37 miesięcy za botnet

Dwudziestojednoletni Christopher Maxwell, który zainfekował około 50 tys. komputerów (szkolnych, wojskowych oraz należących do szpitala) został uznany winnym, a następnie skazany na karę 37 miesięcy pozbawienia wolności. Pod wpływem działania botnetu mającego na celu instalowanie oprogramowania adware padł m.in. system szpitala w Seattle.

O uznaniu winnym donosił serwis amerykańskiego Departamentu Sprawiedliwości (U.S. Department of Justice) w notatce z maja tego roku: California Man Pleads Guilty in "Botnet" Attack That Impacted Seattle Hospital and Defense Department.

Maxwell wraz z dwoma innymi członkami grupy miał zdalnie instalować bez wiedzy użytkowników komputerów oprogramowanie pozwalające na prezentowanie reklam (adware). W ten sposób członkowie grupy mieli zarobić 100 tys dolarów, które płaciły im przedsiębiorstwa oferujące programy partnerskie związane z takim oprogramowaniem (z wcześniejszych tego typu doniesień wiem, że przedsiębiorstwa prowadzące tego typu programy afiliacyjne odcinają się od przestępczych działań polegających na instalowaniu oprogramowania adware na komputerach bez wiedzy prawowitych ich użytkowników).

Szpital, o który chodzi to Seattle's Northwest Hospital. System teleinformatyczny tego szpitala padł pod wpływem ataku przeprowadzonego w 2005 roku. W czasie gdy Maxwell wraz z kolegami przeszukiwali Sieć w celu znalezienia kolejnych, nadających się do zainfekowania komputerów, trafili na system informatyczny szpitala. W ten sposób botnet zaczął się rozprzestrzeniać również w tym systemie, co jednak nie odbyło się bez szkody dla niego. Pod wpływem wygenerowanego przez botnet ruchu - system padł (źródła relacjonują efekty: drzwi do sal operacyjnych się nie otwierały, nie działał system powiadomień lekarzy, którzy noszą przy sobie pagery, przestały działać komputery na intensywnej terapii).

Wedle Departamentu Sprawiedliwości - działania grupy miały doprowadzić również do powstania szkód szacowanych na 135 tys dolarów, a to za sprawą ataku na komputery wojskowe. W czasie dochodzenia ustalono, że ten sam botnet był powodem awarii systemów wojskowych (the Headquarters 5th Signal Command in Manheim, Germany and the Directorate of Information Management in Fort Carson, Colorado). Kolejnym poszkodowanym był również okręg szkolny - the Colton Unified School District in California (tam botnet zainfekował ponoć ponad tysiąc komputerów).

37 miesięcy pozbawienia wolności to nie koniec, bo w źródłach jest jeszcze mowa o dalszych 3 latach ograniczenia wolności (supervised release). Kary te związane są z uznaniem winy Maxwella wobec stawianych mu federalnych zarzutów udziału w zorganizowanej grupie przestępczej, mającej na celu dokonywanie ataków na komputery oraz dokonywanie innych przestępstw związanych z oszustwami przy ich pomocy (federal charges of conspiracy to intentionally cause damage to a protected computer and conspiracy to commit computer fraud). Obrona zaś wnosiła poddanie chłopaka dozorowi (probation) oraz o ukaranie go ew. obowiązkiem prac społecznych (community service), a to ze względu na to, że nie był wcześniej karany i nie miał rzeczywistych intencji by kontrolowany przez niego botnet uczynił tak wiele szkód.

Zastanawiam się nad tym, że w doniesieniach na ten temat niewiele mówi się o sposobie, w jaki były zabezpieczone zaatakowane komputery (systemy). Być może warto w takich sytuacjach rozważać również, czy poszkodowani takimi atakami nie przyczynili się do powstania zagrożenia w ten sposób, że nie zabezpieczyli systemów komputerowych w odpowiedni sposób?

W zeszłym roku informowałem również o zatrzymaniu innego dwudziestoletniego Jeansona Jamesa Anchety (to inna sprawa, aczkolwiek nieco podobna, por. Aresztowany za botnet i nie tylko). Tamtemu chłopakowi także postawiono zarzuty związane z prowadzeniem botnetu komputerów zombie, również nieuprawnionego instalowania oprogramowania adware w celu uzyskania korzyści majątkowej. Ancheta został skazany w maju 2006 roku na karę 57 miesięcy pozbawienia wolności.

Więcej:

Piotr VaGla Waglowski

VaGla
Piotr VaGla Waglowski - prawnik, publicysta i webmaster, autor serwisu VaGla.pl Prawo i Internet. Członek Rady ds Cyfryzacji przy Ministrze Cyfryzacji, ekspert w Departamencie Oceny Ryzyka Regulacyjnego Ministerstwa Rozwoju, felietonista miesięcznika "IT w Administracji" (wcześniej również felietonista miesięcznika "Gazeta Bankowa" i tygodnika "Wprost"). Uczestniczył w pracach Obywatelskiego Forum Legislacji, działającego przy Fundacji im. Stefana Batorego w ramach programu Odpowiedzialne Państwo. W 1995 założył pierwszą w internecie listę dyskusyjną na temat prawa w języku polskim, Członek Założyciel Internet Society Poland, pełnił funkcję Członka Zarządu ISOC Polska i Członka Rady Polskiej Izby Informatyki i Telekomunikacji. Był również Członkiem Rady Informatyzacji przy MSWiA, członkiem Zespołu ds. otwartych danych i zasobów przy Komitecie Rady Ministrów do spraw Cyfryzacji oraz Doradcą społecznym Prezesa Urzędu Komunikacji Elektronicznej ds. funkcjonowania rynku mediów w szczególności w zakresie neutralności sieci. W latach 2009-2014 Zastępca Przewodniczącego Rady Fundacji Nowoczesna Polska, w tym czasie był również Członkiem Rady Programowej Fundacji Panoptykon. Więcej >>