Preorder drugiego tomu książki sekuraka: Wprowadzenie do bezpieczeństwa IT. -15% z kodem: sekurak-book
Ransomware – ofiara zaatakowała odwetowo szantażystę i wykradła mu klucze krypto. Dostępne są na Pastebin
Za odszyfrowanie dysku QNAPa miał zapłacić w BTC około 2000 PLN. Sam ransomware o nazwie Muhstik jest dość porządny, ale jego infrastruktura backendowa – mierna:
i hacked back this criminal and get the whole database with keys, here it is:
https://pastebin.com/N8ahWBni
Tabela z kluczami deszyfrującymi ma prawie 3000 pozycji – nie najgorzej ;)
Ransom keys…
Czy hack-back jest legalny? Zdecydowanie nie. Choć chcielibyśmy zobaczyć pozew sądowy twórcy tego ransomware wytoczony naszemu bohaterowi…
–ms
czy hackback jest legalny….
niestety gdybyśmy zobaczyli pozew, to sprawa odbyłaby się w granicach prawa. Jednak sztywne trzymanie się prawa w tym przypadku byłoby gwałtem na zdrowym rozsądku.
Przepis dzisiaj wygrywa ze zdrowym rozsądkiem. Co z tego, że żaden normalny człowiek nie potępiłby sądu, który w przypadku takiego pozwu stwierdziłby niewinność „odwetowca”, ba każdy normalny człowiek oczekuje od organów sprawiedliwości, ale o zgrozo sprawiedliwość jest wartością mniejszą niż „państwo prawa” prawo ponad wszystko, nawet ponad sprawiedliwość.
Wszyscy to wiemy i czujemy, że sprawiedliwość nie może być winna, a jednak tutaj by była.
Nie byłaby, bo to prawo byłoby winne, a nie sprawiedliwość. To są dwie różne rzeczy, prawo nie musi być sprawiedliwe.
Tak samo to co demokratyczne nie musi być zgodne z prawem czy sprawiedliwością
Ciekawy człowiek. Nie zabezpieczył swojego NAS’a a potrafi hakować hakerów.
właśnie to mi się jako pierwsze nasunęło na myśl. poderzany ten hacker-hacker.
… to był honeypot :-D
Realniejsza wydaje się sytuacja: „Szwagier, takie coś mi się na dysku zrobiło. Popatrzysz? A że się kumaty szwagier trafił XD
Dla mnie jest legalny. Kiedy na ulicy ktoś da Ci w papę masz prawo się bronić. „Najlepszą obroną jest atak”. Ktoś kozaczył i się doigrał. Napadnięty został sprowokowany i zareagował. Na miejscu sędziego uniewinnił bym gdyby doszło do procesu. „Dom jest moją twierdzą” – sprzęt jest moją twierdzą. ;-) Napastnik powinien się wziąć za ataki na jakichś pajaców a nie na porządnych ludzi.
A w ogóle to brawa dla tego pana . Tj. dla tego który ze zwierzyny stał się myśliwym. :-]
oh rly ?
a co zrobisz gdy cie zgwalca (:
a znasz historie zlodzieja, co siedzial zamkniety w domu wlasciciela, bo wlasciciel mial kurtyny antywlamaniowe i zlodziej go pozwał bo musial pic mocz bo wlasciciel zakrecil wode i oproznil lodowke przed wyjazdem xD
albo kolejny przypadek gdy zlodziej doznal rany krocza podczas napadu, pozwał sklep (:
albo zlodzieja ktory pozwał ludzi, ktorzy udostepnili twarze poszukiwanych z kamery xD
Dostałeś kiedyś w papę na ulicy. Ja tak i broniłem się tak, że agresor też dostał w papę (może trochę bardziej niż ja). Sprawa skończyła się tak, że mieliśmy obaj zarzuty o bójkę. Po konsultacji z prawnikiem sprawa została polubownie rozwiązana między nami ale niewiele by brakowało a bym był karany właśnie za bójkę tylko się broniąc. W opinii policji jednak za skutecznie.
Nikogo do niczego nie namawiam. W mojej ocenie własne życie i zdrowie jest droższe niźli papiery o niekaralności.
Strach pomyśleć gdyby człowiek szedł z dziewczyną i dwóch pajaców chciało by ją zgwałcić.
