Οι φίλοι μας από το SecNews.gr, δημοσίευσαν μια άκρως ενδιαφέρουσα συνέντευξη που πήραν από τον Έλληνα hacker [P.A.O.K.]. Σας την μεταφέρουμε:
Το SecNews σε πανελλήνια ΑΠΟΚΛΕΙΣΤΙΚΟΤΗΤΑ παρουσιάζει την συνέντευξη του hacker [P.A.O.K] που έχει πραγματοποιήσει πλήθος επιθέσεων με πολιτική στόχευση.
Το να επιτευχθεί κάτι τέτοιο δεν ήταν καθόλου εύκολο. Η συντακτική ομάδα αντιμετώπισε εξαιρετικές δυσκολίες στο να επιτύχει μια ασφαλής ανώνυμη επικοινωνία μαζί του (επιβεβαιώνοντας παράλληλα την ταυτότητά του) αλλά το κυριότερο να οικοδομηθεί εντός μικρού χρονικού διαστήματος, μια σχέση εμπιστοσύνης ώστε να μπορέσει να μας δημοσιοποιήσει όσα ο ίδιος επιθυμούσε.
[alert variation=”alert-info”]Ο νεαρός hacker, με την ώριμη – παρά την ηλικία του- επιχειρηματολογία αλλά και με πλήρη αντίληψη των πράξεών του αναφορικά με το νομικό/ποινικό τους αντίκτυπο, ανέπτυξε εντός 5 ωρών επικοινωνίας τις θέσεις του.[/alert]Το SecNews δημοσιοποιεί το ρεπορτάζ, το οποίο εκτιμούμε ότι θα βοηθήσει τους ειδικούς ασφαλείας εταιρειών και οργανισμών να κατανοήσουν την ψυχολογία και τον τρόπο σκέψης των greyhat hackers αλλά και να αντιλήφθούν τις μεθόδους και τις πρακτικές τους ώστε να προστατευτούν.
[alert variation=”alert-success”]Άλλωστε ο λόγος της συνεντευξης που επέλεξε ο [P.A.O.K] να παραχωρήσει στο SecNews, ήταν ακριβώς αυτός δηλαδή η ενημέρωση και όχι η προσωπική του, όπως μας τόνισε, ανέλιξη και προβολή.[/alert]Η συνέντευξη για λόγους ασφαλείας, όπως επιθυμούσε ο συνεντευξιαζόμενος, πραγματοποιήθηκε εκ του μακρόθεν, λαμβάνοντας ο ίδιος όλα τα απαραίτητα μέτρα ασφάλειας που εκτίμησε, ώστε αν μην αποκαλυφθεί με κανέναν τρόπο η ταυτότητά του. Κατά την ενάρξη της συνέντευξης ήταν ιδιαίτερα επιφυλακτικός κάτι που όμως στην πορεία άλλαξε και σιγά σιγά μας σκιαγράφησε τον κόσμο των hackers, εκ των έσω.
Εντός 25 ερωτήσεων και ιδιαίτερα αναλυτικά ο [P.A.O.K] δίνει το στίγμα του αναφορικά με το hacking στην Ελλάδα αλλά και τις επιθέσεις που έχει πραγματοποιήσει. Επιπλέον δίνει σαφείς οδηγίες σε εταιρείες και ιδιώτες, ενώ αποκαλύπτει ότι διαθέτει πρόσβαση σε servers & εξυπηρετητές που θα χρησιμοποιήσει όταν κρίνει απαραίτητο.
Οι ερωτήσεις της συνέντευξης του hacker [P.A.O.K] απο το SecNews
SecNews: Σύμφωνα με την άποψή σας τι είναι αυτό που κάνει τους νέους να ασχολούνται με το hacking στην Ελλάδα;
[P.A.O.K]: Πιστεύω πως είναι λίγο η περιέργεια, για το αν είναι σε θέση να πραγματοποιήσουν μια πετυχημένη επίθεση και κυρίως είναι ένα μέσο αντίδρασης για την νεολαία που από μόνο του είναι ένα κίνητρο για κάποιον να ασχοληθεί.
Οι μέθοδοι & τρόποι hacking σύμφωνα με τον [P.A.O.K]
SecNews: Πόσο δύσκολο είναι να αποκτήσετε πρόσβαση σε μια εταιρεία η οργανισμό;
[P.A.O.K]: Εδώ η απάντηση θα πρέπει να είναι πολύ αόριστη αναγκαστικά… Δεν μπορείς να ξέρεις τι θα συναντήσεις όταν σκανάρεις έναν server ή ένα δίκτυο οργανισμού.Άλλες φορές είναι ευκολότερο και άλλες πολύ δυσκολότερο απ’ότι πίστευες στην αρχή.
Είναι πολλές οι παράμετροι που πάιζουν ρόλο ανάλογα την περίπτωση….Από την άλλη είναι και αυτό που λέμε “Ο σκοπός αγιάζει τα μέσα”.
Αν δηλαδή είναι σημαντικός ο στόχος, θα τον “παλέψεις” όσο είναι ανθρωπίνος εφικτό, μέχρι να πετύχεις ή να αποτύχεις στην πρόσβαση που επιθυμείς να κερδίσεις.Είναι εξαιρετικά πολλές οι ώρες αναζήτησης στο ψηφιακό παιχνίδι του “κλέφτη” και “αστυνόμου” :)
Είναι πολλές οι παράμετροι που πάιζουν ρόλο ανάλογα την περίπτωση….Από την άλλη είναι και αυτό που λέμε “Ο σκοπός αγιάζει τα μέσα”.
Αν δηλαδή είναι σημαντικός ο στόχος, θα τον “παλέψεις” όσο είναι ανθρωπίνος εφικτό, μέχρι να πετύχεις ή να αποτύχεις στην πρόσβαση που επιθυμείς να κερδίσεις.Είναι εξαιρετικά πολλές οι ώρες αναζήτησης στο ψηφιακό παιχνίδι του “κλέφτη” και “αστυνόμου” :)
SecNews: Μπορείτε να μας αναφέρετε μερικές κατηγορίες εταιρειών/δημοσίων φορέων ή οργανισμών που έχετε πρόσβαση και τι είδους πρόσβαση είναι αυτή;
[P.A.O.K]:Υπάρχουν αρκετοί φορείς που ακόμα έχω πρόσβαση αν και αρκετοί μου “κλείσανε” την πόρτα όταν εντόπισαν τα προπαρασκευαστικά στάδια της επίθεσης :). Κυρίως πάντως, είναι φορείς του Ελληνικού δημοσίου και εταιρίες που έχουν να κάνουν με το δημόσιο (είτε πελατειακές σχέσεις είτε συνεργαζόμενες με το δημόσιο σε άλλους τομείς) .
