Xakep #305. Многошаговые SQL-инъекции
В конце июня 2017 года 54-летний Эдди Типтон (Eddie Tipton) признал свою вину во взломе Межштатной лотерейной ассоциации (Multi-State Lottery Association, MSLA), где он ранее занимал пост директора по информационной безопасности.
О начале этой криминальной истории мы рассказывали в 2015 году. Тогда правоохранительные органы сообщили, что Типтон впервые попал в их поле зрения еще в 2012 году. В Айове произошел странный случай: нью-йоркский адвокат, от лица своего клиента, зарегистрированной в Белизе корпорации, обратился за получением выигрыша в размере 16,5 миллионов долларов. Дополнительно ситуация осложнялась тем, что билет был приобретен еще в декабре 2010 года и его срок действия почти истек. Неизвестные заявили свои права на выигрыш буквально за несколько часов до окончания дедлайна. Однако вскоре адвокат отказался назвать имя своего клиента, точнее идентифицировать покупателя заветного билета лотереи Hot Lotto, как того требует закон штата. В итоге юрист и его загадочный клиент вообще отказались от всех дальнейших притязаний на выигрыш.
Столь легкий отказ от 16,5 млн долларов насторожил правоохранителей. Пытаясь разобраться в происходящем, представители властей получили видео с камеры видеонаблюдения на автозаправке, где был в 2010 году приобретен выигрышный билет. На записи был запечатлен неизвестный мужчина в капюшоне. Представители закона не сумели опознать его своими силами, после чего обнародовали запись и попросили граждан, которые знают что-либо о человеке на видео, связаться с властями. Тогда-то коллеги Типтона и вышли на контакт с полицией, заявив, что мужчина на видео выглядит и говорит в точности, как их сослуживец.
Типтон работал в Межштатной лотерейной ассоциации с 2003 года, сначала в ИТ-подразделении, а затем, начиная с 2013 года, на посту директора по безопасности подразделения, расположенного в Айове. Два года назад Типтона обвинили в мошенничестве и отмывании денег в штатах Айова, Канзас, Колорадо, Висконсин и Оклахома. Под следствие также попали его брат Томми Типтон (Tommy Tipton), бывший офицер полиции и мировой судья, а также лучший друг и бизнесмен Роберт Родс (Robert Rhodes). По данным полиции, оба помогали Типтону в покупке заведомо выигрышных билетов и получении выигрышей.
Теперь стали известны детали мошеннической схемы. Как и предполагалось ранее, Типтон создал малварь в формате DLL-файла, которой и заразил защищенные компьютеры Межштатной лотерейной ассоциации. Доступ к этим машинам имели всего пять человек во всей организации, включая самого Типтона.
Защищенные машины, которые инфицировал Типтон, занимались определением выигрышных билетов для различных лотерей, входящих в состав MSLA. Эти компьютеры стояли в специальной комнате, под круглосуточным видеонаблюдением, однако Типтон сумел обойти защиту: он перенастроил систему видеонаблюдения таким образом, чтобы камеры фиксировали лишь одну секунду, один раз в минуту. После этого мошенник вооружился USB-флешкой и внедрил вредоносный DLL в систему.
По данным следствия, вредоносный код позволил преступнику изменить работу алгоритма генератора случайных чисел, в результате машина выдавала прогнозируемый результат, если лотерея приходилась на 27 мая, 22 ноября или 29 декабря; среду или субботу; после 20:00. Кроме того, вредоносный DLL удалял себя из системы по прошествии определенного количества времени. Следователи объясняют, что им повезло, — на одном из компьютеров удаление сработало некорректно.
Информация об участии в мошеннических операциях Томми Типтона и Роберта Родса полностью подтвердилась. По данным полиции, оба помогали Типтону в покупке заведомо выигрышных билетов в Колорадо, Оклахоме, Айове, Канзасе и Висконсине, и последующем получении выигрышей.
Мошенническая схема работала с 2005 года, но внимание властей злоумышленники действительно привлекли лишь в 2012 году, когда неоднократно пытались получить 16,5 млн долларов, выигранные в лотерее Hot Lotto по билету от 29 декабря 2010 года.
Еще в 2015 году Типтон признал себя виновным по обвинениям в мошенничестве и был приговорен к 10 годам лишения свободы, однако в итоге Верховный суд Айовы решил пересмотреть и отверг его признание. В деле появились новые улики, проливающие свет на подробности мошеннической схемы и более точно характеризующие роль Типтона в произошедшем. В результате ему были предъявлены новые обвинения, и в конце июля 2017 года Эдди Типтон вновь признал свою вину. Днем позже Томми Типтон тоже признал себя виновным по двум обвинениям в предварительном сговоре с целью совершения кражи.
По информации властей, помимо злосчастных 16,5 мил долларов, братья Типтоны и Роберт Родс подтасовали результаты в следующих розыгрышей:
- Ноябрь 2005: $568 990 джекпот лотереи Колорадо;
- Декабрь 2007: $783 257 megabucks-приз в лотерее Висконсина;
- Ноябрь 2011: $1,2 миллионов в лотерее Hot Lotto в Оклахоме.
Теперь, в свете новых улик, сторона обвинения намерена добиваться 25 лет лишения свободы для Эдди Типтона. Также ранее суд уже постановил, что Типтон должен выплатить 1,4 млн долларов в качестве возмещения ущерба, а его брат должен заплатить 800 000 долларов.
