Ο Δημοτικός Οργανισμός Μεταφορών (MUNI) του San Francisco παραβιάστηκε και μολύνθηκε με ransomware το περασμένο Σαββατοκύριακο από κάποιον hacker που αυτοαποκαλείται Andy Saolis.
Λόγω της επίθεσης, όλοι οι επιβάτες μπορούσαν να πραγματοποιούν δωρεάν δρομολόγια με το μετρό, και ο hacker ζήτησε 100 Bitcoin ($ 73.000) λύτρα για να αφαιρέσετε το κακόβουλο λογισμικό, απειλώντας να διαρρεύσει 30 GB αρχείων που περιέχουν πληροφορίες πελατών, συμβάσεων και εργαζομένων.
Και όμως, όπως φαίνεται ότι ο Andy Saolis δεν ήταν και τόσο προσεκτικός όσο θα περίμενε κανείς από έναν hacker. Ένας ερευνητής ασφαλείας κατάφερε να παραβιάσει τη διεύθυνση του ηλεκτρονικού του ταχυδρομείου και να ανακαλύψει στοιχεία που θα είναι χρήσιμα κατά τη διάρκεια της έρευνας.
Το blog Krebs On Security αναφέρει ότι ο ερευνητής ασφαλείας που θέλησε να διατηρήσει την ανωνυμία του κατάφερε να αποκτήσει πρόσβαση διεύθυνση ηλεκτρονικού ταχυδρομείου του hacker, μαντεύοντας απλά την απάντηση σε μια μυστική ερώτηση που χρησιμοποιούσε. Με μια επαναφορά του κωδικού πρόσβασης μπόρεσε να αναλάβει τον πλήρη έλεγχο του λογαριασμού.
Ένα μήνυμα που υπήρχε στον φάκελο των απεσταλμένων αποδεικνύει ότι ο hacker επικοινώνησε πράγματι με τους υπεύθυνους της MUNI στις 25 Νοεμβρίου για να αναφέρι την παραβίαση και να ζητήσει λύτρα.
Το μήνυμα ανέφερε:
“Εάν είστε υπεύθυνος στην MUNI-RAILWAY ! Όλοι οι υπολογιστές σας/Server στο domain MUNI-RAILWAY κρυπτογραφήθηκαν με AES 2048Bit! Έχουμε 2000 κλειδιά αποκρυπτογράφησης! Στείλτε 100BTC στο Bitcoin Wallet μου, και τότε θα σας στείλουμε το κλειδί αποκρυπτογράφησης Για όλους τους δίσκους σας και τον διακομιστή !!”
Τα μηνύματα που υπήρχαν στο mailbox του hacker έδειχναν ότι το συγκεκριμένο hack δεν ήταν το πρώτο του. Από άλλες παραβιάσεις και επιθέσεις με ransomware φαίνεται ότι ο hacker είχε εισπράξει 140.000 δολάρια σε Bitcoin.
Είναι αυτονόητο ότι ο λογαριασμός μπορεί να χρησιμοποιηθεί από τους ερευνητές για να μάθουν την πραγματική ταυτότητα του Andy Saolis, και το blog KrebsOnSecurity σημειώνει ότι υπάρχουν ορισμένα emails από παροχείς υπηρεσιών φιλοξενίας. Οι κωδικοί πρόσβασης για ορισμένους από τους λογαριασμούς φιλοξενίας του hacker είχαν αποθηκευτεί σε μορφή απλού κειμένου και έτσι είναι δυνατή η πρόσβαση και σε αυτούς τους διακομιστές.
Εν τω μεταξύ, η MUNI ισχυρίζεται ότι έχει αφαιρέσει το κακόβουλο λογισμικό από τα συστήματα της και ότι τα δεδομένα της είναι ασφαλή, παρά τους ισχυρισμούς του Andy Saolis που δήλωνε ότι είχε στα χέρια του 30 GB αρχείων.
