‘Script kiddies’ er et temmelig nedsættende udtryk, som bruges om personer, der uden særlige færdigheder bruger færdig-konfigurerede værktøjer til at hacke sig ind hos andre.
Nu er der lanceret et nyt og tilsyneladende ganske stærkt værktøj, som kan give ondsindede personer mulighed for at forvolde endnu større skade. Værktøjet hedder Autosploit og blev udgivet tirsdag i sidste uge af en person, som på Twitter kalder sig for VectorSEC.
Shodan og Metasploit
Værktøjet kombinerer to allerede kendte værktøjer, som bruges til både cyberangreb og forsvar mod sådanne. Det ene er søgemaskinen Shodan, som kan bruges til at finde internetopkoblede enheder med kendte sårbarheder.
Det andet er Metasploit, som er et meget anvendt værktøj til penetration testing. Det kan dermed også bruges til at udføre angreb, da værktøjets moduler tilsammen indeholder omtrent det, der eksisterer af kendt angrebskode.
Næsten helautomatiseret
Autosploit åbner ikke for andet end at opspore sårbare enheder og bruge Metasploit-moduler til at udføre angreb mod disse. Men det hele kan gøres næsten helautomatisk ved hjælp af få tryk på tastaturet. Det mest krævende er at installere det Python-baserede værktøj.
Det er også muligt at bruge Autosploit i mere målrettede angreb ved at udvælge specifikke platforme eller IP-adresser. Desuden kan man vælge, om der skal anvendes specifikke Metasploit-moduler, eller om der skal udføres et ‘Hail Mary’-angreb, hvor samtlige Metasploit-moduler tages i brug i angrebet på hver af enhederne.
Både ros og bekymring
Selv om VectorSEC har fået en del ros for udgivelsen, er der også mange, som er kritiske over for lanceringen og spørger til, hvilken nytte Autosploit potentielt har for lovlydige brugere.
I just released AutoSploit on #Github.
Why would you write this? It serves no legitimate security purpose, it is just malware.
— Andrew Cole (@colemination) 31. januar 2018
Andre mener, at Autosploit faktisk har noget nyt at byde på, og at it-sikkerhedsfolk uanset hvad burde være forberedt på, at noget sådant ville komme.
Why is this different from metasploit, powershell empire or any other framework that a 16 year old can use to bring down an average organization to its knees... Our industry is fuc**d up. We share weapons and write "not for evil" thinking it's a legit disclaimer...
— David Warshavski (@DWarshavski) 31. januar 2018
Nu, hvor værktøjet er ude, er der under alle omstændigheder ingen vej tilbage. Autosploit vil sandsynligvis føre til, at flere vil være i stand til at udføre brede angreb.
Vigtigheden af at installere sikkerhedsopdateringer med jævne og korte mellemrum er i hvert fald ikke blevet mindre med dette. Og måske kan man endda gå så langt som til at sige, at enheder, der ikke jævnligt sikkerhedsopdateres, bør kobles af internettet.
Artiklen strammer fra digi.no
...men det er dyrt at lave god journalistik. Derfor beder vi dig overveje at tegne abonnement på Version2.
Digitaliseringen buldrer derudaf, og it-folkene tegner fremtidens Danmark. Derfor er det vigtigere end nogensinde med et kvalificeret bud på, hvordan it bedst kan være med til at udvikle det danske samfund og erhvervsliv.
Og der har aldrig været mere akut brug for en kritisk vagthund, der råber op, når der tages forkerte it-beslutninger.
Den rolle har Version2 indtaget siden 2006 - og det bliver vi ved med.
