Однокласснички

Димка порылся по хакерским форумам, выбрал, какой вирус подходит для компьютера юного интернет-любовника и как его лучше спрятать, чтобы почтовый антивирус указанного типа и версии ничего не заподозрил. Я раньше только читал про конструкторы вирусов, а теперь вот довелось увидеть. Из нескольких вариантов выбирается механизм заражения, логика вредоносного кода, метод маскировки, и вся эта красота упаковывается во внешне безобидный файл-контейнер. В нашем случае вовнутрь все той же картинки, только гораздо меньшего размера, чтобы не вызывать лишних подозрений, был упакован хитрый бэкдор, который общался со своим создателем через почтовые сообщения и умел очень многое – анализировать сетевой трафик, обеспечивать удаленное управление зараженной системой, незаметно ставить новый софт и запускать разные процессы… В полчаса не уложились, но через час с небольшим фотка была отправлена, а еще через десять минут вирус доложился, что прибыл на место, успешно ассимилировался и готов к выполнению любого задания.

Димка оставил меня изображать блондинку, а сам поручил вирусу сидеть тихо, анализировать трафик в поисках пользовательских логинов и паролей, а еще прислать служебную переписку нашего подопечного за последний месяц. Если мы хотим серьезный объем данных вытаскивать, должно быть правдоподобное объяснение увеличившемуся почтовому трафику. Изобразим бурную деятельность, ага.

Виртуальное общение мне удалось свернуть только через пару часов. Соврал про сокращенный рабочий день и вышел из соцсети. Молодой человек был чертовски настойчив, все порывался встретиться в реале или хотя бы общаться через скайп. Надо с этим что-то делать, но не сегодня, утром обдумаем на свежую голову и решим.

4

Идиотская ситуация – приходится подстраивать свою жизнь под рабочий график нашего делопроизводителя. Вьюноша жаждет общения, поэтому один из нас обычно дежурит в соцсети, а другой занимается делом. На столе у дежурного по планктону лежит легенда нашей виртуальной девушки, где записаны все личные данные, которые когда-либо сообщались собеседнику. Место жительства, подруги, работа. Мальчик оказался внимательным, пару раз цеплялся к нестыковкам, приходилось изобретать отмазки. Обиднее всего то, что надо его продолжать водить на веревочке до поры, чтобы сохранить канал доставки вирусов во внутреннюю сеть инвестиционного фонда. Ненавижу! Может, найти уже барышню подходящей внешности и подрядить ее в интернетах любезничать? Говорят, девушкам оно по приколу…

Димка тем временем подстроил вирус таким образом, чтобы письма от него шли на десяток разных адресов, которые он понаоткрывал в разных местах. Со стороны посмотреть – горит парень на работе, рассылает предложения, обсуждает инвестиции, подробности сделок и взаимовыгодные условия. А внутри каждого письма тонны дурацких рамочек, финтифлюшек и прочих звоночков-свисточков, среди которых так удобно прятать информацию. Так что транспортный канал для получения данных у нас теперь есть.

А вот с самими данными было пока никак. База данных системы документооборота напрямую от пользователей не видна, вся работа через промежуточный слой. Пользовательских заходов с паролями вирус накопил достаточно, но полномочий у тех пользователей только на просмотр своих документов, что нам не подходило.

Выручил случай. Однажды вирус среди прочих подсмотренных учетных данных прислал логин и пароль пользователя «Administrator». Димка заинтересовался, заказал вирусу прислать запись сетевой активности в период за минуту до ввода пароля и пять минут после этого (вирус сохранял все, что слышал по сети, выкусывая и присылая только заказанное, а остальное через пару дней удалял). Поковырялся, присвистнул, показал мне. Похоже, местный администратор что-то подкручивал на пользовательской машине и оттуда зашел удаленным рабочим столом на свою. Уже интереснее.

Заказали вирусу спросить у администраторской машины конфигурацию сети. Сейчас в восточных штатах четыре утра, все нормальные админы спят. Приходит ответное письмо – сетевых интерфейсов два, один с привычным адресом внутренней сети, а вот другой какой-то странный. Чем черт не шутит… Ну да, он доступен снаружи. При этом во внутреннюю сеть с него не пускают, только на админскую машину. Похоже, администратор оставил себе возможность при необходимости не ехать в офис, а работать из дома.

Но и это немало. Заказываем вирусу показать список файлов на диске админской машины. Как и ожидалось, канал наружу защищен VPN, но ключи лежат там же рядом. Ставим у себя VPN-клиента, подкладываем ключи, настраиваем, запускаем, ждем… Соединение установлено, логин, пароль, добро пожаловать. Получилось!

Первым делом смотрим протоколы работы. Сервис логирования остановлен, протоколы не пишутся, следов не остается. Антивирусы не установлены, защита отключена. Мечта, а не система. Побольше бы таких администраторов!

В этот момент Димка извиняется и убегает. Причина более чем уважительная – ему сегодня подругу к врачу везти. Да и его работа, по сути, закончилась – мы уже внутри. Дальше я и сам справлюсь.