(Σημείωση συντάκτη: Κατά την λήψη της συνέντευξης ο [P.A.O.K] μας ενημέρωσε ότι κατά την διεξαγωγή της ΔΕΘ, είχε πραγματοποιήσει επίθεση στην ιστοσελίδα (χαμηλής επισκεψιμότητας βέβαια) των Συνδικαλιστών Αστυνομικών Θεσσαλονίκης. Πράγματι το επιβεβαιώσαμε [εδώ]).
SecNews: Με τι τρόπους/διαδικασίες πραγματοποιείτε τις επιθέσεις σας. Υπάρχουν διαθέσιμα δικά σας εργαλεία ή χρησιμοποιείτε exploits/αδυναμίες του λογισμικού;
[P.A.O.K]: Υπάρχουν κάποια εργαλεία που χρησιμοποιώ με κάποιες δικές μου τροποποιήσεις ή προγραμματιστικές προσθήκες αλλά χρησιμοποιώ κυρίως τις αδυναμίες που θα βρώ.Όταν “σκανάρεις” έναν στόχο, ο σκοπός σου είναι να βρείς αδυναμίες τις οποίες να είσαι σε θέση να εκμεταλλευτείς, ώστε να υποκλέψεις δεδομένα από τις βάσεις δεδομένων ή/και να αποκτήσεις πρόσβαση σε επίπεδο shell στον server και απο κει και πέρα … ότι προκύψει.
Όταν “σκανάρεις” έναν στόχο, ο σκοπός σου είναι να βρείς αδυναμίες τις οποίες να είσαι σε θέση να εκμεταλλευτείς, ώστε να υποκλέψεις δεδομένα από τις βάσεις δεδομένων ή/και να αποκτήσεις πρόσβαση σε επίπεδο shell στον server και απο κει και πέρα … ότι προκύψει.
Κάποιες μέθοδοι είναι πιο χρονοβόρες, της υπομονής (όπως xss,cookie stealing, social engineering ,etc.) και κάποιες πιο άμεσες όπως (sql injection, shell uploading etc).Εντύπωση πάντως μου έχει προκαλέσει ότι στην Ελλάδα μεγάλες εταιρείες και οργανισμοί εν ετη 2014 και δεν έχουν αντιληφθεί την σημαντικότητα των επιδιορθώσεων SQL Injection με αποτέλεσμα να παραμένουν ευάλωτες εδώ και πολλά πολλά χρόνια!!
To επίπεδο ασφάλειας των ιστοσελίδων στην Ελλάδα & η κοινότητα των Ελλήνων hackers
SecNews: Ποιά η εκτίμησή σας αναφορικά με το επίπεδο ασφάλειας των ιστοσελίδων/υποδομών αλλά και υπηρεσιών κοινής ωφέλειας στον Ελλαδικό χώρο
[P.A.O.K]: Το επίπεδο ασφαλείας των ιστοσελίδων, όπως προανέφερα, δεν μπορώ να πω σε καμία περίπτωση πως είναι υψηλό τουλάχιστον για τα δικά μου δεδομένα. Πλήθος sites, εταιριών ή ιδιωτών είναι ευάλωτα, κάτι που είναι αν θέλετε αναμενόμενο. Σε στόχους πιο υψηλού προφίλ όμως (όπως Τράπεζες και πολυεθνικές εταιρείες) σίγουρα είναι λίγο καλύτερα τα πράγματα .
Γίνονται σαφώς βήματα αναβάθμισης του επιπέδου ασφαλείας των ιστοσελίδων στην Ελλάδα, αλλά πολλές φορές αναθέτουν την κατασκευή και την φιλοξενία των ιστοσελίδων σε άτομα που δεν μπορούν να προστατέψουν επαρκώς τα δεδομένα και τις υποδομές των πελατών τους με αποτέλεσμα να διαρρέουν ευαίσθητα δεδομένα σε hackers που κανείς δεν μπορεί να ξέρει τις διαθέσεις τους.
[P.A.O.K]: Το επίπεδο ασφαλείας των ιστοσελίδων, όπως προανέφερα, δεν μπορώ να πω σε καμία περίπτωση πως είναι υψηλό τουλάχιστον για τα δικά μου δεδομένα. Πλήθος sites, εταιριών ή ιδιωτών είναι ευάλωτα, κάτι που είναι αν θέλετε αναμενόμενο. Σε στόχους πιο υψηλού προφίλ όμως (όπως Τράπεζες και πολυεθνικές εταιρείες) σίγουρα είναι λίγο καλύτερα τα πράγματα .
Γίνονται σαφώς βήματα αναβάθμισης του επιπέδου ασφαλείας των ιστοσελίδων στην Ελλάδα, αλλά πολλές φορές αναθέτουν την κατασκευή και την φιλοξενία των ιστοσελίδων σε άτομα που δεν μπορούν να προστατέψουν επαρκώς τα δεδομένα και τις υποδομές των πελατών τους με αποτέλεσμα να διαρρέουν ευαίσθητα δεδομένα σε hackers που κανείς δεν μπορεί να ξέρει τις διαθέσεις τους.
