Хакерите на брокерите на данни разбили и системите на NW3C

Разкритието направи известният специалист по информационна сигурност на свободна практика и блогър Браян Кребс, който продължава задълбоченото си разследване над киберпрестъпната група, добавяйки нови данни към тези, които досега изнесе в своя блог.

В пространен материал от миналата седмица, Кребс ни съобщава, че същите кибермошеници са компрометирали сериозно системите на едни от хората, които трябва да се борят с киберпрестъпните действия в Интернет – Националният център за борба с престъпленията на „белите якички“ (National White Collar Crime Center, NW3C) – субсидирана от Конгреса на САЩ oрганизация с нестопанска цел, която осигурява обучение, помощ в разследвания и изследвания за агенции и организации, занимаващи се с предотвратяването, преследването и разрешаването на престъпления в киберпространството, областта на финансовите и икономически измами. Освен, че се занимава с финансовите престъпления в Мрежата и борбата с организираната киберпрестъпност, центърът работи в тясно сътрудничество с множество правителствени агенции, между които и ФБР, като заедно управляват Центъра за оплаквания от престъпления, извършени в Интернет (Internet Crime Complaint Center, IC3), който се грижи за приемането, обработката на жалби от потърпевши на престъпления в киберпространството.

Кребс съобщава, че най-вероятно киберпрестъпниците са достигнали вътрешната мрежа на Центъра в края на май тази година, като са останали незабелязани до средата на август, когато компрометирания сървър е бил разкачен от мрежата. Изглежда, че киберпрестъпниците са компрометирали в началото публичен VPN сървър, чрез който са били обработвани входящите в системата заявки. Подобни сървъри се ползват масово от служители на организации и компании, които работят дистанционно за осъществяването на защитен комуникационен тунел към затворени мрежи. Компрометирането на вътрешните системи се е осъществил посредством ъплоудването на файл, който според Кребс е същия, който е ползван за компрометирането на системите на брокерите на лични данни, свързвайки системите с ботнет в Интернет, създаден от кибермошениците, предоставяйки им по този начин постоянна връзка със системите на центъра. В самата атака основна роля за компрометиране на вътрешните системи играе използването на експлойт за наскоро запушена уязвимост към ColdFusion, като Кребс не изключва да има връзка с инцидента, за който вече ви съобщихме – свързан с кражбата на сорс кода на три продукта на Adobe и кражбата на идентифицираща информация (между която номера на кредитни карти, идентификационни номера, имена и криптирани пароли) на 2.9 млн. потребителя на компанията. Изглежда обаче софтуера на Центъра не е бил обновен.

Освен огромни масиви, откраднати от базите данни (между които имена за вход и пароли на оторизирани от Центъра хора за достъп до вътрешните системи), кибермошениците крадат огромно количество записи от базите данни на IC3, като най-ранните датират от поне десет години и по-точно над 2.6 млн. записи.