Jak na skutek nieudolnego śledztwa zostać ponownie ofiarą włamania

Czy można dać się okraść trzy razy pod rząd w ciągu jednego miesiąca? W świecie kryptowaluty nic nie jest niemożliwe, co udowodniła nam właśnie platforma wymiany ShapeShift. Zapraszamy do lektury opisu przebiegu włamań.

Prezes firmy ShapeShift podzielił się wczoraj historią ostatnich kilkunastu dni pełnych niespodziewanych zwrotów akcji. Warto zapoznać się z jego relacją by zobaczyć, jak nie powinno się reagować na incydenty i jakie mogą być skutki nieudolnego śledztwa.

Znikające bitcoiny

Mało jest serwisów atakowanych tak często jak te, które handlują kryptowalutą. Są to także – a przynajmniej powinny być – serwisy najlepiej przygotowane na różne ataki. Mimo tego jeden z nich został okradziony trzykrotnie w krótkich odstępach czasu. Czy to świadczy o nim źle? W naszej ocenie to raczej powód do dumy – w końcu został zaprojektowany tak, że nawet po drugiej kradzieży ciągle było coś do zabrania, czego nie można powiedzieć o większość jego dawno już upadłej konkurencji.

Strona serwisu ShapeShift

ShapeShift to serwis umożliwiający łatwą i prostą wymianę pomiędzy dwoma kryptowalutami. Serwis nie przechowuje środków klientów (poza samym momentem dokonywania wymiany), musi jednak dysponować odpowiednim saldem środków własnych dla zapewnienia płynności. Cała historia zaczęła się 14 marca tego roku, kiedy to z gorącego portfela bitcoina zniknęło 315 BTC. Szef firmy dowiedział się o problemie z samego rana i natychmiast wezwał wszystkich pracowników do biura. Wszyscy przybyli bez zwłoki, spóźnił się jedynie szef IT, występujący w tej historii pod pseudonimem Bob. Bob pojawił się w biurze o 11:30 i nie wydawał się być specjalnie zaniepokojony rozwojem wydarzeń. Bob zatrudniony był pod koniec 2015, kiedy firma osiągnęła stadium wymagające poważnego podejścia do infrastruktury ze względu na regularnie rosnące obroty. Miał długie doświadczenie w świecie kryptowalut, lecz podobno od początku nie wydawał się tytanem pracy.

Bob poinformowany o incydencie zaczął wymyślać dziwne wyjaśnienia. Najpierw zasugerował, ze pewnie zhakowana została jedna z giełd, z którymi współpracowała firma – jednak konta giełdowe były nietknięte. Potem wskazał na adres IP, który figurował w opisie transakcji złodzieja, lecz jak wiedzą użytkownicy BTC adres ten jedynie wskazuje węzeł sieci który przekazywał informacje o przelewie i nie ma najczęściej nic wspólnego ze złodziejem. W tym czasie administratorzy analizujący logi znaleźli informację wskazującą, że użytkownik kluczy należących do Boba zalogował się do kluczowego serwera godzinę przed kradzieżą i wylogował się dwie minuty po niej. Logowanie nastąpiło z użyciem firmowego VPNa. Nie było w tym jeszcze żadnej rewelacji, ponieważ Bob był jednym z administratorów i mógł to być zbieg okoliczności.

Znikający Bob

Ciąg dalszy analizy polegał na zebraniu od wszystkich odcisków kluczy SSH i dopasowywaniu ich do wpisów w logu. Bob także przekazał odcisk swoich kluczy, jednak nie było po nich w logach żadnego śladu. Zanim zagadka została wyjaśniona Bob wyszedł na godzinny lunch – jak przystało na szefa IT w trakcie najgorszego incydentu w historii firmy. Po powrocie spakował swoje rzeczy, zabrał psa (który akurat był w biurze) i oznajmił, że wróci za kolejną godzinę, bo musi zawieźć matkę do szpitala. To był ostatni raz, kiedy pracownicy firmy ShapeShift widzieli Boba…

Pozostali w firmie administratorzy szybko ustalili, że tego ranka Bob skasował z serwera oba swoje klucze, których ślady był w logach i wygenerował nowe, które przekazał jako swoje do analizy. Po wielu próbach udało się dodzwonić do Boba, który zapytany o to, dlaczego skasował swoje klucze, odpowiedział, że nie uznał ich za istotne. Dodatkowo wszelkie podejrzenia o udział w kradzieży odrzucił i uznał je za rasistowskie. Firma wystosowała do niego oficjalną prośbę o zwrot skradzionych środków a gdy nie zareagował przygotowała pozew cywilny oraz zgłosiła podejrzenie popełnienia przestępstwa. Doręczenie pozwu się nie powiodło, ponieważ Bob zniknął ze swojego mieszkania (zostawiając jedynie psa pod opieką sąsiada). To jednak nie koniec historii.