SecNews: Τι πιστεύετε για τους δραστηριοποιούμενους hackers αυτή την στιγμή στην Ελλαδα
[P.A.O.K]: Η hacking community της Ελλάδας δεν είναι και τόσο ενεργή όπως έχω διαπιστώσει τον τελευταίο καιρό αλλά αυτό δεν σημαίνει πως δεν υπαρχουν αρκετοί εξαιρετικά ικανοί hackers στον Ελλαδικό χώρο.Πιστεύω πως οι δυνατότητες υπάρχουν, αλλά λείπει το ισχυρό κίνητρο για να τις κάνουν πράξη. Και μην ξεχνάμε πως στις εποχές που ζούμε τώρα, ο χρόνος είναι περιορισμένος λόγω των πολλών ωρών εργασίας, για να βγούν τα προς το ζην.Οι hackers, σας διαβεβαιώνω, είναι και αυτοί κομμάτι της κοινωνίας μας οι οποίοι εργάζονται ή σπουδάζουν ή έχουν οικογένειες και ο χρόνος δεν περισεύει να ασχοληθούν εντατικά με το “γούστο” τους.Παρ’ όλα αυτά, έχουμε δει αρκετά “δυνατά” χτυπήματα των Ελλήνων hacker κατά καιρούς.
SecNews: Πείτε μας λίγα πράγματα για εσάς, πραγματοποιείτε τις επιθέσεις αποκλειστικά μόνος ή είστε μέλος μιας ευρύτερης οργανωμένης ομάδας;
[P.A.O.K]: [blockquote]Εγώ “δουλεύω” στην πλειονότητα των χτυπημάτων μόνος μου….όχι για κάποιο συγκεκριμένο λόγο αλλά γιατί απλά δεν έτυχε να καταλήξω ενεργό μέλος κάποιας ομάδας.Είναι πολύ όμορφο να είσαι σε μια ομάδα ανθρώπων που έχει κοινά ενδιαφέροντα με σένα, απλά στην περίπτωση μου δεν έτυχε λόγω και άλλων υποχρεώσεων που από καιρού εις καιρόν με κρατάνε μακριά από το hacking.Έδειξα σαφώς την υποστήριξη μου στην Ελληνική χάκινγκ σκηνή σε αρκετα χτυπήματα μου αλλά δεν μπορώ να πω πως κάναμε κάποιο οργανωμένο χτύπημα σαν ομάδα.[/blockquote]
Τα “πολιτικά” χτυπήματα του [P.A.O.K]
SecNews: Έχουμε δεί στο παρελθόν ότι τα χτυπήματά σας έχουν ενα λόγο απολιτικ και αποστέλετε μήνυμα προς όλες τις κατευθύνσεις, στρεφόμενος εναντίον των κακώς κειμένων με πολλούς αποδέκτες. Αναφέρατέ μας ποιος είναι ο στόχος των διενεργούμενων επιθέσεων που έχετε πραγματοποιήσει μέχρι αυτή την στιγμή. Εκτιμάτε ότι έχετε πετύχει τους στόχους σας;
[P.A.O.K]: Ο στόχος δεν είναι άλλος, από το να ακουστεί μια φωνή διαμαρτυρίας της νεολαίας, μήπως και ακουστεί εκεί που πρέπει.
Δεν κάνω διακρίσεις, δεν ακούω σε “χρώματα” κομμάτων και δεν “τα χώνω”, μόνο, στα χτυπήματα μου. Ανάλογα με την περίπτωση μπορεί και να επιβραβεύσω με τον τρόπο μου κάποιον οργανισμό/πρόσωπο εάν είναι σωστό με βάση τις πράξεις του προς το γενικό σύνολο της κοινωνίας μας.Όσο τώρα για το αν έχω πετύχει τους στόχους μου….Όχι δεν τους έχω πετύχει. Είναι τόσοι πολλοί που δεν ξέρω και αν θα τους πετύχω ποτέ, αλλά δεν θα πάψω να προσπαθώ για τα θέλω της Ελληνικής νεολαίας. Την νεολαία που όπως βλέπουμε στην καθημερινότητά μας, την έχει ξεγραμμένη και αμόρφωτη, δίχως ίχνος προγραμματισμού στην εκπαίδευση, η Ελληνική κυβέρνηση.Είναι φανερό πως η Παιδεία μας χρόνο με τον χρόνο, Υπουργό με Υπουργό και ανάλογα με τα γούστα του καθενός και όχι κατόπιν ώριμου προγραμματισμού και ορθών αποφάσεων, οδεύει από το κακό στο χειρότερο.
[P.A.O.K]: Ο στόχος δεν είναι άλλος, από το να ακουστεί μια φωνή διαμαρτυρίας της νεολαίας, μήπως και ακουστεί εκεί που πρέπει.
Δεν κάνω διακρίσεις, δεν ακούω σε “χρώματα” κομμάτων και δεν “τα χώνω”, μόνο, στα χτυπήματα μου. Ανάλογα με την περίπτωση μπορεί και να επιβραβεύσω με τον τρόπο μου κάποιον οργανισμό/πρόσωπο εάν είναι σωστό με βάση τις πράξεις του προς το γενικό σύνολο της κοινωνίας μας.Όσο τώρα για το αν έχω πετύχει τους στόχους μου….Όχι δεν τους έχω πετύχει. Είναι τόσοι πολλοί που δεν ξέρω και αν θα τους πετύχω ποτέ, αλλά δεν θα πάψω να προσπαθώ για τα θέλω της Ελληνικής νεολαίας. Την νεολαία που όπως βλέπουμε στην καθημερινότητά μας, την έχει ξεγραμμένη και αμόρφωτη, δίχως ίχνος προγραμματισμού στην εκπαίδευση, η Ελληνική κυβέρνηση.Είναι φανερό πως η Παιδεία μας χρόνο με τον χρόνο, Υπουργό με Υπουργό και ανάλογα με τα γούστα του καθενός και όχι κατόπιν ώριμου προγραμματισμού και ορθών αποφάσεων, οδεύει από το κακό στο χειρότερο.
SecNews: Πείτε μας ένα απο τα πλέον σημαντικά, σύμφωνα με εσας, επιτεύγματά σας
Θα ήθελα πολύ τότε να μας εξηγήσει ο κ.Πάγκαλος πως τα φάγαμε όλοι μαζί, την στιγμη που εμείς δεν είχαμε καν άποψη και είμασταν πιτσιρίκια ή και αγέννητα ακόμα
Θα ήθελα πολύ τότε να μας εξηγήσει ο κ.Πάγκαλος πως τα φάγαμε όλοι μαζί, την στιγμη που εμείς δεν είχαμε καν άποψη και είμασταν πιτσιρίκια ή και αγέννητα ακόμα, όταν αυτος και η παρέα του ήδη καταβρόχθιζαν και καταβροχθίζουν ακόμα τους κόπους και τις θυσίες του Ελληνικού λαού.Γι ‘αυτό και αν προσέξατε σε εκείνο το χτύπημα ήμουν λίγο πιο επιθετικός απ’ ότι συνηθίζω…ήμουν εν βρασμώ ψυχής :).
