09.10.2017
3 min læsetid

Sådan bliver du hacker: Det er skræmmende nemt

Det er ulovligt og etisk forkert at hacke. Men det er også chokerende enkelt. Bliv klogere på, hvor let de fleste af os tager på udfordringerne.

Rene Pedersen

af Rene Pedersen

It-sikkerhed er så småt kommet på dagsordenen i danske virksomheder og i medierne. Og det er ikke så sært, for som Center for Cybersikkerhed viser i deres årlige trusselsvurdering, er truslen fra cyberspionage og truslen fra cyberkriminalitet mod danske myndigheder og private virksomheder “meget høj” i 2017. Det skyldes blandt andet, at det i dag er blevet meget let at udføre et angreb.

Hvor det tidligere krævede dygtige it-folk for at udføre et cyberangreb, findes der i dag udførlige guides og brugervenlige produkter til salg på eBay o.l., der gør det chokerende enkelt og billigt at lægge statslige hjemmesider ned eller gå i gang med alt fra phishing, malware eller man in the middle-angreb.

Spørgsmålet er så, om man skal tie de muligheder ihjel og håbe, at folk med onde hensigter ikke finder frem til dem? Eller skal vi hellere få metoderne helt frem i lyset, så vi kan få en overordnet diskussion af sikkerheden i de it-løsninger, som vi omgiver os med? For Keld Norman, som arbejder med it-sikkerhed i Dubex, er svaret enkelt. Han prædiker “omvendt awareness”.

“Det her oplæg er lidt en skæv vinkel. Set fra en hackers synspunkt: Hvordan kommer man i gang med at hacke,” forklarede Keld Norman blandt andet, da han holdt oplæg om cybersikkerhed hos IDA, inden han forsvarede sit foretagende.

“Jeg håber, at I kan tage det som et konstruktivt input til et modtræk i det skakspil, som man normalt spiller med hackerne”.

Speedsnakkende Keld Normans giver en tour de force i forhold til de mange typer angreb, som du kan lave uden nogen videre forståelse for it. Der bliver blandt andet vist, hvordan man laver sit eget botnet, hvad man kan bruge det til, hvordan man tjener penge på det. Der bliver vist, hvordan man laver phishing mails, Ransomware og Malware, Man in the middle-angreb. Men også hvor man køber alt fra våben, stoffer, lejemordere.

Keld Norman fortæller blandt andet, hvor let det er at angribe de tusindvis af små enheder, som vi uden den store omtanke kobler på internettet i disse år.

16.408 angreb på 15 timer

“IoT er rigtig hot i øjeblikket. En klassiker er, at man hacker et wi-fi accesspoint. Og så lægger man den til salg på e-Bay som “spritnyt fejlkøb”, hvor nogen installerer den, og så har hackeren en bagdør ind og ud igen. Og fordi der går lang tid, før man skifter en router, så er det en god indgang,” forklarer Keld Norman.

Under sit oplæg viser Keld Norman blandt andet en liste med blot 61 forskellige logins og koder, som fungerer på hovedparten af verdens IoT-enheder, hvis du ikke ændrer standard-kodeordet i en fart.

“Jeg satte en honeypot op for 3 dage siden. Og jeg kunne konstatere, at cirka hver 3-4 sekund kom der et angreb. På 15 timer fik jeg 16408 logins,” siger han.

En honeypot er slang for en “lokkedåse”, som kriminelle kan bruge til at skaffe adgang til andre menneskers computere, telefoner o.l. Men den kan også bruges af folk som Keld Norman til at blive klogere på, hvordan hackerne opererer. Grundlæggende handler det om at koble en computer/maskine på internettet og vente på at den bliver kapret af hackerne. De tusindvis af angreb på denne honeypot fortæller også Keld Norman, at det ikke bare er i teorien, at vores IoT-enheder kan blive angrebet af hackere.

“Forestil jer, at I køber en internet of things-ting og kobler den på nettet. Hvor lang tid tror I, at I har til at gå ind og rekonfigurere og sætte et nyt password? Kan I nå det?” spørger han og svarer selv.

“Most likely not”.

Under oplægget viser Keld Norman også, hvordan man skaber falske wi-fi accesspoints, som intetanende gæster kan koble sig på til fx konferencer.