black hat

Black hat to haker działający bez zgody właściciela systemu, dla własnej korzyści albo na szkodę ofiary. Niebezpiecznik opisuje „Black Hat hackers” jako tych, którzy przełamują zabezpieczenia w celach nielegalnych ^[1]. W polskich tekstach słowo zostaje w wersji angielskiej i przyjmuje polskie końcówki: black hat, black-hata, black-hatem. O realnych sprawcach media piszą jednak częściej „cyberprzestępcy” albo „atakujący”, a pisownię wielkimi literami zostawia się nazwie konferencji Black Hat.

Znaczenie i pochodzenie

Określenie należy do rodziny „kapeluszy”, które opisują intencje hakera, a nie jego umiejętności. Obok black hata stoją white hat, który testuje zabezpieczenia etycznie i wyłącznie w celu sprawdzenia podatności, oraz grey hat, który działa na rzecz bezpieczeństwa, ale potrafi przekroczyć granice etyczne lub prawne ^[1]. Ten sam artykuł mówi o etycznych „white-hatach” i nieetycznych „black-hatach” ^[1].

Starsze słowniki używały w tym miejscu innego słowa. RFC 1392 z 1993 roku nazywa „crackerem” osobę, która próbuje uzyskać dostęp do systemów komputerowych bez upoważnienia i często działa w złych zamiarach, w odróżnieniu od hakera ^[2]. Słownik NIST definiuje hakera wprost jako nieuprawnionego użytkownika, który próbuje uzyskać albo uzyskuje dostęp do systemu informacyjnego ^[3], czyli w znaczeniu bliskim black hatowi.

W języku potocznym słowo bywa używane żartobliwie. Sekurak w 2021 roku nazwał „blackhatem” rumuńskiego ministra obrony, który opublikował na Facebooku zdjęcia z tablicą z zapisanymi hasłami ^[8]. To przykład luźnego uzusu: chodziło o nieostrożność, a nie o włamanie.

Przeszłość black hata rzadko jest przepustką do pracy w bezpieczeństwie. Niebezpiecznik stwierdza wprost, że konflikty z prawem nie są dobrym sposobem na start kariery w tej branży ^[1]. Powodem jest zaufanie: pentester ma dostęp do bardzo wrażliwych danych organizacji, więc firmy niechętnie zatrudniają osoby z wyrokami ^[1]. Autor porównuje to do zatrudniania w sortowni poczty ludzi skazanych za przestępstwa przeciwko mieniu ^[1]. Legalne ścieżki, takie jak programy bug bounty i praca na zlecenie, dają te same umiejętności bez tego ryzyka.

Black hat w polskim prawie

Kodeks karny nie zna słowa „black hat”, ale opisuje jego typowe czyny. Artykuł 267 § 1 karze tego, kto bez uprawnienia uzyskuje dostęp do informacji dla niego nieprzeznaczonej, między innymi przełamując albo omijając zabezpieczenie ^[4]. Artykuł 268a dotyczy niszczenia, zmiany lub utrudniania dostępu do danych informatycznych, art. 269a zakłócania pracy systemu lub sieci, a art. 269b wytwarzania i udostępniania narzędzi do tych przestępstw ^[4]. Gdy celem jest korzyść majątkowa, w grę wchodzi art. 287, czyli oszustwo komputerowe: wpływanie bez upoważnienia na przetwarzanie danych albo zmiana zapisu danych, zagrożone karą od 3 miesięcy do 5 lat pozbawienia wolności ^[4].

Wyłączenie z art. 269c, z którego korzystają badacze działający w celu zabezpieczenia systemu, nie obejmuje black hata. Wymaga ono między innymi niezwłocznego powiadomienia dysponenta systemu i braku szkody ^[4].

W WordPressie

Za większością włamań na strony WordPress nie stoi człowiek, który wybrał konkretną ofiarę. Dokumentacja WordPressa zaznacza, że wiele ataków prowadzą autonomicznie złośliwe boty ^[6]; zob. złośliwe boty. Black hat pisze lub kupuje narzędzie, a automat wyszukuje strony z konkretną podatnością we wtyczce. Schemat poniżej pokazuje typowy łańcuch od luki do zarobku.

RYS. 1Od luki do zarobku

Dobrze udokumentowanym przykładem jest kampania Balada Injector, opisana przez CERT Polska 2 lutego 2024 roku ^[5]. Kampania działa od 2017 roku, a od 13 grudnia 2023 roku wykorzystywała lukę CVE-2023-6000 we wtyczce Popup Builder do wersji 4.2.3 ^[5]. Po jej wykorzystaniu atakujący mógł instalować wtyczki, tworzyć konta administratorów i przekierowywać odwiedzających na podejrzane strony, na przykład z fałszywymi loteriami albo prośbą o zgodę na powiadomienia ^[5]. Każdy z tych kroków ma własne hasło: nieautoryzowane konto administratora i złośliwe przekierowanie.

Po zalogowaniu do panelu black hat sięga często po edytor plików motywów i wtyczek. Dokumentacja nazywa go często pierwszym narzędziem atakującego, bo pozwala wykonać kod ^[6]. Haker z dostępem do konta administratora może zainstalować złośliwe skrypty zdolne przejąć cały serwer ^[6].

Środowisko black hatów nie jest też lojalne wobec siebie. Zespół watchTowr ustalił, że wiele publicznie dostępnych narzędzi typu webshell zawiera tylną furtkę raportującą autorowi, gdzie narzędzie zainstalowano, razem z hasłami ^[7]. Strona przejęta przez jednego sprawcę może więc być jednocześnie dostępna dla kolejnych.

Jak się bronić

Obrona przed black hatem nie różni się od obrony przed botami, bo to boty wykonują większość pracy. CERT Polska wskazuje jako podstawę zabezpieczenia strony na WordPressie systematyczne aktualizowanie oprogramowania, a dodatkowo logowanie dwuskładnikowe, silne i unikalne hasła oraz ograniczenie uprawnień użytkowników ^[5].

• Aktualizacja rdzenia, wtyczek i motywów; starsze wersje WordPressa nie dostają poprawek bezpieczeństwa ^[6].
• Uwierzytelnianie dwuskładnikowe dla kont z rolą administratora ^[5].
• Wyłączenie edycji plików w panelu stałą DISALLOW_FILE_EDIT ^[6].
• Przeglądanie logów serwera, które pozwalają ustalić adres IP, czas i działania atakującego ^[6].
• Po włamaniu odbudowa strony z czystej kopii zapasowej zamiast przenoszenia plików z zainfekowanego serwera ^[5]; zob. czyszczenie przejętej strony.