серверной стороне.