سيناريو هاكر أكثر من رائع من يوميات مهندس أمن المعلومات

من كم سنة، كنت قاعد بمكتبي و فجأة اجاني اتصال من أحد الاصدقاء . دار بيني و بينه هالحوار:
- هو : مهندس محمد، وينك؟؟
- أنا : بمكتبي بالشغل. في شيء؟؟
- هو : بتقدر تزور الدكتور فلان الفلاني؟ هو رئيس قسم كذا في الجامعة الفلانية.
- أنا : الموضوع ضروري يعني؟؟ ما بقدر يمر علي أو يحكي معي و اشوفله الموضوع عالتلفون؟؟
- هو : لا ما بنفع، لازم تكون عنده بمكتبه..
بعدها بساعة كنت رايح على مكتب الدكتور، لما وصلت و دخلتني السكرتيرة عنده و عرفته بحالي طلب مني اجلس أمام الكمبيوتر تبعه بالمكتب.

لما سألت الدكتور عن المشكلة، دار الحديث التالي :
- هو : مبارح آخر الدوام، تقريبا الساعة ٥ عصرا عملت shutdown لجهازي بالمكتب مثل العادة. لكن اليوم لما فتحت المكتب، لقيت الجهاز شغال!!! و خايف يكون حد مخترقني!!
- أنا: أنت متأكد إنك سكرت الجهاز مبارح و لقيته اليوم شغال؟؟
- هو : نعم متأكد من هالامر.
.
عشان أتأكد من كلام الدكتور و أتأكد إنه هالامر صحيح، دخلت على ال event viewer بالويندوز و شيكت ال event logs و فعلا، لقيت انه الجهاز انعمله shutdown قبل بيوم. الغريب بالموضوع، انه الجهاز رجع اشتغل الساعة ٣ او ٤ الفجر بشكل مفاجئ!!

المشكلة الأكبر، إني لقيت بال logs إنه في عدة محاولات فاشلة لعمل login على الجهاز، تبعها محاولة ناجحة. و هالمحاولات كانت من أمام الجهاز و مش remote، يعني في حد قاعد أمام الجهاز بالوقت المتأخر و بحاول يعمل login عالجهاز!! سألت الدكتور وقتها بعد ما حكيتله اللي لقيته بال logs عن هل ال password تبعتك سهلة؟؟ فكان رده، ال password هي تاريخ ميلاد بنتي!!!

هون عرفت ليش كان في عدة محاولات فاشلة بالبداية و بعدها كانت محاولة ناجحة. السبب غالبا إنه الشخص كان مجمع معلومات عن الدكتور، مثل اسماء اولاده، تواريخ ميلادهم، رقم تلفونه و غيرها من معلومات و حاول يستخدمها ك password للجهاز، لانه في كثير من الناس بتستخدم passwords مثل هيك سواء لاجهزتهم او ايميلاتهم او غيرها من حسابات.

سألت الدكتور بعدها عن هل في شيء مهم عالجهاز؟؟ أو هل في شيء مثل إمتحانات او مشاريع هالفترة؟؟ كان رده، نعم في عندي إمتحان كان صباح اليوم قبل ما اداوم بالمكتب و أكتشف هالموضوع.

هون شكيت إنه في حد هدفه يسرق معلومات من جهاز الدكتور و أغلب الظن انها أسئلة الامتحانات (امتحان نهائي لمادة تخصص). رحت بعدها شيكت ال MRU أو Most Recently Used و هي آخر الامور اللي تم استخدامها و تشغيلها عالكمبيوتر من ملفات أو برامج. و هالمعلومات بقدر احصل عليها بأكثر من طريقة مثل ال Windows Registry. لقيت انه اخر الملفات المفتوحة كانوا ملفين word، من اسمهم عرفت انهم اسئلة و أجوبة الإمتحان لمادة اليوم. رجعت بعدها لل event viewer و لقيت انه في USB Flash Memory توصلت بالجهاز بعد بعشر دقايق تقريبا من عملية الدخول الصحيحة للجهاز.

هيك صرت على يقين إنه في حد دخل الجهاز و سحب الملفات تبعات الامتحان على USB Flash Memory و طلع بعدها من المكتب. بس للأسف، ما في دليل على هوية الشخص اللي دخل المكتب و صعب تعرف مين هو حتى لو كان من طلاب المادة، لانه ببساطة في عدد كبير من الطلاب مسجلين هالمادة عند الدكتور..

اعتذرت من الدكتور و طلعت من عنده لحتى أرجع لشغلي. و انا راجع اجاني سيناريو خلاني أرجع لمكتب الدكتور. كان السيناريو هو : من خلال تجربتي الكبيرة مع الطلاب و غيرهم اللي كانوا يسلموني شغل على USB Flash Memory. كان ال Label على هال USB Flash Memories يكون بالغالب إسم صاحب الفلاش لحتى يقدروا يميزوها.

معرفتي وقتها كانت بسيطة بالأمور هاي و بدأت البحث على صديقي جوجل عن هل في طريقة أعرف ال label name لل USB Flash Memory اللي توصلت بالجهاز او لا؟؟ لقيت بعض الادوات المجانية، بس للأسف فقط بتعرض ال drive name مثل C: او D: و غيرها و هالشيء أصلا مش مفيد و بقدر أحصل عليها من Windows Registry.

المهم، بعد البحث و بالصفحة الثانية من نتائج جوجل (اللي أغلب الناس ما بتنتبهلها)، لقيت شخص كاتب article عن هالموضوع و انه في Sub Registry Key بنكتب فيه هالامر. دخلت عليه و لقيت انه أرقام!!! اول شيء خطر على بالي انه هالارقام هي ascii codes لكلام او نص، فحاولت اشوف شو هو.

بعد ١٠ دقايق اكتشفت انه الجواب كان قدامي و أنا مش منتبه، الرقم كان أشبه برقم تلفون أردني!!! عديت الخانات اكثر من مرة و شيكت على ال format لحتى أتأكد من هالامر و بالفعل، الرقم رقم تلفون!!!

طيب، كيف بدي أعرف مين صاحب الرقم!!! حاولت بال True Caller من جهاز الدكتور و لكن للأسف ما لقينا الاسم الفعلي، لانه مش كل شيء بكون مسجل بإسم صاحب الرقم الحقيقي. في ناس بتسجل الارقام على تلفوناتها بالقاب بينهم و بين بعض. بعدها قلت خليني أشوف مين صاحب هالرقم بطريقة ثانية.

الفيسبوك فيه طريقة يقدر من خلالها صاحب الرقم إذا كان هالشخص رابط حسابه برقمه (طبعا في شروط أخرى ايضا) من خلال ال password recovery للحساب. كتبت فقط رقم التلفون بعملية ال password recovery و ظهرلي إسم و صورة صاحب هالرقم واللي طلع أحد طلب القسم و منزل نفس المادة عن الدكتور اللي انسرقت أسئلتها..

منقول عن م/محمد خريشة