Pewnie by trzeba powiedzieć -bierta panowie ja nie mogę być karany. :-|
Co nam obca przemoc wzięła, szablą odbierzemy :)
Pytanie czy to jest scigane z urzedu ? ;)
AFAIR – nie. Na wniosek kolesia. „Wysoki sądzie, straciłem tyle pieniążków które mogli mi wpłacić zainfekowani. A ten łobuz wszystko popsuł. Niech płaci.” :P
„Wysoki Sądzie moja działalność ma charakter informacyjno-edukacyjny. Dzięki tym niewielkim pieniądzom które mi mieli zapłacić raz na zawsze zapamiętaliby o stosownych zabezpieczeniach. To tańsze niż zdradzieckie oraz pazerne firmy zdzierające miliony rocznie a zabezpieczające infrastrukturę swoich klientów. Poza tym 15% dochodu chciałem przeznaczyć na bezdomne zwierzątka na Paluchu a kolejne 5% na rekonstrukcję katedry Notre Dame. Rozumiem pozbawić mnie pieniędzy ale pozbawić te nieszczęsne zwierzęta pożywienia a Francję przepięknej a Francję cudu architektonicznego? Atakujący jest człowiekiem bez serca. Winniśmy się domagać maksymalnego wymiaru kary wraz z odszkodowaniem dla mnie. Niech to okrutnik raz na zawsze zapamięta każące ramię Temidy.” ;-E
W przypadku oskarżenia za „hack-back” próbowałbym się powołać na:
„Nie popełnia przestępstwa, kto w obronie koniecznej odpiera bezpośredni, bezprawny zamach na jakiekolwiek dobro chronione prawem. ”
Ale nie wiem czy można to zastosować w przypadku IT.
Poza tym zawsze trzeba brać pod uwagę najgorszy scenariusz,
ponieważ zarówno skutki ataku czasem mogą być różne jak i decyzje sądów.
Pomijając fakt niewspółmierności działań (wykradzenie danych na swoje potrzeby, a dodatkowa publikacja ich) obawiam się, że o obronie można mówić bezpośrednio przy ataku, a tu to raczej późniejsze przeciwdziałanie skutkom.
No właśnie ta publikacja to jest w pewnym sensie ochrona- inne ofiary, które już spotkało to co spotkało, mogą jeszcze ocalić swoje oszczędności i odzyskać dane za free :P
Nic innego w końcu poza tymi kluczami ransomware nie zostało opublikowane.
Zgadzam się że atak i upublicznienie danych trzeba traktować osobno. Wyobrażam sobie to tak:
Oskarżający musiałby udowodnić ze dane posiadał legalnie i są tylko jego własnością.
Natomiast drugi włamywacz i jednocześnie poszkodowany musiałby udowodnić ze są to klucze tylko ewentualnych poszkodowanych. Ponieważ obie strony byłyby oskarżone, to dodatkowo policja musiałaby także sama zebrać dane z obu ich komputerów w celu niwelowania zatajenia prawdy i przedstawić (wnioski?) sądowi na rozprawie.
Normalnie to chyba nikt nikogo nie skarży za znalezienie i upublicznienie kluczy (tych cyfrowych i tych realnych), zwłaszcza że „prawdziwy złodziej” mógłby się jeszcze bardziej pogrążyć.
Po pierwsze ujawniłby się, a po drugie musiałby wszystko ujawnić i mogły by wyjść na jaw inne przestępstwa.
„Dobrem chronionym prawem” może być również prywatna własność intelektualna. Nie widzę przeszkód w prowadzeniu tej sprawy z tego punktu, a dodajmy do tego kontratyp white-hata wprowadzony rok temu.
oczywiście że jest legalny bo ransomware jest traktowany jak terroryzm, wiec każda akcja mająca przeciwdziałać skutkom przestępcy , a tak właśnie jest gdy publikujemy klucze szyfrujace jest aktem przeciwko terrorystom. Co innego gdyby taki klucz odsprzedawał i czerpał z tego zyski.
Gdzie ransomware traktowany jest jak terroryzm? Nie chodzi o publikowanie kluczy tylko o sposób zdobycia dostępu do nich.
Na polskojęzyczne sądy bym raczej nie liczył skoro wśród swoich nie tylko tolerują ale i chronią ludzi z zarzutami to i zapewne wykazałyby słabość wobec przestępcy a nie ofiary. Już niejednokrotnie w polskojęzycznych sądach odwracano „kota ogonem”… Najwyższy czas, by to uległo radykalnej zmianie. A i samo prawo pozostawia wiele do życzenia i wymaga ewolucyjnych zmian nie przystając do współczesnej rzeczywistości.
Pytanie czy nie należało by tu zastosować przepisów o obronie koniecznej legalizując w ten sposób hackback… ?