Det var en ukendt sårbarhed i IBM’s mainframe, der blev brugt til at lave den første bagdør i CSC’s systemer. Det forklarer politiets it-efterforsker, Flemming Grønnemose, der vidner på sjettedagen i danmarkshistoriens største hackersag.
Grønnemose, der startede sit vidneudsagn sidste retsdag, er en af flere it-efterforskere i sagen mod svenske Gottfrid Svartholm Warg og danske JT. Han har forklaret, hvordan hackere fik adgang til CSC’s mainframe.
Ifølge efterforskerens forklaring anvendte gerningsmanden et såkaldt ’zero day’ exploit, der er en ukendt sårbarhed på webserveren. IBM, som har leveret CSC’s mainframe, er ikke kommet med en fuld beskrivelse af, hvad sårbarheden gik ud på, siger efterforskeren. Sårbarheden blev udnyttet i alt 807 gange i april 2012.
Ifølge CSC’s log har gerningsmanden gennem sårbarheden i første omgang fået adgang til tjenestemandspension.dk. Det har i sig selv givet begrænset med rettigheder. Men herfra har gerningsmanden samlet informationer og forsøgt at kopiere forskellig information, og det er gennem sårbarheden lykkedes personen at redigere i et script på CSC's webserver.
Angrebet domæne optræder i chat-log
Scriptet mybrow.sh blev ændret til mybrow2.sh, og de to scripts er ens på nær en ændring af ordet Echo til ordet Eval. Ændringen har angiveligt gjort det muligt for hackeren at udføre kommandoer på mainframen og på den måde kopiere de personfølsomme data. Politiet betragter mybrow2.sh som den første bagdør til CSC’s systemer.
Bagdøren har åbnet for, at filer kan flyttes fra det lukkede miljø på mainframen til en offentlig mappe på CSC’s webserver. Derfra kan filerne downloades af alle, der kender det specifikke filnavn.
CSC’s log viser, at mybrow2.sh blev aktiveret første gang i april 2012, og at scriptet i alt er blevet aktiveret 1.818 gange. Det er sket fra en cambodjansk IP-adresse, som er blevet forbundet med Warg.
Anklager har i formiddagens afhøring lagt vægt på, at processen med at hente CSC’s data stoppede samtidig med anholdelsen af Warg. På Wargs computer har svensk politi fundet en række filer, som er identiske med filer, der er blevet kopieret fra CSC's mainframe. På computeren blev desuden fundet et script, der kan aktivere det redigerede CSC-script, mybrow2.sh, og dermed skulle kunne automatisere processen med at kopiere data.
Gerningsmanden oprettede yderligere to bagdøre til CSC’s systemer, men it-efterforsker Grønnemose kan ikke sige, om disse bagdøre også giver adgang til mainframen, fordi det ikke er blevet logget. Gerningsmanden gør også sig selv til superbruger i CSC’s system, hvilket er en normal hackerstrategi ifølge Flemming Grønnemose, der har en master i Computer Science.
Også sagens danske tiltalte har været i anklagerens søgelys i dag. Allerede i februar 2012 optræder domænet tjenestemandspension.dk nemlig i chatten, hvori JT diskutterer CSC med en person, der kalder sig My Evil Twin. JT har tidligere forklaret, at hans interesse for CSC’s mainframe bunder i nysgerrighed med hensyn til, om det kan lade sig gøre at hacke en mainframe.
Både Warg og JT nægter sig skyldige. De risikerer op til seks års fængsel, hvis de bliver dømt for hackerangrebet.
Version2 er til stede i retten på Frederiksberg.
...men det er dyrt at lave god journalistik. Derfor beder vi dig overveje at tegne abonnement på Version2.
Digitaliseringen buldrer derudaf, og it-folkene tegner fremtidens Danmark. Derfor er det vigtigere end nogensinde med et kvalificeret bud på, hvordan it bedst kan være med til at udvikle det danske samfund og erhvervsliv.
Og der har aldrig været mere akut brug for en kritisk vagthund, der råber op, når der tages forkerte it-beslutninger.
Den rolle har Version2 indtaget siden 2006 - og det bliver vi ved med.