Κάτι αντίστοιχο ήταν και η περίπτωση του Τσοβόλα που πάλι ακούστηκε κάτι περίφημο τότε, το “Τσοβόλα δώστα όλα”, για το οποίο ακόμα πληρώνουμε τα χρήματα που τότε δανειζόμασταν για να τα “δώσουμε όλα”….Είναι κάποια πράγματα που απλώς σε εξοργίζουν και μετά σου λένε πως τα φάγαμε και μαζί. Στον Ελλαδικό χώρο πιστεύω οτι αυτά ήταν χτυπήματα που κάποιος απλά έπρεπε να τα κάνει.
SecNews: Από τις επιθέσεις που έχετε πραγματοποιήσει, στο σύνολό τους, δεν προκαλείτε καταστροφή στους διακομιστές. Είναι κάτι που το προσέχετε κατά την διενεργεια των επιθέσων ή είναι απλά ένα τυχαίο γεγονός.
[P.A.O.K]:Πάντα προσέχω και συνεκτιμώ την κατάσταση ώστε να μην δημιουργώ μεγάλα προβλήματα στους διακομιστές που καταφέρνω να αποκτήσω πρόσβαση. Σε καμία περίπτωση δεν έχω κάτι με τους διαχειριστές ή την εταιρία που τους διαχειρίζεται.
[P.A.O.K]:Πάντα προσέχω και συνεκτιμώ την κατάσταση ώστε να μην δημιουργώ μεγάλα προβλήματα στους διακομιστές που καταφέρνω να αποκτήσω πρόσβαση. Σε καμία περίπτωση δεν έχω κάτι με τους διαχειριστές ή την εταιρία που τους διαχειρίζεται.
Συνήθως ο στόχος μου είναι να αναρτήσω κάποιο μήνυμα, με αποδέκτες συνήθως πολιτικά πρόσωπα ή υπηρεσίες, ή να αντλήσω κάποιες πληροφορίες που ίσως να είναι χρήσιμες, αλλά ΠΟΤΕ δεν καταστρέφω αρχεία ή την δουλειά κάποιου δίχως να υπάρχει πολύ σοβαρός λόγος…Στην περίπτωση που υπάρχει σοβαρός λόγος (ελάχιστες είναι αυτές οι φορές), η μόνη πρόσφορη λύση που μπορείς να ακολουθήσεις είναι η καταστροφή αρχείων σε επίπεδο διαχειριστή admin/root και με τέτοιες διαδικασίες που να μην μπορούν να ανακτηθούν …Εν ολίγης, καταστροφή του διακομιστή… Κακά πράγματα!
Ο φόβος της σύλληψης και τα λαμβανόμενα μέτρα.
SecNews: Σε κάθε περίπτωση όμως, η δραστηριότητά σας πολλές φορές ακροβατεί μεταξύ νομιμότητας & παρανομίας.Σίγουρα υπάρχει πάντα ο φόβος της σύλληψης. Τι πιστεύετε γι’αυτο. Λαμβάνετε κάποια μέτρα?
[P.A.O.K]: Ναι, δυστυχώς η ενασχόληση με το hacking σε φέρνει σε μια κατάσταση ημι-ψιλο-χοντρο-παρανομίας, ανάλογα με το τι είδους hacking θα διαπράξεις, αλλά όλα είναι μεσα το παιχνίδι και γνωρίζω τους κινδύνους που διατρέχω. Εγώ, όπως και οι περισσότεροι φαντάζομαι, κοιτάω να λαμβάνω οσο το δυνατόν περισσότερα μέτρα, για να μην φτάσω στο σημείο να έχω μπλεξίματα με την αστυνομία.Μέχρι στιγμής κάτι τέτοιο δεν έχει συμβεί και ελπίζω να μην συμβεί … :)
[P.A.O.K]: Ναι, δυστυχώς η ενασχόληση με το hacking σε φέρνει σε μια κατάσταση ημι-ψιλο-χοντρο-παρανομίας, ανάλογα με το τι είδους hacking θα διαπράξεις, αλλά όλα είναι μεσα το παιχνίδι και γνωρίζω τους κινδύνους που διατρέχω. Εγώ, όπως και οι περισσότεροι φαντάζομαι, κοιτάω να λαμβάνω οσο το δυνατόν περισσότερα μέτρα, για να μην φτάσω στο σημείο να έχω μπλεξίματα με την αστυνομία.Μέχρι στιγμής κάτι τέτοιο δεν έχει συμβεί και ελπίζω να μην συμβεί … :)
SecNews: Ως ένας από τους πλέον “παραγωγικούς” σε χτυπήματα hacker πως αποκτήσατε όλη αυτή την γνώση; Με ανταλλαγή πληροφοριών με άλλους hacker σε Ελλάδα & εξωτερικό και αν ναι με ποιούς τρόπους γίνεται αυτό;
[P.A.O.K]:Διάβασμα, είναι το πρώτο που μπορώ να σκεφτώ. Το αμέσως επόμενο είναι δοκιμές…πολλές δοκιμές.Βασικά αν τα δούμε με την σειρά, χρειάζεται διάβασμα για να αποκτήσεις μια εξοικείωση με το αντικείμενο και με τις μεθόδους που θα θελήσεις να ασχοληθείς και μετά πολλές δοκιμές. Ίσως σε δικά σου μηχανήματα στην αρχή, για να μπορέσεις να φτάσεις στο επίπεδο να κάνεις πράξη αυτά που τόσο καιρό μπορεί να διάβαζες.
