القصة الكاملة حول أختراق شركة سوني

أغلبنا سمع وشاهد عدة تقارير على شاشة التلفاز حول عملية الأختراق الآخيرة التى حدثت لشركة سوني والتى يعتقد بأن من قام بها هم قراصنة من كوريا الشمالية كون التهديدات التى وصلت بعد الاختراق كما سوف نرى لاحقا تطلب وبين قوسين (تأمر) الشركة بإيقاف عرض فلم The Interview الذي يستهزئ بالرئيس الكوري الشمالي وما سمعناه من تقارير وأخبار يمثل واحد بالمئة من العملية الكاملة التى لم يعرف بعد ما أبعادها كاملةً لنسمع القصة كاملة.

قبل الخوض في الآلية التى تم الأختراق من خلال لها لنتعرف أولا على حجم الأضرار العامة التى تسبب بها القراصنة نتيجة هذه العملية المؤلمة على أن نفصل فيما بعد اكثر فيما تم تسريبه من الشركة والذي بجد يعتبر مصيبة في حق الشركة.

• أكبر عملية قرصنة حدثت ربما في السنوات العشرة الآخيرة.
• 77 مليون أيميل أنسرق.
• 25 مليون حساب لمستخدمي سوني اتهكر.
• 10700 لبطاقات الخصم .
• 12700 بطاقة أئتمان.
• مراسلات سرية بين الموظفين تظهر عنصرية البعض.
• سيناريوهات لأفلام سوف تصور قريبا ومن بينها فلم جيمس بوند.
• خمس أفلام كان من المفترض أن يبدأ عرضها تسربت مثل Annie, Mr Turner, To Write Love On Her Arms
  
• أنخفاض أسهم بورصة سوني بنسبة 6,6 بالمئة.
• خسائر مبدئية تقدر بي 100 مليون دولار.
• و آخيراً سوني تعلن إيقاف عرض الفلم أو تأجيله…

في الثالث والعشرين من نوفمبر ظهرت صورة على أجهزة العاملين في شركة سوني تخبرهم بعملية الأختراق وتتوعدهم بنشر الكثير من المفأجاة في الـ24 من نوفمبر.

في أول تسريب قام به المخترقون الذين أطلقوا على أنفسهم أسم Guardians Of Peace أو فرسان السلام في واحد ديسمبر/كانون الأول, تم نشر 26 غيغا من البيانات وكانت على النحو الآتي

• 26.4 GB in size, containing 33,880 files and 4,864 folders.
• Includes 47,426 unique Social Security Numbers (SSN)
• 15,232 SSN belonged to current or former Sony employees
• 3,253 SSN appeared more than 100 times
• 18 files contained between 10,860 and 22,533 SSN each.

أمثلة على محتويات الملفات المسربة من ملف خاص بقسم الـ HR كان يحتوي على 402 موظف مع أرقام الضمان الاجتماعي وعناوين البريد الإلكتروني الداخلية، وكلمات السر الغير مشفرة.

بالأضافة إلى 3000 أسم مع تفاصيل الاتصال، وأرقام الهاتف، وتواريخ الميلاد، وعناوين البريد الإلكتروني، واستحقاقات العمل والعمال تفاصيل التعويض، وخطط التقاعد وإنهاء الخدمة والموظفين السابقين, تاريخ العمل والمرتبات التنفيذية والخطط الطبية وخطط طب الأسنان والأجناس، تعريفات الموظفين، وتقارير المبيعات، ونسخ من معلومات جواز السفر وإيصالات السفر، فضلا عن تفاصيل الأموال المدفوعة لشراء تذاكر السينما لبيعها إلى موظفي سوني. والكثير من الوثائق وأيصالات الدفع الخاصة بالزبائن…

Example of employee data found:

• One file (\HR\Benefits\Mayo Health\Mayo XEROX assessment feed) contains 402 full Social Security numbers, internal emails, plaintext passwords,  and employee names
• An additional 3000 or more Social Security numbers, names, contact details, contact phone numbers, dates of birth, email addresses, employment benefits, workers compensation details, retirement and termination plans, employees previous work history, executive salaries, medical plans, dental plans, genders, employee IDs, sales reports, copies of passport information and receipts for travel, as well as money order details to purchase movie tickets to resell back to the Sony staff. The leaked information also included documents, payment, and account information to order custom jewelry from Tiffany & CO via email.

