Programiście grozi 10 lat więzenia za kill switcha

Po tym jak 55-letni Teksańczyk został zwolniony z pracy, uruchomił złośliwy kod w systemach swojego byłego pracodawcy. Dobrze przygotował się do odpalenia swojego kill-switcha i poważnie utrudnił działanie przedsiębiorstwa. Teraz grozi mu odsiadka.

Plan niedoskonały

Ofiarą planu była firma EATON Corporation - specjalizują się w systemach zarządzania energią. Davis Lu, który przez lata pełnił tam funkcję Senior Software Developera, stworzył aplikację, która regularnie wywoływała metodę IsDLEnabledinAD („Czy Davis Lu jest aktywowany w Active Directory”). Gdy jego konto zostało usunięte, metoda ta aktywowała złośliwy kod, wywołując chaos w systemach firmy.

Po zwolnieniu w 2019 roku Lu miał dostęp do „ukrytego serwera” w Kentucky, na którym przechowywał aplikacje o nazwach takich jak „Hakai” (destrukcja) i „Hūnshuì” (letarg). Programy te, stworzone w Javie, były zakodowane tak, by po usunięciu jego konta z Active Directory wywołać zakłócenia w systemach.

Kiedy Lu został zwolniony, jego konto w Active Directory zostało deaktywowane, ale serwer pozostał aktywny. W wyniku tego błędu „kill switch” został uruchomiony, zakłócając pracę tysięcy użytkowników i powodując poważne straty finansowe w firmie.

Mądry EATON po szkodzie

Współpracownicy Lu odkryli działanie „kill switcha” dopiero po jego zwolnieniu, gdy aplikacja zdążyła już bardzo poważnie namieszać. Davis przyznał się do winy i teraz grozi mu nawet 10 lat więzienia. Termin ostatecznej rozprawy nie jest jeszcze znany.

Jak stwierdził agent FBI, Greg Nelsen:

„Niestety, Davis Lu wykorzystał swoje wykształcenie, doświadczenie i umiejętności, aby celowo zaszkodzić i utrudnić nie tylko swojemu pracodawcy bezpieczne prowadzenie działalności, ale także ograniczyć dostęp tysięcom użytkowników na całym świecie”.

Cała sytuacja ujawnia istotny problem związany z zarządzaniem dostępem i monitorowaniem systemów w firmach. EATON nie zastosowało odpowiednich środków ochrony przed wewnętrznymi zagrożeniami. Po zwolnieniu developera w 2018 roku, jego uprawnienia nie zostały odpowiednio ograniczone, a dostęp do systemów nie był monitorowany. Gdyby zastosowano audyty uprawnień, wówczas niepożądana aktywność, taka jak tworzenie „kill switcha” czy nieautoryzowanych serwerów, mogłaby zostać wykryta wcześniej.

Podsumowanie

Czy grożąca mu kara jest odpowiednia? Można dyskutować na ten temat. Ciekawi jesteśmy Waszych opinii, piszcie je w komentarzach. 

Chociaż sprawa zakończyła się wyrokiem dla Lu, jest to przestroga dla firm IT. Błędy w zarządzaniu dostępem i monitoringu mogą prowadzić do poważnych konsekwencji. Ochrona przed wewnętrznymi zagrożeniami powinna obejmować nie tylko procedury techniczne, ale także skuteczną kontrolę nad pracownikami po zmianach w ich rolach.