[P.A.O.K]:Διάβασμα, είναι το πρώτο που μπορώ να σκεφτώ. Το αμέσως επόμενο είναι δοκιμές…πολλές δοκιμές.Βασικά αν τα δούμε με την σειρά, χρειάζεται διάβασμα για να αποκτήσεις μια εξοικείωση με το αντικείμενο και με τις μεθόδους που θα θελήσεις να ασχοληθείς και μετά πολλές δοκιμές. Ίσως σε δικά σου μηχανήματα στην αρχή, για να μπορέσεις να φτάσεις στο επίπεδο να κάνεις πράξη αυτά που τόσο καιρό μπορεί να διάβαζες.
Σε επόμενο επίπεδο μπορείς να έρθεις και σε επαφή με άλλους χάκερς ανα τον κόσμο για ανταλλαγή απόψεων, γνώσεων, μεθόδων κτλ. Αλλά αυτό έρχεται σίγουρα τελευταίο, διότι πρέπει να έχεις και κάποιες παραστάσεις, ένα επίπεδο για να μπορέσεις να γίνεις αποδεκτός απο τέτοιες κοινότητες.Μάλιστα αν κάνεις κάποια χτυπήματα υψηλού προφίλ όπως λέμε, αυτές οι κοινότητες σε βρίσκουν από μόνες τους πολλές φορές.
Ένας από τους πιο συνήθεις τρόπους για να έρθεις σε επαφή είναι τα forums, αλλά πολλές φορές τα πιο δυνατά και αξιόλογα forums είναι invitation only και μπορείς να εισέλθεις μόνο κατόπιν πρόσκλησης από κάποιο ήδη υπάρχον μέλος που θα έχει εισηγηθεί την εγγραφή σου.Άλλα πάλι, δεν είναι κλειστά και μπορείς να μπείς ελεύθερα για ανταλλαγή απόψεων. Πλέον πολλοί χρησιμοποιούν και πιό official μέσα όπως το Twitter κυρίως όταν θέλουμε να μαθαίνουμε νέα απο κάποιο Hacking group ή μεμονωμένο hacker ή ακόμα και να ανοίξεις διάλογο μαζί του για τυχόν ανταλλαγή απόψεων.
Συμβουλές & Τρόποι προστασίας χρηστών & εταιρειών απo τον [P.A.O.K]
SecNews: Τι μπορεί να κάνει ενας χρήστης για να προστατευτεί από αντίστοιχες επιθέσεις χακερ.
[P.A.O.K]: Ένας χρήστης Windows, που είναι και η μεγαλύτερη μάζα και η πιο ευάλωτη, καλό θα ήταν να μην ανοίγει/εκτελεί αρχεία που δεν γνωρίζει τι είναι/κάνουν και ποιος τα έστειλε. Είναι πολλοί οι τρόποι που μπορεί να μολυνθεί ένας Η/Υ και μάλιστα με το συγκεκριμένο λειτουργικό σύστημα.Αναγκαστικό θα πρέπει να θεωρείται πλέον ένα καλό antivirus πρόγραμμα και μια καλή ρύθμιση του router, για να κόβονται πριν ξεκινήσουν κάποια πράγματα.Ένα άλλο σημαντικό που πρέπει να προσέχουν οι χρήστες, είναι να μην αφήνουν ανοιχτό τον υπολογιστή τους και να μην είναι παρόντες σε μέρη που μπορεί να έχει πρόσβαση κάποιος τρίτος είτε είναι γνωστός είτε άγνωστος.Αυτά πιστέυω είναι τα πλέον βασικά αλλά και αποτελεσματικά βήματα για την προστασία ενός καθημερινού χρήστη.
[P.A.O.K]: Ένας χρήστης Windows, που είναι και η μεγαλύτερη μάζα και η πιο ευάλωτη, καλό θα ήταν να μην ανοίγει/εκτελεί αρχεία που δεν γνωρίζει τι είναι/κάνουν και ποιος τα έστειλε. Είναι πολλοί οι τρόποι που μπορεί να μολυνθεί ένας Η/Υ και μάλιστα με το συγκεκριμένο λειτουργικό σύστημα.Αναγκαστικό θα πρέπει να θεωρείται πλέον ένα καλό antivirus πρόγραμμα και μια καλή ρύθμιση του router, για να κόβονται πριν ξεκινήσουν κάποια πράγματα.Ένα άλλο σημαντικό που πρέπει να προσέχουν οι χρήστες, είναι να μην αφήνουν ανοιχτό τον υπολογιστή τους και να μην είναι παρόντες σε μέρη που μπορεί να έχει πρόσβαση κάποιος τρίτος είτε είναι γνωστός είτε άγνωστος.Αυτά πιστέυω είναι τα πλέον βασικά αλλά και αποτελεσματικά βήματα για την προστασία ενός καθημερινού χρήστη.
SecNews: Τι μπορεί να κάνει μια εταιρεία ή οργανισμός για να προστατευτεί από αντίστοιχες επιθέσεις χακερ
[P.A.O.K]: Μπορεί να κρατάει ενημερωμένα όλα τα λογισμικά που έχει εγκατεστημένα στον διακομιστή της. Σε πολύ τακτά διαστήματα, πρέπει να ξεχωρίζει που και με ποια δικαιώματα, θα μπορεί ο καθένας να έχει πρόσβαση στον διακομιστή της, ώστε να γλιτώσει τυχόν προβλήματα ασφαλείας (RCE,RFI,PHP SHELL, etc.) που τυχόν δεν γνωρίζει πως έχει. Είναι αρκετά πράγματα που μπορεί να κάνει και συνήθως έχουν τον ανάλογα εξουσιοδοτημένο άνθρωπο (security officer) ή ομάδα ανθρώπων για να κάνει ότι χρειάζεται ώστε να μην έχουν προβλήματα.Αυτοί που δεν τον έχουν, συνήθως έχουν και προβλήματα και είναι … αξίοι της μοίρας τους :)
[P.A.O.K]: Μπορεί να κρατάει ενημερωμένα όλα τα λογισμικά που έχει εγκατεστημένα στον διακομιστή της. Σε πολύ τακτά διαστήματα, πρέπει να ξεχωρίζει που και με ποια δικαιώματα, θα μπορεί ο καθένας να έχει πρόσβαση στον διακομιστή της, ώστε να γλιτώσει τυχόν προβλήματα ασφαλείας (RCE,RFI,PHP SHELL, etc.) που τυχόν δεν γνωρίζει πως έχει. Είναι αρκετά πράγματα που μπορεί να κάνει και συνήθως έχουν τον ανάλογα εξουσιοδοτημένο άνθρωπο (security officer) ή ομάδα ανθρώπων για να κάνει ότι χρειάζεται ώστε να μην έχουν προβλήματα.Αυτοί που δεν τον έχουν, συνήθως έχουν και προβλήματα και είναι … αξίοι της μοίρας τους :)
SecNews: Υπάρχει τελικά εμπιστοσύνη στο hacking community?
