script kiddie

Script kiddie to napastnik bez pogłębionej wiedzy technicznej, który atakuje gotowymi narzędziami, skryptami i exploitami napisanymi przez innych. Encyklopedia Kaspersky definiuje go jako cyberprzestępcę o niskich umiejętnościach, który używa cudzych skryptów lub programów, nie rozumiejąc, jak działają ^[1]. Określenie jest lekceważące: Niebezpiecznik przypomina, że pojęcie „script kiddies” miało odróżniać prawdziwych hakerów od amatorów bazujących na gotowcach ^[2]. Brak umiejętności nie oznacza jednak braku szkód, bo gotowe narzędzia bywają bardzo skuteczne.

Jak działa

Script kiddie nie szuka nowych błędów. Bierze exploit, skaner albo zestaw narzędzi opublikowany przez kogoś innego i uruchamia go na możliwie wielu celach. Według Kaspersky tacy napastnicy korzystają z gotowych zestawów exploitów, bo nie potrafią napisać własnych narzędzi ^[1]. Takim zestawem jest na przykład exploit kit.

Brytyjskie NCSC opisuje to zjawisko jako „commodity capability”: narzędzia i techniki otwarcie dostępne w internecie, gotowe do użycia i stosunkowo proste w obsłudze ^[5]. Należą do nich także narzędzia tworzone dla specjalistów, na przykład dla wykonawców testów penetracyjnych, bo służą do wyszukiwania publicznie znanych podatności w systemach i aplikacjach ^[5]. MITRE ATT&CK opisuje zdobywanie takich narzędzi jako technikę T1588.002: przeciwnik może je kupić, ukraść albo pobrać, a mogą być otwarte lub zamknięte, darmowe lub komercyjne ^[4].

Typowy przebieg ataku opartego na gotowcu pokazuje schemat poniżej.

RYS. 1Atak z gotowego narzędzia

Odmiany

Script kiddie to jeden z typów sprawców, a nie osobna technika. Od innych różni się głównie tym, skąd bierze narzędzia i jak wybiera cele. NCSC dzieli ataki na nieukierunkowane, w których napastnik atakuje jak najwięcej urządzeń, usług lub użytkowników bez względu na to, kim jest ofiara, oraz ukierunkowane, w których organizacja zostaje wybrana celowo ^[5].

Granica nie jest ostra. NCSC zauważa, że narzędzia pisane pod konkretny cel zwykle stają się powszechnie dostępne, gdy ich użycie zostanie wykryte, czasem w ciągu kilku dni ^[5]. Wtedy z tego samego ataku może skorzystać każdy, także script kiddie. Na drugim biegunie leży aktor zagrożeń (threat actor) działający długo i metodycznie, taki jak grupa APT.

W WordPressie

Strony na WordPressie są typowym celem ataków nieukierunkowanych, bo działają na tym samym oprogramowaniu, a wiele z nich ma nieaktualne wtyczki. Podręcznik utwardzania WordPressa zaznacza, że wiele ataków na WordPressa przeprowadzają automatycznie złośliwe boty ^[6]. Ostrzega też, że gdy w WordPressie wykryto lukę i wydano nową wersję, informacje potrzebne do jej wykorzystania są niemal na pewno publicznie dostępne ^[6].

To właśnie środowisko pracy script kiddie: luki n-day, czyli znane i załatane błędy, na stronach, których nikt nie zaktualizował. W praktyce oznacza to przede wszystkim:

• skanowanie podatności tysięcy stron w poszukiwaniu konkretnej, podatnej wersji wtyczki;
• uruchamianie publicznego PoC przeciw znalezionym celom, zwykle na podatność we wtyczce;
• atak siłowy na formularz logowania i XML-RPC z listą popularnych haseł.

Zagrożenia i skutki

Dla właściciela strony skutek ataku script kiddie nie różni się od ataku zawodowca: podmiana treści strony, wgrany webshell, SEO spam albo wykorzystanie serwera w botnecie. NCSC podkreśla, że otwarcie dostępne narzędzia są skuteczne, bo podstawowe zasady bezpieczeństwa nie są przestrzegane, i że niezależnie od umiejętności i motywacji to po nie napastnicy sięgają najpierw ^[5].

Motywacja bywa inna niż zysk. Według Kaspersky script kiddies chcą częściej zaimponować rówieśnikom niż wyrządzić poważne szkody ^[1]. Nie zmienia to faktu, że przejęta strona trafia na czarne listy tak samo, niezależnie od tego, kto ją przejął.

Jak się bronić

Ataki script kiddies są wymierzone w najsłabsze punkty, więc obrona zaczyna się od podstaw. Podręcznik WordPressa zaleca zawsze aktualną wersję rdzenia, bo starsze wersje nie dostają poprawek bezpieczeństwa ^[6]. Wtyczki powinny być zawsze zaktualizowane, a nieużywane usunięte ^[6]. Wtyczek i motywów nie należy pobierać z niezaufanych źródeł, tylko z katalogu WordPress.org lub od znanych firm ^[6]; piracka wtyczka (nulled plugin) sama bywa nośnikiem złośliwego kodu.

• Aktualizacje w dniu wydania poprawki, bo od tego dnia działa wyścig z automatami.
• Silne, unikalne hasła; podręcznik odradza hasła zawierające nazwę użytkownika, firmy lub strony oraz słowa ze słownika ^[6].
• Limit prób logowania i WAF odcinające masowe skanery.

Historia i przykłady

Gotowce bywają niebezpieczne także dla tych, którzy ich używają. W grudniu 2024 roku Sekurak opisał przypadek, w którym z domeny linpeas.sh serwowano zmodyfikowaną wersję popularnego skryptu do rozpoznania systemów Linux ^[3]. Dodane polecenie wysyłało na zewnętrzny serwer m.in. nazwę hosta, nazwę użytkownika i identyfikator maszyny ^[3]. Sekurak przypomniał przy tej okazji, że wyśmiewani script kiddies już lata temu mogli się przekonać na własnej skórze, czym grozi uruchamianie niezaufanego kodu z internetu bez zrozumienia jego działania ^[3].

NCSC w dokumencie ze stycznia 2016 roku podał jako przykład narzędzia powszechnie dostępnego Poison Ivy: łatwo dostępne narzędzie zdalnego dostępu, czyli RAT, używane szeroko od lat ^[5].