أما التسريب الثاني في 3 ديسمبر/كانون الأول فكان في 33 ميغا فقط ولا تستهن بها ابداً فهي الأخطر كون أغلب محتوياتها كانت معلومات دخول مع كلمات السر لكل شيئ يخص سوني بما فيها السيرفرات والشهادات الأمنية وكلمات السر الخاصة بالـ FTP وحسابات اليوتيوب والفايسبوك وتويتر الخاصة بالشركة وكانت بأسم Bonus.rar

• Contains plaintext credentials (~ 500 total), server information, internal IP addresses and other data.
• List of security certificates for servers, users, and services, and a list of what each certificate is related to.
• Credentials include YouTube login information for the SonyPictures, Spidermanmovie, EvilDeadMoive, GrownupsTheMovie, and Thisistheend movie channels, complete list of older social media accounts for campaigns on facebook and twitter.
• 121 FTP plaintext credentials, including the main Sony Pictures FTP server.
• Plain text Credentials for major news and media sites like NY times, LA Times, Daily Variety, hollywoodreporter.com, indiewire.com.
• Plain text passwords in formats like “sony12345” for critical internal and forward facing services.
• Username passwords combos in a file named My PAsswords contain: novell, mediataxi, inflight, fidelity, spiDR, SPIRIT, sony style family center, FEDEX, Connect, SPTI, Acron TASS, SPE Courier, Concur, SPC Press, AIM, HR Connect, AMEX, outlook all in clear text with username and password combos.
• Accounting and payment information for AMEX for “The Interview” in plain text.
• Accounting and payment and other related credentials for “Death at a Funeral”

List.rar file summary:

• 1.8MB compressed
• Three files containing internal and external PC data, Linux servers, and Windows servers.

وفي الرابع من ديسمبر تم نشر هذه الصورة المأخوذة من سيرفر الشركة لملف أطلق عليه Password وفيه كل المصائب التى تم نشرها في اليوم السابق.

في الخامس من ديسمبر أرسل المخترقون رسالة إلى الشركة وأخبروهم بأنهم سوف ينشروا ملف تورنت لملفات حجمها 100 غيغا بالأضافة إلى دعوة عامة للأنضمام إليهم.

Anyone who loves peace can be our member.
Please tell your mind at the email address below if you share our intention.
Peace comes when you and I share one intention! jack.nelson-63vrbu1[at]yopmail.com You can download a part of Sony Pictures internal data the volume of which is tens of Terabytes on the following addresses.
These include many pieces of confidential data.
The data to be released next week will excite you more.

وبالفعل نفذ المخترقون وعدهم ونشروا التسريب الثالث الذي يخص شركة سوني في البرازيل ومحتوياته كانت على النحو الآتي

File SPE_03_01.RAR (Mostly from Sony Brasil)

• 30,916 individual Files, 2,970 Folders. 16.4 GB / 9.99 GB (Compressed)
• Banking statements, bank account information including wire transfer swift codes etc.
• Financial year reports
• Financial year forecasts
• Budget reports
• Overhead reports
• Receipt and transaction account statements of computer hardware, vehicle (toyota hilux, mitsubishi space wagon), car accessories going back to 1998
• Internal information for Sony Pictures Releasing International portal, screenshots, walkthroughs and other usage information.

File SPE_03_02.RAR (From Sony Pictures Imageworks, Vancouver, and Sony Pictures)

• 89,800 Files, 10,990 Folders. 88.6 GB / 48.9 GB (Compressed)
• Accounting information using Trintech Inc. software
• Licensing contracts
  • Access Digital (Exyflix)
  • Amazon Europe
  • Amazon Japan
  • Clickpay Multimedia
  • Comcast
  • Eagle Eye
  • Gaia
  • Google (YouTube)
  • Media Vault
  • M-GO
  • Microsoft
  • Playstation
  • Sena
  • Sony Electronics
  • Sony visual products in
  • video futur
  • Yota (aka more)
• Vendors (Too many to list)
• Sony India Financial reports.
• 528 Payrolls for Imageworks Canada with staff full names, contact numbers and residential addresses.
• British Columbia Personal Tax Credit Returns scans of several employees with full personal information including social security number.
• Photocopies and scans of driver licenses, passports and other tax related documents exposing a bunch of personal credentials, home addresses, full names, date of births, social security numbers and more.
• Federal Tax Returns