[P.A.O.K]:Δεν μπορώ να πω πως υπάρχει εμπιστοσύνη στην hacking κοινότητα. Δεν μπορείς να έχεις εμπιστοσύνη, γιατί όταν μιλάμε για hacking, συνήθως μιλάμε και για πράξεις που όπως αναφέραμε και πιο πάνω, ακροβατούν μεταξύ νομιμότητας και παρανομίας, οπότε πρέπει να είσαι ιδιαίτερα προσεκτικός, γιατί ποτέ δεν ξέρεις ποιος μπορέι να κρύβεται πίσω από μια IP. Μια επιλογή λίγο μεγαλύτερης εμπιστοσύνης, ίσως να είναι τα κρυπτογραφημένα μηνύματα μεταξύ των hackers οι οποίοι νωρίτερα θα έχουν ανταλάξει δημόσια κλειδιά μεταξύ τους με σκοπό τουλάχιστον, να μπορεί να διαβάσει το μήνυμα μόνο αυτός που γνωρίζω πως έχει το κλειδί.Αλλά εμπιστοσύνη δεν μπορώ να πω πως υπάρχει.
[P.A.O.K]:Δεν μπορώ να πω πως υπάρχει εμπιστοσύνη στην hacking κοινότητα. Δεν μπορείς να έχεις εμπιστοσύνη, γιατί όταν μιλάμε για hacking, συνήθως μιλάμε και για πράξεις που όπως αναφέραμε και πιο πάνω, ακροβατούν μεταξύ νομιμότητας και παρανομίας, οπότε πρέπει να είσαι ιδιαίτερα προσεκτικός, γιατί ποτέ δεν ξέρεις ποιος μπορέι να κρύβεται πίσω από μια IP. Μια επιλογή λίγο μεγαλύτερης εμπιστοσύνης, ίσως να είναι τα κρυπτογραφημένα μηνύματα μεταξύ των hackers οι οποίοι νωρίτερα θα έχουν ανταλάξει δημόσια κλειδιά μεταξύ τους με σκοπό τουλάχιστον, να μπορεί να διαβάσει το μήνυμα μόνο αυτός που γνωρίζω πως έχει το κλειδί.Αλλά εμπιστοσύνη δεν μπορώ να πω πως υπάρχει.
Οι πρώτες επιθέσεις του [P.A.O.K] και η “greyhat” προσέγγισή του
SecNews: Ποιές οι συμβουλές σας σε νέα παιδιά που ασχολούνται με το security ή/και με το hacking.
[P.A.O.K]: Η συμβουλή μου είναι να είναι προσεκτικοί και να έχουν συνηδειτοποιήσει τι ακριβώς είναι αυτό που κάνουν ή θέλουν να κάνουν. Αυτό το λέω γιατί, ο ψηφιακός κόσμος, είναι ένας κόσμος που τίποτα δεν σβήνεται και τίποτα δεν χάνεται. Πάντα μπορείς να βρεις μπελάδες, ακόμα και για κάτι που μπορεί να έγινε μήνες ή χρόνια πριν.Είναι μια ιδιαίτερη ενασχόληση το Hacking, αποκτάς γνώσεις, βλέπεις τα πράγματα με άλλο μάτι, αλλά πάνω απ’ όλα πρέπει να ξέρεις τι κάνεις και τις συνέπειες αυτού.
[P.A.O.K]: Η συμβουλή μου είναι να είναι προσεκτικοί και να έχουν συνηδειτοποιήσει τι ακριβώς είναι αυτό που κάνουν ή θέλουν να κάνουν. Αυτό το λέω γιατί, ο ψηφιακός κόσμος, είναι ένας κόσμος που τίποτα δεν σβήνεται και τίποτα δεν χάνεται. Πάντα μπορείς να βρεις μπελάδες, ακόμα και για κάτι που μπορεί να έγινε μήνες ή χρόνια πριν.Είναι μια ιδιαίτερη ενασχόληση το Hacking, αποκτάς γνώσεις, βλέπεις τα πράγματα με άλλο μάτι, αλλά πάνω απ’ όλα πρέπει να ξέρεις τι κάνεις και τις συνέπειες αυτού.
SecNews: Μπορείτε να θυμηθείτε την πρώτη φορά που ασχοληθήκατε με το hacking?
[P.A.O.K]:Με το hacking ασχολήθηκα για πρώτη φορά γύρω στα 15-16 μου. Ήταν ένας κλάδος που πάντοτε με συνάρπαζε και πάντα ήθελα να γίνω κομμάτι του. Ανέκαθεν με έτρωγε η απορία πως το κάνουν αυτό , πως το κάνουν εκείνο κτλ.
Ποτε δεν το είχα δει σοβαρά όμως να ασχοληθώ. Ώσπου σε καποια φάση που έιχα αγοράσει έναν νέο υπολογιστή, είχα εγκαταστήσει ένα firewall για προστασία κτλ. και την επόμενη ημέρα που τον δούλευα άρχισα να βλέπω ειδοποιήσεις από το firewall για απόπειρες εισβολής στον υπολογιστή μου από κάποιες διευθύνσεις κτλ. Αυτή ήταν και η αφορμή για να ασχοληθώ.
[P.A.O.K]:Με το hacking ασχολήθηκα για πρώτη φορά γύρω στα 15-16 μου. Ήταν ένας κλάδος που πάντοτε με συνάρπαζε και πάντα ήθελα να γίνω κομμάτι του. Ανέκαθεν με έτρωγε η απορία πως το κάνουν αυτό , πως το κάνουν εκείνο κτλ.
