Infraestrutura dos EUA tem a mesma segurança do planeta Druidia

Por incrível que pareça a mídia de entretenimento entende melhor o que são verdadeiros hackers do que o jornalismo. É um ponto de vista pessoal, admito, mas não consigo engolir quando os noticiários tratam gente como Snowden e Mitnick como mega hackers nível Neo. 

EU SEI, engenharia social é uma forma válida de invadir sistemas, o resultado final é o mesmo, etc, mas — de novo — para mim isso é teatro, não hacking. Snowden, menos ainda. Ele nunca invadiu nada, ele era o garoto que consertava computador, ele era SUPORTE na NSA, ele tinha as senhas de admin. Ele violou a confiança dos patrões e roubou a empresa, sem usar nenhuma habilidade especial.

Acima dessa gente há uma categoria de “hackers” que também não merece o título, pois se valem da estupidez alheia, mais ainda do que Mitnick. Em 2013 um grupo de iranianos invadiu uma represa nos EUA usando essa técnica, que consiste em… procurar sistemas mal-configurados. Não no sentido de 0-days ou situações de privilege escalation, Bombas Lógicas, ou mesmo digitar OVERRIDE diante de um ACCESS DENIED.

O que essa gente busca — e encontra — são sistemas com senhas padrão. Roteadores Cisco por exemplo vinham com user cisco senha cisco. Access Points Wi-Fi costumam vir com user admin senha vazia e muita, muita gente deixa isso assim.

Uns dias atrás saiu a manchete “Hacker ataca milhares de impressoras na Internet das Coisas”. O sujeito teria invadido campus universitários e enviado arquivos de propaganda nazista para milhares de impressoras. Só que não foi invasão, como ele descreve aqui, só rodou um script procurando IPs com a porta 9100 aberta, o que significa geralmente uma impressora conectada. Ele enviou um arquivo Postscript com o tal panfleto, the end.

O cara nunca teria conseguido isso se os admins configurassem corretamente suas redes e seus equipamentos, mas não fazem isso. Eu conheci um gerente que se recusava a instalar fixpacks no Windows porque “podiam causar instabilidade” e como estavam por trás do firewall do DataCentre, não corriam risco. CLARO que um computador de outro cliente no hosting foi contaminado, e os servidores desse gerente foram pra vala. Aí um corno tive que virar noite reinstalando tudo.

“Ah mas essa informação é arcana pouca gente tem” sim, pouca gente que acessa www.defaultpassword.com.

Estima-se que em 2016 a quantidade de dispositivos da Internet das Coisas e sistemas de controle conectados atinjam a casa de 6,4 bilhões. Lâmpada com Wi-Fi? Conta. Impressora? Conta. Outro dia fui instalar a impressora da minha mãe, ela tem a máquina desde o ano passado. Descobri que era uma impressora Wi-Fi, ela não fazia idéia. Por um ano a impressora ficou com a configuração default aberta pro mundo.

Para piorar sabem quem ajuda esse tipo de invasão? O Google. Existe toda uma subcultura “hacker” de troca de URLs de busca do Google. Não é nada complexo. Quer um exemplo? Bota no Google:

inurl:etc -intext:etc ext:passwd

Essa simples linha vai te trazer arquivos contendo SENHAS. As pessoas deixam arquivos de senhas em diretórios mapeados por servidores web.

Quer brincar de hacker mais ainda? Como achar webcams abertas na web:

intext:"powered by webcamXP 5"

Fotos? Fotos dos outros que provavelmente não querem compartilhar?

intitle:"Index of" "DCIM"

Isso, repito, são páginas abertas na web, sem arquivo robots.txt nem nenhuma proteção, pesquisadas pelo crawler do Google e indexadas. Existem centenas, talvez milhares desses “Google Dorks” como chamam essas strings de busca, muitas bem mais sinistras, envolvendo equipamentos hospitalares e babás eletrônicas, além de algumas para contornar login em portais.

Todas, TODAS podem ser inutilizadas se os administradores e os usuários fizeram seu trabalho, mas não adianta: as pessoas acham incômodo ter mais de uma senha e reclamam horrores de autenticação em dois passos. O banco tem que saber magicamente que você é você, sem um mínimo de incômodo, sem mandar SMS, exigir token, nada.

Assim é fácil. Pros hackers.

Por enquanto não houve nenhum grande ataque organizado, mas no dia que uma Melhor Coréia de vida resolver atacar, boa parte da infraestrutura não só dos EUA mas da maioria dos países vai cair, pois pra cada firewall bem configurado há um diretor — caso real eu presenciei — que exige que o laptop dele acesse qualquer site diretamente (sim, Pr0n) e a rede sofria infecções diárias mas o chefe mandou tá mandado.

Estou soando como profeta do apocalipse? Lamento informar mas a senha do presidente Skroob, “12345” foi a 5ª senha mais usada em 2015. A primeira mais usada foi “123456” e a segunda mais usada, “password”. As pessoas fazem tudo para não se proteger.

Fonte: NBC News.