Επίθεση Hackers στην Ελληνική Τράπεζα Probank!

Στοχευμένη επίθεση Hackers πραγματοποιήθηκε στον κεντρικό εξυπηρετητή ιστοσελίδων (web server) της ελληνικής Τράπεζας ProBank [http://www.probank.gr] πριν από μερικές ώρες! Είναι το δεύτερο χτύπημα σε Τράπεζα που κοινοποιείται στο SecNews εντός του μηνός Οκτωβρίου, μιας και πριν 10 ημέρες είχε πραγματοποιηθεί κυβερνοεπίθεση στην ιστοσελίδα της Συνεργατικής Κεντρικής Τράπεζας Κύπρου, από Τούρκους όμως….
τότε Hackers. Σύμφωνα με πληροφορία που δεχτήκαμε, Έλληνας γνωστός hacker με το ψευδώνυμο <…>
«Kondor» χρησιμοποιώντας ιδιαίτερα εξειδικευμένες μεθόδους, κατόρθωσε να αποκτήσει πλήρη πρόσβαση και έλεγχο της ιστοσελίδας της Τράπεζας, χωρίς να γίνει αντιληπτός από τους διαχειριστές, ενώ στη συνέχεια αντλήθηκαν αρχεία δεδομένων του εξυπηρετητή.Το αρχείο που διέρρευσε μέχρι στιγμής από τον hacker φαίνεται παρακάτω:

Πρόκειται για το αρχείο «/etc/passwd», αρχείο συστημάτων Unix/Linux στο οποίο βρίσκονται τα δεδομένα χρηστών του εξυπηρετητή. Από μόνο του το συγκεκριμένο αρχείο δεν εκθέτει κωδικούς χρηστών (γιαυτό και προβαίνουμε σε δημοσίευση), αλλά δίνει σημαντικές αξιοποιήσιμες πληροφορίες σχετικά με τους διαθέσιμους χρήστες του Server ή το είδος πρόσβασης του κάθε χρήστη. Για παράδειγμα είναι εύκολο να αντλήσει κάποιος τα username των διαθέσιμων χρηστών,ποιοι χρήστες διαθέτουν πρόσβαση κονσόλας, στοιχεία που μπορούν να χρησιμοποιηθούν για περαιτέρω πρόσβαση στο σύστημα της Τράπεζας.
O «Kondor«, διαθέτοντας πλήρη γνώση των αδυναμιών της Τράπεζας, «αόρατος» από τα συστήματα ασφάλειας και τους διαχειριστές του συστήματος, με κατάλληλη χρήση του ανωτέρω αρχείου που αντλήθηκε σε συνδυασμό με υπάρχουσα αδυναμία της ιστοσελίδας RFI – Remote file Inclusion (που επιτρέπει απομακρυσμένη εκτέλεση κώδικα) , κατόρθωσε να επεκτείνει τις δυνατότητες τους.Αποκτώντας πλήρη πρόσβαση στις υποδομές της Τράπεζας Probank,αντλήθηκαν οι κωδικοί του διαχειριστή και της βάσης δεδομένων(σύμφωνα με δήλωση πρόκειται για Mysql), αποκτώντας δυνατότητα αλλοίωσης του συνόλου των αρχείων του εξυπηρετητή (πρόσβαση διαχειριστή – root).
Δεν διαπιστώθηκε από την συντακτική ομάδα αλλοίωση της ιστοσελίδας της Probank μέχρι την στιγμή που γραφόταν το συγκεκριμένο άρθρο,πιθανόν όχι γιατί δεν ήταν εφικτό αλλά επειδή δεν ήταν ο στόχος του «Kondor» κάτι τέτοιο. Είναι σαφές ότι βάσει των δυνατοτήτων που απέκτησαν οι hackers στην ιστοσελίδα της Τράπεζας, εκτός από την άντληση των δεδομένων μπορούν να χρησιμοποιήσουν την υποδομή της Τράπεζας ώστε να διασπείρουν κακόβουλο λογισμικό στους ανυποψίαστους επισκέπτες της ιστοσελίδας φυσικά εν αγνοία τους.
Αξιοσημείωτο είναι ότι κατά την χρονική στιγμή συγγραφής του άρθρου, το e-banking της Τράπεζας είναι εκτός λειτουργίας με σφάλμα στο πιστοποιητικό SSL,όπως βλέπετε παρακάτω:

Από την επίθεση φαίνεται να επηρεάστηκαν ΚΑΙ οι χρήστες του E-banking της Τράπεζας, δεν ξεκαθαρίζεται ωστόσο αν αντλήθηκαν στοιχεία συναλλαγών ή πελατών.

Το SecNews από τις πληροφορίες των χρηστών που αναγράφονται στο συγκεκριμένο αρχείο και κατόπιν μικρής έρευνας, επιβεβαίωσε την αξιοπιστία του συγκεκριμένου αρχείου που κοινοποιήθηκε το οποίο φαίνεται να ανήκει πράγματι στην Τράπεζα. Η συγκεκριμένη επίθεση αποδεικνύει ότι οι υπεύθυνοι ασφαλείας απαιτείται να δίνουν ιδιαίτερη σημασία στην ασφάλεια των εφαρμογών και εξυπηρετητών που βρίσκονται εκτεθειμένοι στο διαδίκτυο. Μια επίθεση μπορεί να ξεκινήσει από τα συστήματα που «αγγίζουν» την πλευρά του Internet και να επεκταθεί πολύ εύκολα στο εσωτερικό δίκτυο ή στα συστήματα πελατών. Πόσο μάλλον όταν πρόκειται για μια Τράπεζα, που διαχειρίζεται οικονομικές συναλλαγές και ευαίσθητα τραπεζικά δεδομένα.
Η επίθεση πιθανόν να βρίσκεται ακόμα σε εξέλιξη, όποτε μείνετε συντονισμένοι στο SecNews για οτιδήποτε νεότερο.

http://www.secnews.gr