Znikające kryptowaluty po raz drugi

Firma słusznie przyjęła założenie, że trudno będzie zaufać dotychczasowej infrastrukturze IT skoro jej główny administrator okazał się być złodziejem i odbudowała od zera infrastrukturę u dostawcy chmurowego. Przy okazji zmieniła wszystkie klucze SSH (a przynajmniej tak sądziła) oraz hasła. 7 kwietnia przygotowania do uruchomienia platformy na nowej infrastrukturze były już w zaawansowanej fazie, gdy znienacka z serwerów w chmurze zniknęła zawartość gorących portfeli BTC, LTC oraz Ethereum. Po paru godzinach bezowocnej analizy zdarzeń pracownicy zaczęli podejrzewać, że kradzież mogła być skutkiem włamania do hostingu. Logi z serwera zostały usunięte, zatem ustalenie przebiegu wydarzeń było trudne. Udało się jednak prześledzić skradzione fundusze i trafić na konto na jednej z giełd, należące – przynajmniej wg podanych przez użytkownika danych – do pewnego Rosjanina.

Prezes ShapeShift postanowił chwycić się ostatniej szansy i przesłał Rosjaninowi jedno pytanie: Jak to zrobiłeś? Po paru dniach nadeszła odpowiedź o treści Bob. Z tej odpowiedzi nikt jednak nie wyciągnął żadnych sensownych wniosków.

Znikające kryptowaluty po raz trzeci

Po dobie firma uruchomiła kolejną nową infrastrukturę w kolejnej nowej chmurze i jak pewnie już się domyślacie po raz kolejny została okradziona z zawartości gorących portfeli. Tym razem firma zareagowała w końcu trochę inaczej, kupując profesjonalną usługę analizy powłamaniowej. Prezes wrócił także do rozmowy z nowym złodziejem i za 2 BTC dowiedział się, że Bob przekazał mu adres IP serwera oraz działający klucz SSH wykradziony z komputera innego pracownika. Tymczasem firma prowadząca analizę znalazła tylną furtkę (napisaną w Go i z poprawionymi znacznikami czasowymi by wskazywały na moment instalacji serwera) obecną na serwerach produkcyjnych firmy oraz odzyskała część skasowanych logów. Jednocześnie dzięki współpracy z giełdami udało się zablokować część skradzionych środków i drugi włamywacz zrobił się bardziej skory do negocjacji.

Prezes zawarł z nim umowę odkupu skradzionych kryptowalut po atrakcyjnej cenie w zamian za pełne informacje o przebiegu włamania. Okazało się, że do logowania na nowe serwery został użyty klucz SSH drugiego firmowego administratora. Problem polegał jednak na tym, że był to klucz wygenerowany już po odejściu Boba z pracy. Macie już koncepcję jak do tego doszło? Odpowiedź czeka w następnym paragrafie.

Rosjanin wyjawił, że za 50 BTC kupił od Boba adres IP i dostęp do firmowego rutera, adres IP serwera z którego można było ukraść kryptowaluty oraz dostęp po RDP do pulpitu administratora, który konfigurował nową infrastrukturę. Wszystkie wysiłki skierowane w stronę zabezpieczenia nowych serwerów musiały spalić na panewce, skoro włamywacz kontrolował komputer firmowego administratora…

Lekcje do zapamiętania

Historia ta pozwala na wyciągnięcie kilku istotnych wniosków. Po pierwsze po incydencie warto przeprowadzić solidną analizę, wyjaśniająca każdy aspekt tego jak doszło do nieautoryzowanego dostępu. Szczególnie należy zrobić to po drugim incydencie tego samego typu w ciągu kilku dni. Po drugie po ucieczce głównego administratora warto przeinstalować nie tylko serwery ale także stacje robocze kluczowych pracowników. Po trzecie trzeba założyć, że do włamania i tak dojdzie i być przygotowanym do jego wykrycia i ograniczenia skutków. Po czwarte prowadzenie serwisów związanych z kryptowalutami jest trudne. Powodzenia!