Cómo robar una máquina virtual en tres sencillos pasos

La semana pasada, un hilo en Spiceworks habló sobre un administrador de sistema deshonesto que había regresado para perseguir a esta empresa. Leí los diferentes hilos y uno en particular me llamó la atención: “Ustedes parecen un montón de policías. ¿No confías en nadie? Para confiar en alguien, debes ser digno de confianza tú mismo”.

Casi respondí que desearía poder ser tan ingenuo. Ojalá pudiera vivir en ese mundo, no es que sea pesimista. Soy optimista con experiencia. Y mi experiencia me dice que la única respuesta posible es “Confío en todos”. . . Pero sólo hasta cierto punto”.

Entonces, hablemos de cómo la confianza es un gran problema en el juego de la seguridad de TI. En primer lugar, escuchamos mucho que piratas informáticos han penetrado en algunas empresas y han robado información como números de tarjetas de crédito, etc. Seamos honestos, esto es algo serio y da miedo a la gente. ¡El miedo vende periódicos! Lo que no escuchamos son los miles de pequeños hackeos que ocurren porque no penetraron ningún sitio. No tenían por qué hacerlo. Ya estaban dentro.

Érase una vez un trabajo en una empresa. Hicieron software y fueron muy buenos en eso. Me incorporaron principalmente para que su entorno VMware despegara y funcionara. Tomaron su producto y lo modificaron para todo tipo de compañías de servicios eléctricos diferentes. Lo que habían hecho en el pasado era que cuando un desarrollador acudía a esa utilidad para ayudar a modificar el software, etc., tomaban una computadora portátil y, en algunos casos, hasta una docena de discos duros diferentes. Los discos duros tenían un sistema operativo, todas sus herramientas y el software para ese entorno. Cuando llegaban a esa utilidad, sacaban el disco duro de su computadora portátil, colocaban el que estaba etiquetado para esa empresa y seguían trabajando. Gran idea en teoría, pésima idea en ejecución. Las unidades se perdían, se rompían y, en algunos casos, se las robaban. De hecho, cuando recuperé todas las unidades, algunas no tenían nada que ver con el software, sino que estaban llenas de música, películas, etc.

Entonces llega VMware. Ahora la idea es que construyamos su entorno de desarrollo, los enviemos a una utilidad y luego todo lo que tienen que hacer es acceder a su trabajo para realizar ajustes y pruebas a través de VPN. También es una buena idea, pero de vez en cuando teníamos que enviarlos con un disco duro de todos modos. En este caso, simplemente lanzamos VMplayer en su computadora portátil y usé VM Convertor para copiar la VM. De esta forma podrían hacer su trabajo y no tener que preocuparse por una conexión VPN. Controlé los discos duros, se convirtieron en un elemento de recibo y, cuando el desarrollador se fue, se los entregué junto con la máquina virtual que necesitaban. Cuando regresaron, yo estaba sentado allí esperándolos.

¡Entra Donnie (que no era su nombre real)! Ahora era un desarrollador brillante, un individuo muy carismático y uno de esos tipos que deberían haber nacido con una etiqueta de advertencia. Su mayor don era ser un buen tipo y podía utilizar su encanto a tope. Podía tomar la idea más escandalosa y absurda y hacerla parecer razonable.

Entonces vio que yo entregaba y controlaba las máquinas virtuales y se me acercó con una idea. “Hola, rico. Sé que eres una persona increíblemente ocupada", dijo y, después de elogiarme durante cinco minutos, continuó: "¿Por qué no me das permiso para repartir las unidades y clonar las máquinas virtuales, etc.? . .”

¿Mencioné por casualidad que yo era oficial de policía cuando él todavía estaba en pañales, ocupaba cargos políticos y yo había desarrollado un medidor de tonterías muy afinado? Estaba sonando y una vocecita me advertía que no confiara en él hasta donde pudiera arrojarlo.

“Gracias, pero no”, dije.

"Pero . . .”

“¿Qué parte del NO no entendiste?”, le pregunté.

Se fue un poco enojado.

No regresó y pensé que había entendido el punto.

Si ejecuta un entorno virtualizado, una cosa que debería hacer es vigilarlo como un halcón. Necesita saber cómo se desempeña, y siempre necesita saber qué sucede en él, cómo se desempeña. Entonces, siempre doy un paseo virtual por mi entorno y compruebo las cosas. Y un día, estaba pasando y noté un par de máquinas que tenían instantáneas. ¿No es gran cosa dices? Bueno, las instantáneas son un problema para dejarlas tiradas y, en algunos casos, son las esperadas.

Así es como funciona. En el mundo de VMware, el llamado disco duro de una VM en realidad no es más que un archivo llamado archivo VMDK (y sí, puedes tener un montón de archivos VMDK). Muchos programas de respaldo funcionan tomando una instantánea. Esto pone al VMDK en un estado que llamamos inactividad. Eso significa que se ha silenciado y que los cambios realizados (como el archivo cargado) no se aplican al archivo VMDK. Al final de la copia de seguridad, el software fusiona la instantánea en el archivo VMDK y la instantánea ya no existe.

Pero aquí estaba yo, mirando una instantánea donde no debería estar.

