Взлом Maersk через унаследованную систему: что проверить в старых приложениях на VB6 и .NET

Почему унаследованные системы взламывают чаще

Систему, доставшуюся после покупки компании, обычно никто не считает своей. Команда, которая её писала, ушла или осталась у продавца, документации нет, а бизнес-процесс на ней продолжает работать. Seemant Sehgal из BreachLock в комментарии Infosecurity Magazine говорит именно об этом: при сделках M&A владельцы систем теряются, и тестирование на проникновение стоит проводить ещё на этапе due diligence, до подписания.

В мире VB это выглядит так:

• десктопное приложение на VB6 ходит в SQL Server под общим логином sa, пароль которого записан в INI-файле или в коде;
• база Access с таблицей пользователей лежит на общем диске, пароли в ней хранятся текстом;
• сайт на ASP.NET Web Forms крутится на старом IIS, а строка подключения в web.config не зашифрована;
• служба обмена с партнёрами по FTP или EDI работает под учётной записью человека, уволенного несколько лет назад.

Каждый пункт по отдельности не выглядит аварией. Вместе они дают ровно ту картину, о которой заявляют вымогатели: доступ к локальной системе и пароли, которые можно прочитать без взлома хешей.

Как найти пароли в открытом виде в старой базе

Быстрее всего начать с базы данных. Запрос ниже ищет в SQL Server столбцы, по названию похожие на хранилище паролей. Затем по каждому найденному столбцу стоит посмотреть, что в нём лежит: хеш фиксированной длины или читаемый текст.

-- Столбцы, похожие на пароли, во всех таблицах текущей базы
SELECT s.name AS schema_name, t.name AS table_name,
       c.name AS column_name, ty.name AS data_type, c.max_length
FROM sys.columns c
JOIN sys.tables t  ON t.object_id = c.object_id
JOIN sys.schemas s ON s.schema_id = t.schema_id
JOIN sys.types ty  ON ty.user_type_id = c.user_type_id
WHERE c.name LIKE '%pass%' OR c.name LIKE '%pwd%' OR c.name LIKE '%parol%'
ORDER BY s.name, t.name;

Если значения в столбце разной длины и читаются глазами, пароли хранятся открытым текстом. В Access то же самое проверяется просмотром таблиц пользователей. В исходниках на VB6 и VB.NET ищите строки Password=, pwd= и User ID=sa в коде, INI-файлах и app.config. Переход на хеширование с солью — это правка схемы и формы входа, а не всего приложения: в .NET для этого есть класс Rfc2898DeriveBytes (PBKDF2), который работает и из VB.NET.

Что проверить, кроме паролей

Кроме паролей, проверьте учётные записи, сетевой доступ, конфигурацию и журналы. Через них старая система и связана с остальной инфраструктурой. Maersk отдельно подчёркивает, что инцидент не затронул интеграции через API и EDI. Для небольшой компании это самая опасная часть: старая система часто связана с новой через общую базу, сетевую папку или служебную учётку с широкими правами. Darin Fredde из Ridge Security формулирует вопрос для расследования так: выдержали ли границы между legacy-системой и остальной сетью.

Порядок проверки:

1. Учётные записи. Выгрузите логины, под которыми работают службы, задания и подключения к базе. Отключите учётки уволенных сотрудников и подрядчиков, общий sa замените отдельным логином с минимальными правами.
2. Сеть. Проверьте, откуда доступен сервер. Внутреннему приложению на VB6 не нужен открытый наружу порт SQL Server или RDP.
3. Конфигурация. Зашифруйте секции connectionStrings в web.config средствами aspnet_regiis, уберите пароли из INI-файлов.
4. Журналы. Включите аудит входов в SQL Server и Windows. Без журналов после инцидента нельзя понять, что именно выгрузили.
5. Решение о будущем. Для каждой системы запишите срок: изолировать, перенести или вывести из эксплуатации.

Подробный список того, что смотреть в коде, мы собирали в чек-листе аудита legacy-кодовой базы на VB.NET, а меры для сайтов на Web Forms — в материале о защите старых приложений на ASP.NET Web Forms.

Что сделать на этой неделе

Если владельца у системы так и не нашлось, это тоже результат: такую систему стоит либо передать на сопровождение, либо запланировать её замену. Как передать поддержку внешней команде без потери знаний, мы разбирали в статье об аутсорсинге поддержки приложений на VB6 и VB.NET.

Вопросы об инциденте Maersk