KKTVCAM

Freitag, 23.05.2018 17:50

Ava öffnet nur Wiederholung die mit der höchsten Prioritätsstufe eingeteilte E-Mail, welche sie nur eine Minute vorher erhalten hat.  Den wer will schon am Freitag Abend noch lange arbeiten? Die E-Mail kam von einem Kunden und enthielt wie üblich eine ZIP Datei, in der sich die neuen Daten befanden. Ava‘s Unternehmen versendet Medikamente an Privatpersonen. Diese können die Medikamente online bestellen und müssen vorher nur das Arzt-Zeugniss einreichen. Ava klickt auf den Zip Folder, doch dieser öffnet sich zu ihrem Erstaunen erst viel später.

(Der Grund dafür ist eine leere in, sich verschachtelte Zip-Bombe.) AVA klickte auf das Rezept und auf das PDF welches die Unterschrift des Kunden enthält, doch auch dies geht ungewöhnlich lange. Also rief sie das Support-Desk der Firma an. Per VNC verbindete sich  ein Informatiker mit dem Computer. In der Aktivitätsanzeige konnte er erkennen, dass der NetworkD gerade sehr viel Resourcen benötigte. Er beendete das Programm und sagte AVA, dass dies aufgrund von einem Update passiert sei. 

Danach überprüfte sie, ob das Rezept korrekt ist. Dafür lud sie es auf den Überprüfungs & Backup Server hoch. Dieser bestätigte AVA die Bestellung. Ava ging danach ins Lager, um die gewünschte Créme herzustellen. Ava war zwar noch nicht fertig, aber sie musste nun nach Hause gehen.

Zuhause angekommen zog sie ihr schönstes blaues Kleid an, denn eine Freundin hatte sie zu ihrer Geburtstagsfeier eingeladen. Und wie das nun mal bei solchen Feiern ist, wurde es auch bei dieser Party sehr spät.

Samstag 00:45 - Der Linux Webserver der Firma, welcher die Rezepte validiert, lädt das Zip-Archiv vom Contentserver 192.168.1.99 herunter und öffnet dies per PHP.  Die Aufgabe des Server‘s ist die Erstellung von Bestätigungsanfragen, die an die Aussteller von den Rezepten gesendet werden. Damit die Bestellungen versendet werden, muss der zuständige Arzt auf den Link in der Bestätigungsemail klicken. Damit der Arzt aber wissen kann, ob das auch wirklich das gleiche Rezept ist, welches er ausgestellt hat, wird im das Rezept als PDF zugesendet.

Bevor die E-Mail aber versendet werden kann, muss die PDF Datei aber aus dem Zip-Archiv geholt werden und aus Sicherheitsgründen führt der Server dann noch einen Anti-Viren Scan durch.

Das PHP Script holte nun die Datei aus der Datenbank und dekomprimiert das ZIP-Archiv, was in der Nacht aber überdurchschnittlich lange dauerte. Während das Anti-Viren Programm noch mit dem Scannen beschäftigt war, versendete PHP die E-Mail per Mail() Funktion und schaltete den Nachladen Link für  das PDF Dokument frei. Dann stürzte das Anti-Viren Programm abprupt ab. Denn die ZIP-Archive enthielten nur Verknüpfungen auf fremde Server und auch auf Server-Interne Dolumente, welche der mutmassliche Angreifer wohl per Zufallsprinzip erraten hat. Da das Anti-Viren Programm nun nicht mehr in Betrieb war, konnte der Hacker seinen Virus einschleusen. Doch der Virus war geschickt, er löschte die Log Einträge über den Absturz des Anti-Viren Programmes und begann damit, vor sämtliche E-Mails ein <img Tag zu setzen und so die E-Fail Sicherheitslücke auszunutzen.

Samstag 01:02 - Ava sass im Taxi nach Hause, sie hatte sich entschieden, mit dem Taxi zu fahren, weil es schon spät war und sie sehr müde war. Gerade als der Taxifahrer um die Ecke raus aus der Strasse ihrer Freundin fuhr, entschied sie sich trotz ihrer Müdigkeit dazu, noch kurz die News auf ihrem Smartphone zu lesen und was sie dort las, liess ihr die Nackenhaare aufstehen:

Die erste Schlagzeile lautete: Hacker Gruppe aus dem Iran hackt grössten Schweizer Medikamenten Versender, über 10 GB unter dem Arztgeheimnis liegende Informationen erbeutet & geleakt. Zuerst konnte sie gar nicht glauben, was sie dort las, schliesslich verfügten ihre Server über eine gute Firewall, 24/7 Überwachung und über ein gutes Anti-Viren Programm. Während der TaxiFahrer in die Wohnstrasse von Ava einlenkte, war der Systemtechniker im Server-Überwachungsraum gerade damit beschäftigt, den offline-genommenen Server wieder zum laufen zu bringen, damit er über dessen Logs Informationen über den Angriff finden konnte. Zuhause angekommen, erinnerte sich Ava wieder an das Protokoll, welches die Mitarbeiter im Falle von einer Datenintegeitätsverletzung befolgen müssten. Also begann sie damit, ihr Firmen Laptop zu löschen, denn ihr Arbeitgeber hat auf jedem Gerät einen „Killswitch“ installiert, der alle Daten löscht.

Samstag 08:32 - Beim Kundenservice ist die Hölle los, bereits über 132 Kunden haben angerufen, um sich zu erkundigen, ob auch ihre Daten veröffentlicht wurden. Und leider konnten die Supporter keine erfreulichen Nachrichten nach aussen geben, denn aufgrund von den fehlenden Logs, war es praktisch unmöglich, herauszufinden welche Daten gestohlen wurden und welche nicht.