Está bien, pensé. Un par de posibilidades. Primero, el software de respaldo se estropeó y no se limpió por sí solo. Por cierto, si obtiene fallas aleatorias en el software de respaldo, es posible que desee asegurarse de que vuelva a fusionar la instantánea. Posibilidad dos. Hice una instantánea y lo olvidé por completo. No recuerdo haber hecho una instantánea, pero tengo más de 50 años y ya sabes, la mente es la primera en irse. . .

Había una tercera posibilidad, pero mantuve bastante control sobre la contraseña, etc. Solo por diversión, revisé el registro en busca de instantáneas, encontré dónde se había creado una y pensé, eh, tal vez hice algo estúpido.

Así que limpié la instantánea y continué.

Una semana después apareció otra instantánea y dije ¡qué diablos! Profundicé más y esta vez me di cuenta de que había sucedido algo inesperado. Fui a ver a mi jefe y le pregunté si había hecho una instantánea. Por supuesto que no. ¿Le diste la contraseña de root? Por supuesto que no.

Fui, cambié la contraseña y consideré mi próximo paso. Claramente tenía un hacker. De alguna manera, la contraseña se había visto comprometida, así que esta vez creé una nueva contraseña y la hice increíblemente larga y compleja para la cuenta raíz. Pero también sabía por mis años como policía que a los ladrones les gusta regresar y sacudir puertas que han rendido un botín en el pasado.

También necesitaba rastrear a quien estuviera haciendo esto. Así que descargué y construí una caja SNORT. Para aquellos de ustedes que nunca han jugado con SNORT, déjenme decirles que este es uno de los mejores sistemas de detección de intrusiones que existen. El hecho de que sea gratis lo hace aún mejor.

Ahora, miré y esperé. Por cierto, había varias cosas que podría haber hecho para bloquearlo realmente, pero quería atrapar al tipo. Tenía un poco de sospecha y lo que pensaba era que la contraseña había sido comprometida a la antigua usanza. Alguien se lo dio al hacker. Si mis suposiciones fueran correctas, lo volverían a hacer.

Una semana después, tenía no una, sino dos instantáneas. Y ahora me fui a cazar. Snort escupió información de conexión para ese momento y rastreé los intentos exitosos y los intentos fallidos en una dirección IP. Obtuve la información, encontré qué estación de trabajo había alquilado esa dirección IP y fui a visitar al operador. Adivina qué, era mi amigo Donnie.

"Está bien", dije, volviendo a mi antiguo yo de policía. “¿Por qué haces lo que estás haciendo, Donnie?”

Le mostré mis pruebas y empezó a hablar. “Quería hacer lo que te dije, quitarte la presión. . .”

"Claro que sí, y es por eso que sigo repartiendo unidades de disco mientras tú no". Ya había realizado una verificación remota de su máquina y pregunté: "¿Dónde están las máquinas virtuales?"

“En un disco duro externo”, respondió después de un segundo. "Está en casa."

“¿Por qué en casa?” Yo pregunté.

“Los puse en un servidor”, dijo. “¡Y dejaré que mis amigos jueguen con ellos!”

Sentí que el color desaparecía de mi cara. El software, los datos, todo era material propietario. ¡Y ahora está en la red! "¡Muéstrame!"

Abrió Firefox, escribió una dirección y lo siguiente que vi fue una página web que mostraba un XP Box con un cliente vSphere y varias de las máquinas enumeradas. Ni siquiera se había molestado en cerrarlo bien y cualquiera podía acceder a él.

Asenti. Mi peor pesadilla se estaba desarrollando ante mis ojos y oídos. "¿Cómo conseguiste las máquinas virtuales?" Yo pregunté.

Pareció incómodo por un momento y luego explicó. “Inicié sesión a través del cliente vSphere y tomé una instantánea. Luego pude copiar los archivos VMX y VMDK a mi disco duro externo. ¡Los llevé a casa y los abrí en VMPlayer!”

“Y por eso estamos teniendo esta conversación porque te olvidaste de limpiar lo que ensucia”. Era hora de hacer la pregunta cuya respuesta ya sabía. "¿De dónde sacaste la contraseña?" Yo pregunté. “Les pedí que no te lo dijeran porque tú dijiste que no”. Miró a su alrededor y suspiró. “Les dije lo que quería hacer, pensaron que tenía sentido y me lo dieron”.

"Quienes son ellos'?"

"¡El presidente de la empresa y su jefe!"

En ese momento ya me había dado una palmada en la cabeza, sacudí la cabeza y gruñí: "¡Ven conmigo!".

Entramos en la oficina del presidente y le contamos lo que había encontrado y cómo su software propietario ahora estaba disponible en Internet para que cualquiera en el mundo pudiera robarlo.

Más tarde me enteré de la historia completa. Había hecho el baile deslumbrante, caramba, ¿no tiene sentido este baile?, y se lo tragaron. “Confiábamos en él”, lamentó el presidente de la empresa.

No hace falta decir que no estuvo trabajando allí por mucho tiempo más. Con la policía a cuestas, adquirimos su servidor web y su disco duro externo, y el mero hecho de que no fue a la cárcel se debe a que este incidente de seguridad habría sido demasiado vergonzoso para muchos.

Las cosas se calmaron un poco después de eso. En cuanto a Donnie, ya no he visto ninguna evidencia de que esté en TI. Por lo que sé, está vendiendo autos usados en algún lugar y vive feliz para siempre.