File SPE_03_03.RAR

• 113,002 Files, 39,612 Folders. 57.1 GB. / 48.1GB (Compressed)
• Incident reports with full names, incident locations, injurys and postions held with sony.
• SPE Global Security Guidelines v2
• UL training users, full names, addresses, email addresses and common set clear text passwords
• copies of employeement contracts and agreemtns, passports, drivers license, ssn, signatures.

الحقيقة التسريبات التى حدثت كثيـــــــــــرة جداً وربما المقال سوف يطول كثيراً ونحن نتحدث عنها وسوف أضع بعض الصور لما نشر حتى ننتهي بسرعة.

صورة البريد الخاص بي Amy Pascal رئيسة مجلس أدارة سوني وما وجد فيه أعتقد كافي لتدمير مستقبل الشركة لكون المحتوى الموجود فيه يتحدث عن مشاريع وتعاقدات وأتفاقيات مستقبلية تخص الشركة.

• APascal1.ost (A Microsoft Outlook mail spool), 3.78GB in size
• “APascal” is Amy Pascal, Co-Chairman, Sony Pictures Entertainment and Chairman, Sony Pictures Entertainment Motion Picture Group
• Over 5,000 emails included
• Most recent Inbox email is from November 23, 2014 (likely when the mail spool was taken)
• Emails consist of sony employee relations, personal invoices, and personal emails
• Includes talk and deals about upcoming movies
• Contains current and closing business deals

الصورة لملف تورنت نشر في العاشر من ديسمبر/ كانون الأول تحوي أبحاث ومشاريع وخطط مالية ومستقبلية وكاميرات سوني جديدة وأطنان من الداتا الخاصة بالعملاء والموظفين.

أما الصورة الآخيرة فهي لداتا عامة للشركة وطبعا حساسة ولا أريد أن أدخل في تفاصيلها لأن بجد وصلت لمرحلة الذهول لكثرة ماسرب من أسرار معلومات عن الشركة وبحسب الأيميل الذي أرسله فرسان السلام بأن هذا التسريب بمثابة هدية عيد رأس السنة وجاء في الرسالة مايلي:

We are preparing for you a Christmas gift.
The gift will be larger quantities of data.
And it will be more interesting.
The gift will surely give you much more pleasure and put Sony Pictures into the worst state.
Please send an email titled by “Merry Christmas” at the addresses below to tell us what you want in our Christmas gift

التسريبات كانت تقريبا بشكل يومي والفضائح بالجملة فهناك مئات الأيميلات أخترقت ونقل محتواها بالكامل مثل أيميل المدير التنفيذي لشركة سوني Michael Lynton وكان يحوي لوحده على أكثر من 40000 ايميل ولن يسعنا الوقت للتحدث عنها وسوف أضع في نهاية المقال المصادر التى نقلت منها حتى تقرأ وتتابع التفاصيل كلها بنفسك.

في التاسع عشر من ديسمبر أرسل المخترقون رسالتهم الآخيرة من عشرات الرسائل التى تم ارسالها للشركة تخبرهم بأنهم اكتفوا الآن بما نشروه وحذروهم بشكل غير مباشر بمجرد التفكير في نشر الفلم الخاص بالرئيس الكوري وهذا نص الرسالة

This is GOP. You have suffered through enough threats. We lift the ban. The Interview may release now. But be carful. September 11 may happen again if you don’t comply with the rules.
Rule#1: no death scene of Kim Jong Un being too happy
Rule#2: do not test us again
Rule#3: if you make anything else, we will be here ready to fight This is Guardians Of Peace.

بحسب بعض المصادر فالأختراق لم يكن في الآونة الآخيرة بل من فترة طويلة قد تعود إلى عام 2013 وخلال هذه الفترة كان المخترقون على تواصل كامل مع سيرفرات سوني وتحديداً سيرفرات أمريكا وتايلند وبولندا وايطاليا وبوليفيا وسنغافورة وقبرص وقد أختاروا هذا الوقت تزامناً مع أقتراب موعد خروج الفلم The Interview لكي يلعبوا لعبتهم. في الصورة القادمة سوف نرى الأيبيات المصابة (الخاصة بالسيرفرات) مع أسماء البرامج المزروعة فيها.