Ποτε δεν το είχα δει σοβαρά όμως να ασχοληθώ. Ώσπου σε καποια φάση που έιχα αγοράσει έναν νέο υπολογιστή, είχα εγκαταστήσει ένα firewall για προστασία κτλ. και την επόμενη ημέρα που τον δούλευα άρχισα να βλέπω ειδοποιήσεις από το firewall για απόπειρες εισβολής στον υπολογιστή μου από κάποιες διευθύνσεις κτλ. Αυτή ήταν και η αφορμή για να ασχοληθώ.
Αμέσως άρχισα να προσπαθώ να ψάξω από που είναι αυτές οι διευθύνσεις, τι ακριβώς προσπαθούν να μου κάνουν και το ένα ερώτημα έφερε το άλλο .Έτσι έγινε μέρος μιας κοινότητας με πολύ διάβασμα για αρχή και πολύ τροφή για σκέψη αργότερα.Αν και ψηφιακός παραμένει ένας συναρπαστικός κόσμος.
SecNews: Τι σας ώθησε να πραγματοποιείτε τις επιθέσεις. Σε ποια κατηγορία εντάσετε τον εαυτό σας (blackhat/greyhat/whitehat hacker)
[P.A.O.K]: Δεν έκανα ανέκαθεν επιθέσεις σε διακομιστές.Στην αρχή έμενα ικανοποιημένος κάνοντας την πλάκα μου, το γούστο μου που λένε με προσωπικούς υπολογιστές ιδιωτών.
Αργότερα όμως σαν πιο ενεργό μέλος της κοινωνίας, μπαίνοντας στην αγορά εργασίας και αντιμετωπίζοντας τα προβλήματα του κάθε πολίτη αυτής της χώρας, άρχισα να θέλω να ακφράσω την άποψη μου, ίσως και άλλων συνομίλικων μου ταυτόχρονα μέσω του hacking. Διαπίστωσα ότι οι επιθέσεις σε διακομιστές ήταν ένα πεδίο που μπορούσα να την εκφρασω, ένα είδος graffiti με ανάρτηση μηνύματος που θα δεί πολύς κόσμος
Αργότερα όμως σαν πιο ενεργό μέλος της κοινωνίας, μπαίνοντας στην αγορά εργασίας και αντιμετωπίζοντας τα προβλήματα του κάθε πολίτη αυτής της χώρας, άρχισα να θέλω να ακφράσω την άποψη μου, ίσως και άλλων συνομίλικων μου ταυτόχρονα μέσω του hacking. Διαπίστωσα ότι οι επιθέσεις σε διακομιστές ήταν ένα πεδίο που μπορούσα να την εκφρασω, ένα είδος graffiti με ανάρτηση μηνύματος που θα δεί πολύς κόσμος
.Έτσι έχοντας αποκτήσει πλέον και τις ανάλογες γνώσεις, άρχισα να αλλοιώνω ιστοσελίδες στέλνοντας μηνύματα προς πάσα κατεύθυνση ή επιδίωξα να συλλέγω στοιχεία και έγγραφα που εγώ σύμφωνα με την ταπεινή μου άποψη θεωρούσα σημαντικά.Τον εαυτό μου τον εντάσσω στην κατηγορία των Greyhat Hackers
.Ποτε δεν ξέρεις πως θα αντιδράσεις σε κάτι που θα βρεις ή θα διαβάσεις, ενώ κάποιοι δεν θέλουν να το διαβάσεις για παράδειγμα.
SecNews: Έχετε μια εκτίμηση πόσους servers έχετε υπό τον έλεγχο σας?
[P.A.O.K]: Δεν έχω ακριβή άποψη τώρα που μιλάμε αλλά είναι αρκετοί στο σύνολο τους.Πάντα χρειάζεται να έχεις πρόσβαση όπου μπορείς με οποιονδήποτε τρόπο.Μπορεί να σου φανεί χρήσιμο σε κάποια φάση.Μπορείς να κάνεις διάφορα αν έχεις πρόσβαση σε διακομιστές.
[P.A.O.K]: Δεν έχω ακριβή άποψη τώρα που μιλάμε αλλά είναι αρκετοί στο σύνολο τους.Πάντα χρειάζεται να έχεις πρόσβαση όπου μπορείς με οποιονδήποτε τρόπο.Μπορεί να σου φανεί χρήσιμο σε κάποια φάση.Μπορείς να κάνεις διάφορα αν έχεις πρόσβαση σε διακομιστές.
[button type=”button” size=”btn-medium” block=”btn-block”]Περιγραφή των επιθέσεων.Η άποψή του για τα DDoS[/button]
SecNews: Μπορείτε να περιγράψετε την διαδικασία επίθεσης με απλά λόγια (χωρίς φυσικά να αποκαλύψετε λεπτομέρειες που δεν πρέπει να δημοσιοποιηθούν)
[P.A.O.K]: Μια συνήθης διαδικασία είναι να συλλέξεις όσα περισσοτερα στοιχεία μπορείς για κάποιον στόχο.Τα πάντα…Όλα μπορεί να φανούν χρήσιμα στην πορεία.Μετα ψάχνεις να βρεις αδυναμίες του συστήματος και που μπορείς να “χτυπήσεις” ώστε να καταφέρεις αυτό που θέλεις.
Εννοείται πως κοιτάς και “να καλύψεις τα νώτα σου”, όσο το δυνατόν.Τώρα το αν θα τα καταφέρεις ή σε τι σημείο μπορείς να φτάσεις για να τα καταφέρεις και τι τεχνικές θα ακολουθήσεις για να το κάνεις, είναι προσωπικό του καθενός και διαφέρει από περίπτωση σε περίπτωση.
[P.A.O.K]: Μια συνήθης διαδικασία είναι να συλλέξεις όσα περισσοτερα στοιχεία μπορείς για κάποιον στόχο.Τα πάντα…Όλα μπορεί να φανούν χρήσιμα στην πορεία.Μετα ψάχνεις να βρεις αδυναμίες του συστήματος και που μπορείς να “χτυπήσεις” ώστε να καταφέρεις αυτό που θέλεις.
