شرکت دخانیات با گذاشتن دستور العمل های مخفی در یک اشتراک فایل دود شد

یک بار دیگر به PWNED خوش آمدید، جایی که همه قربانیان امنیتی مالکیت خودشان هستند. امروز، شرکتی را جشن می گیریم که یک محصول فوق العاده ناسالم را با وضعیت امنیتی بسیار ناسالم تولید می کند.

داستان ما در مورد مدیریت داده های وحشتناک، یک بار دیگر، توسط تستر حرفه ای قلم و تیم قرمز Dahvid Schloss آمده است. Schloss که برای یافتن نقص در شبکه یک شرکت دخانیات تعیین شده بود، به طور تصادفی به برخی از اسرار تجاری بسیار ضعیف محافظت شده برخورد کرد.

Schloss با کاوش در شبکه با ابزارهایی مانند Metasploit، یک برنامه محبوب تست قلم منبع باز، شروع به کار کرد. با کمال تعجب، آنتی ویروس Trend Micro این شرکت حتی زمانی که شبکه را برای یافتن آسیب پذیری ها اسکن می کرد، هشداری صادر نکرد. او این روند را با تیراندازی به یک مسلسل مقایسه کرد و کسی آن را نشنید.

او به The Register گفت: "من در این محیط می چرخم و اساسا فقط از بلندترین اسباب بازی ها و ابزارهایی که می توانید تصور کنید استفاده می کنم." به نظر می رسید که مشتری به سادگی اهمیتی نمی دهد. "من احساس می کنم ارزش زیادی وجود ندارد که در اینجا ارائه می کنم."

سپس Schloss از رئیس خود پرسید که چه کارهای دیگری می تواند انجام دهد تا یافته های خود را برای مشتری مفیدتر و قانع کننده تر کند.

شلوس گفت: «مدیر ارشد من به من روی می‌آورد و می‌گوید: «به آنچه برای این سازمان مهم است فکر کن. اگر فاش شود، چقدر برای کسب‌وکارشان مضر است؟» "من فکر می کنم این یک شرکت محصولات است. شاید دستور العمل های آنها."

Schloss شروع به جستجو برای اشتراک‌گذاری فایل‌های شبکه‌ای کرد که اجازه دسترسی غیرقانونی یا ناشناس را می‌داد. پس از کشف یک اشتراک باز، او آن را با استفاده از ابزار نقشه برداری شبکه Nmap اسکن کرد. اسکن نشان داد که پورت های 139 و 445 باز هستند و این نشان می دهد که سیستم پروتکل اشتراک فایل SMB ویندوز را اجرا می کند. علیرغم میزبانی ضبط های حساس IT و HR، این اشتراک فایل خاص هیچ محدودیتی برای دسترسی نداشت و به طور کامل در معرض دید همه کارکنان شرکت بود.

او روی دایرکتوری ها کلیک کرد و پوشه ای به نام "محرمانه" پیدا کرد. او فایل‌هایی را در آنجا پیدا کرد که نام‌های دستور غذا، نام محصول، نام محصول فرعی و تاریخ را داشتند. او یک پرونده را باز کرد و متوجه شد که اطلاعاتی در مورد نحوه ساخت آن محصول دخانی، از جمله وزن و حجم و چند درصد از هر ماده شیمیایی در آن وجود دارد.

این فایل با حروف قرمز در بالا مشخص شده بود که عبارت "محرمانه" و مجموعه دیگری در پایین با عبارت "اشتراک نگذارید" مشخص شده بود.

شلوس گفت: "من فکر می کنم ما اینجا یک تفنگ سیگاری پیدا کردیم. این خیلی بد است." او اشاره کرد که هر کسی در شبکه می تواند به سادگی از Windows Explorer برای یافتن فایل استفاده کند.

Schloss فایل را دانلود کرد و فکر کرد که می تواند آن را به شرکت نشان دهد تا ثابت کند که داده ها می توانند استخراج شوند.

اما مدیرش از او خواست که فایل دانلود شده را حذف کند، زیرا این اطلاعات به قدری حساس بود که او نباید یک نسخه از آن را حفظ کند. این بعدا به توانایی او برای نشان دادن اینکه اصلا وجود داشته است آسیب می رساند.

سپس او آنچه را که پیدا کرده بود به تیم امنیتی شرکت دخانیات گفت و انتظار داشت که آنها تمام فایل های دستور غذا را قفل کنند. اما وقتی صبح روز بعد به سایت بازگشت، با یک شگفتی بزرگ روبرو شد: مخاطب او آمد و به او گفت که دستور پختی که پیدا کرده واقعی نیست. او وجود فایل‌ها و اینکه اصلا مشکل امنیتی وجود دارد را تکذیب کرد.

شلوس گفت: "و ما فقط به نوعی گیج شده ایم، زیرا اینطور است؟ در مورد چه چیزی صحبت می کنید؟ این دستور العملی است که شما بچه ها دارید." "این در بخش درست است. در ساختار پوشه درست است، به روش صحیح نامگذاری شده است. هر کسی که این را ببیند، این را یک دستور غذا می داند."

او فایل‌های دستور غذا را در گزارش امنیتی خود فهرست کرد، اما افراد امنیتی در شرکت دخانیات به شدت واقعی بودن این فایل‌ها یا مشاهده یک دستور پخت واقعی را تکذیب کردند. آنها یک سال در مورد آن بحث کردند و شلوس نتوانست فایل دستوری را که دانلود کرده بود به آنها نشان دهد زیرا مجبور شده بود آن را پاک کند.

او گفت: "نکته خنده دار این است که من برگشتم و تا پایان نامزدی بررسی کردم که آیا آن فایل ها هنوز در آن پوشه هستند یا خیر. و نه، آنها رفته اند، حذف شده اند یا منتقل شده اند یا چیز دیگری." بنابراین آشکارا حقیقتی پشت آن بود، اما آنها می خواستند این یافته را انکار کنند. ®