Był rok 2006. Roger Duroni właśnie opuścił UBS PaineWebber z bardzo konkretnym i złośliwym planem. On nie tylko odszedł; planował sabotaż. W 2002 roku potajemnie umieścił fragment kodu głęboko w infrastrukturze firmy. Jego cel był prosty: zniszczyć najważniejsze dane, załamać cenę akcji i zyskać na opcjach sprzedaży, które kupił za jedyne 23 000 dolarów.
Bomba logiczna wybuchła. Usunęła pliki z 1000 komputerów. Duroni spodziewał się chaosu. Oczekiwał zysku.
Zamiast tego otrzymał osiem lat więzienia federalnego i nakazano mu zapłacić 3 miliony dolarów tytułem zadośćuczynienia. Ceny akcji nie uległy zmianie. Plan się nie powiódł, bo rynek nie był zainteresowany jego zemstą. Jednak rzeczywistość techniczna pozostaje przerażająco aktualna. Bomba logiczna to wciąż jeden z najskuteczniejszych sposobów paraliżowania organizacji przez niezadowolonego pracownika.
Czym właściwie jest bomba logiczna?
Bomba logiczna nie jest wirusem. Nie rozmnaża się i nie przeskakuje z komputera na komputer jak grypa. Jest to uśpiony fragment złośliwego kodu ukryty w legalnym oprogramowaniu lub procesach systemowych. On czeka. Leży nisko, dopóki nie zostanie spełniony określony warunek.
Wyobraź sobie pole minowe utworzone z kodu. Dopóki ktoś na niego nie nadepnie, nic się nie dzieje. Potem nagle ładunek zostaje odpalony.
W branży czasami używany jest termin „kod żużlowy”. Jest ciemno, ale dokładnie. Po wybuchu bomby pozostaje tylko cyfrowy żużel.
Wyzwalaczem może być warunek pozytywny lub negatywny. Pozytywny wyzwalacz może być powiązany z datą kalendarzową. Jeśli zegar systemowy wskazuje 1 stycznia 2024 r., pliki znikają. Negatywny wyzwalacz jest bardziej podstępny. Opiera się na braku działania. Jeżeli pracownik nie zgłosił się do godziny 17:00 we wtorek, przyjmuje się, że opuścił firmę. Bomba wybucha. Dane znikają.
Negatywne wyzwalacze są znacznie bardziej niebezpieczne. Są kruche. Jeśli ten pracownik zachoruje. Jeśli jest hospitalizowany. Jeśli jest na wakacjach. Spust uruchamia się losowo. Szkoda została wyrządzona. I nie ma przycisku „anuluj”.
Czynnik zagrożenia wewnętrznego
Bomby logiczne to ulubiona broń „niezadowolonego pracownika”. To dobrze znany syndrom w środowisku IT. Nie jest to narzędzie dla zdalnych hakerów bez dostępu do sieci fizycznej. Wymaga wiedzy poufnej. Wymagany dostęp.
Utrudnia to wykrywanie. Kto ogląda tych, którzy oglądają?
Większość bomb logicznych nie rozprzestrzenia się. Pozostają na miejscu. Ta prostota jest ich siłą. Tworzenie wirusa jest trudne; wymaga to kodu, który może przetrwać, kopiować się i infekować nowe hosty. Zrobienie bomby logicznej jest łatwe. Wystarczy zaimplementować kod, który usuwa folder, gdy spełniony jest określony warunek. Mniej ruchomych części oznacza mniej miejsc, w których może nastąpić awaria.
Ale skutki są często katastrofalne. Pliki zostaną usunięte. Własność intelektualna wycieka do konkurentów. Sieci były sparaliżowane przez kilka dni. Uszkodzenia rzadko mają wyłącznie charakter techniczny. Ma to charakter finansowy i reputacyjny.
Dobre, złe i oprogramowanie w wersji próbnej
Nie cały uruchamiany kod jest złośliwy. Na co dzień używamy mechaniki bomby logicznej.
Sprawdź wersje próbne wolnego oprogramowania. Aplikacja działa przez 30 dni. W 31. dniu funkcje znikają lub program zostaje zablokowany. To jest bomba logiczna. Jest to wyzwalacz czasowy, mający na celu zapewnienie płatności. To nie jest złośliwe. Jest przezroczysty. Użytkownik zna zasady.
Różnica polega na zamiarze i zgodzie. Timer próbny pomaga programiście. Złośliwa bomba logiczna pomaga zemścić się na byłym pracowniku.
Jak zachować bezpieczeństwo
Bomby logicznej nie da się łatwo wykryć. Wygląda jak zwykły kod. Jest ukryte na widoku.
Jedynym zabezpieczeniem jest uważne monitorowanie. Zespoły ds. bezpieczeństwa IT muszą stale skanować sieci. Muszą szukać nowych obiektów w danych. Powinni monitorować poszczególne komputery, a nie tylko obwód sieci. Jeśli plik zmieni się w dziwny sposób lub jeśli kod pojawi się tam, gdzie nie powinien, należy to natychmiast zgłosić.
Wykrycie tego typu złośliwego oprogramowania jest trudniejsze niż zapobieganie mu. Zanim zobaczysz zdarzenie wyzwalające, bomba jest już uzbrojona.
Wniosek wyciągnięty ze sprawy UBS PaineWebber jest jasny. Kontrola dostępu to wszystko. Monitoruj, kto ma uprawnienia roota. Uważaj na nietypowe zachowanie. Załóż też, że każdy, kto ma dostęp, może wyrządzić szkody.
Nie jest kwestią tego, czy pracownik będzie próbował wyrządzić szkodę od wewnątrz. To kwestia tego, kiedy to nastąpi. Kiedy tak się dzieje, dane są często niszczone, zanim ktokolwiek zorientuje się, że system jest atakowany.
Często zadawane pytania
Jaka jest różnica między wirusem a bombą logiczną?
Wirus rozmnaża się i rozprzestrzenia na inne pliki i komputery. Bomba logiczna to kod uśpiony, który czeka na wyzwalacz. To nie ma zastosowania. Przed aktywacją znajduje się w obrębie jednego programu lub systemu.
Czy można wykryć bombę logiczną, zanim wybuchnie?
To trudne. Ponieważ kod wygląda jak zwykłe oprogramowanie, standardowe skanowanie antywirusowe często go nie zauważa. Najlepszą obroną są głębokie audyty kodu i monitorowanie zachowań. Musisz szukać logiki, której nie powinno tam być, a nie tylko znanych złośliwych sygnatur.
Dlaczego wewnętrzni pracownicy używają bomb logicznych?
Zemsta. Kiedy pracownik czuje, że firma potraktowała go niesprawiedliwie, bomba logiczna oferuje sposób na spowodowanie maksymalnych szkód przy minimalnym wysiłku. Nie wymaga to zewnętrznych narzędzi hakerskich. Wystarczy znajomość systemu i odpowiedni spust.
Giełda zignorowała atak Duroniego. System prawny taki nie jest. Jednak w świecie cyberbezpieczeństwa zagrożenie pozostaje. Kod jest prosty. Motywacja ludzka. A skutki są często nieodwracalne.