بالحديث عن آلية الاختراق التى حدثت فالتقارير كثيرة ومتضاربة لكن أهمها كان التقرير الذي نشره موقع US-cert الأمريكي والذي لم يذكر فيه أسم شركة سوني بالحرف وأكتفى بالقول major entertainment company تم من خلال دودة أطلق عليها SMB Worm Tool أستهدفت أنظمة مايكروسوفت وتحديداً  الـ SMB أو Server Message Block المسؤول عن عملية مشاركة الملفات على الشبكة.

SMB Worm Tool: تعتمد هذه الدودة على الـ brute force authentication attack وهذا النوع من الهجوم معروف للخبراء الأمنيين على أنه هجوم يقوم بتجربة كل الأحتمالات الممكنة لمعرفة كلمة السر مثل أن يبدأ تجربة كلمات سر معروفة Password, admin123, 123456 الخ… أو يبدا التجربة أنطلاقا من الصفر إلى أن يصل لكلمة السر المطلوبة للولوج إلى الجهاز وبالتالي السيطرة عليه, آلية السيطرة على الجهاز تتطلب معرفة أسم المستخدم وكلمة السر كما تحدثنا مسبقاً يليها أنشاء ملف مشاركة يحوي الـ CMD مع أعطاءه صلاحيات كاملة create a new share “cmd.exe /q /c net share shared$=%SystemRoot% /GRANT:everyone, FULL” ليلها مباشرة رفع أدوات التحكم بالجهاز والسيطرة عليه وبعدها يتم حذف الملف المشير CMD حتى لايشعر أي أحد بشيئ.

عندما نقول أن الأختراق تم بالأعتماد على الـ Brute Force Attack فهذا يبرئ الأنظمة والحمايات وربما يجرم المشرفين على النظام فهجوم مثل هذا لا حماية حقيقة منه إلا كلمة سر معقدة وطويلة ونستنتج أن المدة الفعلية لعملية الأختراق ربما تكون طويلة, فالأختراق إذا حدث فمن المؤكد انهم لم يصلوا للسيرفرات بشكل مباشر بل وصلوا أولا لأحد الأجهزة المربوطة على الشبكة ومن خلاله نجحوا في الوصول إلى السيرفرات العامة والسرية والدليل على هذا الكلام أن US-Cert لم تتحدث عن أي تحديث أو سد ثغرات معينة أو حتى أيقاف لأي خدمة كل ماطلبته هو أبقاء الانظمة (مايكروسوفت) والبرامج محدثة والحرص على توفير مضاد فايروسات جيد للأجهزة بالأضافة إلى أختيار كلمات سر معقدة.

الدودة بحسب US-Cert محملة بي خمس أدوات أضافية وهي : Listening Implant, Lightweight Backdoor, Proxy Tool, Destructive Hard Drive Tool, and Destructive Target Cleaning Tool.

ومن محتوياته نجد أنها قادرة على فتح أتصال وتأمين مدخل للمخترقين فبمجرد ما أن تدخل الجهاز حتى تبدأ الأنتشار وتثبيت نفسها وتفتح منافذ لهم وما أستغربته أيضاً قدرته على الوصول إلى الروترات وعمل port mappings لو في حال كانت الشبكة تعمل من خلال NAT, ونجد من بين الأداوت الـ Proxy tools التى تؤمن نقل الملفات وتنفيذ الأوامر ومراقبة الجهاز والعمليات اتلى تحدث عليه كما نجد أيضا أداة مخصصة لتدمير الهاردات ومسح محتوياته بلا رجعة واداة لمسح وتنظيف كل ما يمكن تسجيله ومراقبته logs Message.

