Хакер #305. Многошаговые SQL-инъекции
Газета The New York Post, а за ней и издание Wired, сообщили о том, что некий школьник сумел взломать AOL-аккаунт директора ЦРУ Джона Бреннана (John Brennan). Хакеру удалось получить доступ к секретным данным, в том числе, личной информации сотен сотрудников разведки. Взломщик, который признался, что ему нет и 20 лет, сообщил журналистам, что он не исламист, просто не одобряет политику США в отношении Палестины и хочет, чтобы там перестали гибнуть невинные люди.
Согласно данным The New York Post, в результате взлома хакер получил доступ к личной анкете SF-86 директора на 47 страницах, которая заполняется для получения доступа к закрытой информации, номерам социального страхования и персональным данным нескольких сотен настоящих и бывших сотрудников разведки, а также к переписке, в которой, в частности, обсуждаются «активные методы ведения допроса» в отношении террористов.
Хакер рассказал о взломе не только в интервью журналистам, но и через твиттер, где ему принадлежат аккаунты @_CWA_ и @phphax. Аккаунт @_CWA_ уже заблокирован, но перед блокировкой с него были опубликованы данные о 2611 сотрудниках разведки, в том числе их телефонные номера, номера социального страхования, email-адреса, иногда даже информация об уровне допуска. Также хакер опубликовал скриншот некоего документа, найденного в почте директора.
Журналисты смогли узнать у хакера, каким образом он проник в почтовый ящик главы разведки США. Все невероятно просто – слабым местом, как всегда, оказался человеческий фактор. Хакер рассказал, что работал не один, ему помогали еще двое неназванных людей. Сначала, по телефонному номеру Бреннана, они сумели определить, что директор ЦРУ является клиентом компании Verizon. Тогда один из хакеров выдал себя за сотрудника Verizon, позвонил им и узнал детали об аккаунте Бреннана. «Мы сказали им, что работаем на Verizon, нам нужно перезвонить клиенту, но у нас ЧП, и клиентские базы не работают», — рассказал Wired взломщик.
Предоставив сотрудникам Verizon сфабрикованный Vcode (уникальный номер, который присваивается всем сотрудникам Verizon), хакеры добились своего и узнали номер аккаунта Бреннана, его четырехзначный PIN-код, запасной мобильный номер аккаунта, email-адрес AOL и последние четыре цифры номера банковской карты.
«После этого мы позвонили в AOL и сказали, что у нас аккаунт заблокировался. Они задали нам контрольный вопрос: спросили последние четыре цифры номера банковской карты. Мы знали цифры благодаря Verizon, так что техподдержка сбросила пароль от AOL-аккаунта». Также сотрудник поддержки поинтересовался у хакеров именем и телефонным номером, привязанным к аккаунту, но хакеры владели и этой информацией.
https://twitter.com/phphax/status/656152792453795840/photo/1
После вышеозначенных манипуляций, 12 октября 2015 года, хакеры получили доступ к личному AOL-аккаунту директора ЦРУ. В почте обнаружились десятки секретных (и не очень) писем и документов, которые Бреннан, очевидно, пересылал сам себе с рабочего ящика. Хакеры пользовались ящиком три дня, после чего их заметили, и 16 октября AOL-аккаунт был удален. Тогда взломщики, используя VoIP-сервис, позвонили директору ЦРУ на мобильный и лично сообщили ему о взломе. По словам хакеров, разговор вышел коротким:
«Он поинтересовался у нас, что нам на самом деле нужно, сколько мы хотим? Я ответил, что просто хочу, чтобы Палестина стала свободной, и они перестали убивать невинных людей».
https://twitter.com/phphax/status/655004489901035520/photo/1
UPD. 21.10.2015 21:14
Представители ресурса WikiLeaks сообщают через свой твиттер, что переписка Бреннана уже находится в их распоряжении. В скором времени письма будут опубликованы на сайте:
ANNOUNCE: We have obtained the contents of CIA Chief John Brennan's email account and will be releasing it shortly.
— WikiLeaks (@wikileaks) October 21, 2015
Фото: Carolyn Kaster/AP