Εννοείται πως κοιτάς και “να καλύψεις τα νώτα σου”, όσο το δυνατόν.Τώρα το αν θα τα καταφέρεις ή σε τι σημείο μπορείς να φτάσεις για να τα καταφέρεις και τι τεχνικές θα ακολουθήσεις για να το κάνεις, είναι προσωπικό του καθενός και διαφέρει από περίπτωση σε περίπτωση.
SecNews: Πόσο εύκολο είναι να πραγματοποιηθεί τελικά μια επίθεση;
[P.A.O.K]: Δεν είναι εύκολο, τις περισσότερες φορές, τουλάχιστον εκεί που εγώ στοχεύω.Θέλει πολύ ψάξιμο και να μπορείς να χρησιμοποιήσεις διάφορες τεχνικές. Κάποια ίσως σε βοηθήσει να καταφέρεις αυτό που θέλεις. Μιλάμε πάντα για περίπτωση που εσύ βάζεις κάποιον στόχο, και όχι τυχαία στοχοποίηση με αυτοματοποιημένα εργαλεία. Στις περιπτώσεις που έχει βρεθεί μια public αδυναμία ενος λογισμικού και ψάχνεις απλά να βρείς στόχους μέσω google, όπως κάνουν οι περισσότεροι, εκεί τα πράγματα είναι πολύ πιο εύκολα.
[P.A.O.K]: Δεν είναι εύκολο, τις περισσότερες φορές, τουλάχιστον εκεί που εγώ στοχεύω.Θέλει πολύ ψάξιμο και να μπορείς να χρησιμοποιήσεις διάφορες τεχνικές. Κάποια ίσως σε βοηθήσει να καταφέρεις αυτό που θέλεις. Μιλάμε πάντα για περίπτωση που εσύ βάζεις κάποιον στόχο, και όχι τυχαία στοχοποίηση με αυτοματοποιημένα εργαλεία. Στις περιπτώσεις που έχει βρεθεί μια public αδυναμία ενος λογισμικού και ψάχνεις απλά να βρείς στόχους μέσω google, όπως κάνουν οι περισσότεροι, εκεί τα πράγματα είναι πολύ πιο εύκολα.
SecNews: Συμμετέχετε σε άλλου είδους επιθέσεις όπως πχ DDoS;
[P.A.O.K]: Όχι δεν συμμετέχω σε τέτοιου είδους επιθέσεις, προτιμώ να δουλέυω μόνος μου ή με κάποιον που γνωρίζω καισκεφτόμαστε με τον ίδιο τρόπο και έχουμε κοινό σκοπό.
[P.A.O.K]: Όχι δεν συμμετέχω σε τέτοιου είδους επιθέσεις, προτιμώ να δουλέυω μόνος μου ή με κάποιον που γνωρίζω καισκεφτόμαστε με τον ίδιο τρόπο και έχουμε κοινό σκοπό.
Τι σκέφτεται για το μέλλον
SecNews: Έχετε κάποιο πρότυπο από Ελλάδα ή εξωτερικό?
[P.A.O.K]: Πρότυπο μου είναι ένας hacker που τον έχω θαυμάσει σε πολυ δυνατά χτυπήματα, αν και βρίσκεται σε “αντίπαλη” χώρα. Αυτός είναι ο Agd_Scorp του τούρκικου Hacking group Turkguvenligi. Άτομο με πολλές γνώσεις !
[P.A.O.K]: Πρότυπο μου είναι ένας hacker που τον έχω θαυμάσει σε πολυ δυνατά χτυπήματα, αν και βρίσκεται σε “αντίπαλη” χώρα. Αυτός είναι ο Agd_Scorp του τούρκικου Hacking group Turkguvenligi. Άτομο με πολλές γνώσεις !
SecNews: Eίχατε ποτέ νομικές περιπέτειες ή εμπλακεί σε κάποια υπόθεση απο την ενασχόλησή σας με το hacking;
[P.A.O.K]: Ευτυχώς μέχρι στιγμής δεν είχα περιπέτειες με την Δίωξη Ηλεκτρονικού Εγκλήματος και ελπίζω να μην έχω. Απο μακριά και αγαπημένοι :)
[P.A.O.K]: Ευτυχώς μέχρι στιγμής δεν είχα περιπέτειες με την Δίωξη Ηλεκτρονικού Εγκλήματος και ελπίζω να μην έχω. Απο μακριά και αγαπημένοι :)
SecNews: Πως βλέπετε τον εαυτό σας μετά από 5 χρόνια
[P.A.O.K]: Τι να σας πω… κανείς δεν ξέρει τι γίνεται σε 5 χρόνια. Μακάρι να έχω ακόμα περισσότερες γνώσεις στον τομέα των υπολογιστών και της ασφάλειας και με ισχυρότερα High Profile χτυπήματα.
[P.A.O.K]: Τι να σας πω… κανείς δεν ξέρει τι γίνεται σε 5 χρόνια. Μακάρι να έχω ακόμα περισσότερες γνώσεις στον τομέα των υπολογιστών και της ασφάλειας και με ισχυρότερα High Profile χτυπήματα.
[signoff]Η συντάκτης του SecNews, διαπίστωσε ότι ο [P.A.O.K] εμφανίζει εαυτόν ως “hacker με αιτία”. Φυσικά, στον αντίποδα, τα ζητήματα που αναδύονται αναφορικά με το ποινικό & νομικό σκέλος των αναφερομένων πράξεων, δεν μπορεί να τα αγνοήσει κανείς, κυρίως δε τα σχετιζόμενα με τα προσωπικά δεδομένα. Κύριο μέλημα της συντεταγμένης πολιτείας, είναι να πραγματοποιήσει χρήση τέτοιων δεξιοτήτων για το καλό του κοινωνικού συνόλου και της χώρας, προστατεύοντας επαρκώς τους νέους από παραβατικές συμπεριφορές. Κάτι τέτοιο είναι εφικτό, εφόσον στραφεί η δυναμικότητα νεών σαν τον [P.A.O.K] αλλά και πολλών άλλων, ενασχολούμενων με το “hacking” , προς την ορθή κατεύθυνση (όπως έχει γίνει αντίστοιχα στην Κίνα και στις Η.Π.Α.). Το SecNews ευχαριστεί τον [P.A.O.K] για την παραχώρηση της συνέντευξης.[/signoff]