الحقيقة وجدت نفسي تائه وأنا اقرا في آلية الأختراق فالدودة معقدة جداً وتم تطويرها بدقة عالية لكي تنفذ مخطط كامل يبدأ بأشياء بسيطة وينتهي بأمور معقدة وطبعا بدوري أحي العقول التى تفكر وتبتكر وأن كان الأمر تخريبي ودمر شركة عريقة مثل سوني إلا أن الأمر جيد لكي يعتبر الجميع فشركة مثل jpmorgan أحد أكبر البنوك في أمريكا والتى تنفق 250 مليون دولار على الامن والحماية تم أختراقها ايضاً من عدة أشهر وسرقة ملايين الملفات منها وهذه قصة آخرى قد نتحدث عنها في المستقبل.

الخلاصة: الأخترق تم بطريقة روتينية, وصلوا لأحد الاجهزة المصابة ومن خلاله وبأستخدام الـ brute force authentication attack تضخم الأمر وتمكنوا من سيرفرات وباقي أجهزة الشركة ونقلوا بحسب بعض التقارير أكثر من تيرا بايت من البيانات الحساسة إلى أجهزتهم وبعدها مسحوا الهاردات جميعها وقضوا على كل الآثار التى يمكن أن تكتشفهم وأزيدكم من البيت شعراً, قد يكون الأختراق والأدوات التى أستخدمت ليست إلا واجهة للتغطية على أحد الموظفين المشاركين من داخل شركة سوني في عملية الأختراق وهذا ما أشارت له بعض التقارير أيضاً.

المقال لازال مفتوحاً للتعديل فعندما باشرت البارحة الكتابة عن العملية تصورت بأن سوف أكتب خطوط عريضة عن الأختراق ووجدت أمامي أهوال وكوارث حدثت مع الشركة ولأني وعدت المتابعين بنشر القصة كاملة اليوم لم يسعفني الوقت لكي أحلل أكثر في آلية الأختراق وسوف أضع لكم المصادر الرئيسية التى أعتمدت عليها في كتابة المقال وهي المصدر الأول, الثاني, الثالث على أن يتم التعديل على المقال في حال توفر صورة أوضح لعملية الأختراق.

وآخيرا كل ماذكر عن التسريبات هو أشياء معلنة فقط عدا عن الغير معلن وأعتقد بأنه أسوء بكثير وخصوصاً ان الشركة نفذت كل ما طلبه الهكر منهم كون وجود بعض التقارير التى تتحدث عن أسرار شخصية لمسئولين كبار في الشركة ولممثلين معروفين وتحدثت عن علاقة بين الممثلة انجولينا جولي وليوناردوا ديكابيروا, ما نلاحظه أولاً القوة التدميرية التى تزداد يوماً بعد يوم للهكر والمخترقين والذين أثبتوا لنا أنه بالفعل لا يوجد نظام أمني مهما عظمت قوته ومتانته أن يكون محمي تماماً فدائما يوجد ثغرات وأذكر في أحد المرات طلب مني مدير أحد الشركات وضع السيرفر الخاص بشركته على الأنترنت لكي يتمكن هو وموظفيه من الدخول إليه متى أرادوا بأستخدام الـ Remote Desktop بالأضافة إلى أمكانية الوصول إلى الـ Web Server الخاص باحد برامج الحسابات, قمت بتحذيره بأن هذا الامر خطير وغير جيد حتى مع وجود مضاد فايروسات قوي لكن لم يستجب لي وأتبعت معه قاعدة “أربط الحمار في المكان الذي يريده صاحبه” فوضعت أيبي السيرفر في الـ DMZ الساعة التاسعة والنصف مساءاً. في اليوم التالي أتصلوا بي السيرفر لا يعمل, بعد البحث والتقصي وبدقائق أكتشفت أكثر من 15 فايروس و ديدان تم إدخالها إلى السيرفر وأخترقته بشكل كامل والأمر تم في الساعة 2,38 أي بعد خمس ساعات فقط من وضعه على النت وهذا أن كان يدل فهو يدل على أننا جميعنا مهددون بالأختراق مالم نتابع أجهزتنا عن قرب وخصوصاً ان السيرفر الذي وضعته أخترق بشكل عشوائي من خلال عملية Scan تحدث لحظيا لكل الاجهزة والأيبيات الموجودة في العالم, اتمنى أن تكونوا قد أستفدتوا من هذه التغطية المطولة قليلاً ولا تنسونا من دعواتكم ودمتم بود.