Juwenalia w Wyższej Szkole Policji w Szczytnie

Strony internetowe Wyższej Szkoły Policji w Szczytnie stały się olbrzymią farmą SEO, ale jednocześnie - jak się wydaje - maszynką do pozyskiwania kolejnych komputerów do botnetu. W chwili obecnej, po przekazaniu policjantom informacji o sytuacji, witryna Szkoły jest już poprawiona. Skala penetracji witryny robi(ła) duże wrażenie. Nawet nie chodzi o to, że to witryna Policji. Celem ataku stał się prawdopodobnie niezabezpieczony serwis postawiony na systemie Joomla, a w jego wyniku zainstalowano na serwerze policyjnym zaawansowany mechanizm siejący pożywkę dla wyszukiwarek, zliczający kliknięcia, przekierowujący na strony z niebezpiecznym oprogramowaniem (np. podszywającym się pod "optymalizację" systemu Windows: registryoptimizer.exe)... Właściwie, to nie wiem, czy ktoś włamał się najpierw na Joomlę, czy też może na któryś ze skryptów dodatkowych, z których Policja korzysta dla zwiększenia atrakcyjności swojej witryny (takich np. jak Coppermine Photo Gallery), ale jak już mieli dostęp do bazy danych, to potrafili to wykorzystać... Grubo.

Mechanizm pozycjonerski (SEO - Search engine optimization), który pojawił się na witrynie Szkoły, jest raczej zaawansowany - nie były to kawałki kodu, które ktoś w treści stron umieścił statycznie, "z palca". Ktoś stworzył dynamiczny system, w którym pozycjonowane linki zmieniają się wraz z czasem (jest tam nawet "time stamp" i zestaw linków zmienia się za każdym odświeżeniem strony; całość umieszczona w znaczniku "div" ze stylem "display:none", by zwykły odwiedzający tę stronę nie zobaczył linków przeznaczonych dla wyszukiwarek).

Witryna policyjna jest już poprawiona, ale to tylko jeden z elementów tego systemu. Niektóre ze stron, które były przez system pozycjonowane na stronach Policji, są w istocie stronami automatycznie przekierowującymi dalej (przy czym na stronach-pośrednikach i na stronach "docelowych" umieszczono skrypty do zliczania statystyk, pochodzące np. ze stat.pl; niektóre mechanizmy przekierowujące zaszyte są w niewielkich plikach flash). Są tam również inne mechanizmy gromadzenia informacji o komputerach osób odwiedzających stronę (być może dla potrzeb kontroli botnetu, ktoś, kto stoi za tym "przedsięwzięciem" sprawdza, pod jakim numerem IP zainstalowano wykonywalne pliki, którymi są infekowane następnie komputery odwiedzających).

Przy powyżej opisanym rozmachu wykorzystania policyjnej witryny fakt, że pozycjonowane (reklamowane) są jakieś słowa związane z hazardem (online casino, poker, florida lottery software, jakieś piramidki finansowe), to już szczegół. Nie są chyba reklamowane same serwisy hazardowe. To raczej "salami", które kieruje ruch coraz bliżej środka, zaś środkiem są strony z malwarem infekującym komputer odwiedzającego.

Fragment kodu ze stron wspol.edu.pl. Bez wątpienia doszło do naruszenia prawa. Swoją drogą, patrząc na domeny internetowe, które są tu wykorzystywane do wzajemnego linkowania, można dojść do wniosku, że sporo różnych instytucji padło już celem podobnego ataku. Są tam witryny brytyjskie, rosyjskie, amerykańskie, com, org, net, brali wszystkie, byle dało się zainfekować. Trafili również na uczelnie polskich Policjantów (którzy teraz ich złapią?).

Wysłałem maila, w którym powiadomiłem o sprawie jedną z osób związanych z Wyższą Szkołą Policji w Szczytnie. Marcin "Saper" Cieślak zaś (po pewnych telefonicznych perypetiach) dodzwonił się wreszcie do dyżurnego w Szkole, informując go o zaistniałej sytuacji. To wszystko zdarzyło się wieczorem 12. maja, a więc w środę we wtorek. Wstrzymaliśmy się przed publikacja informacji, by dać Policji szansę na załatanie dziur i zabezpieczenie śladów.

W tzw. międzyczasie zdążyłem nagrać screencast, by udokumentować znalezisko. Screencast opublikowany jest w serwisie YouTube: Juwenalia w Wyższej Szkole Policji w Szczytnie

Krótki klip dokumentalny, opublikowany w serwisie Vimeo: Juwenalia w Wyższej Szkole Policji w Szczytnie. Czas trwania 6 minut.

Przy okazji warto przypomnieć tekst: Akt oskarżenia za wykorzystanie stron policyjnych do pozycjonowania - w tym tekście odnotowałem fakt, że Prokuratura Okręgowa w Krakowie skierowała do Sądu Rejonowego dla Krakowa Śródmieścia akt oskarżenia przeciwko Rafałowi Z., którego oskarżono o to, że jako funkcjonariusz policji i administrator policyjnej strony internetowej przekroczył z chęci zysku uprawnienia, umieszczając na stronie "ukryte linki - odsyłacze do stron cywilnych". We wskazanym tekście pokazałem również strony Sądu Rejonowego w Radziejowie, którego zaplecze informatyczne służyło jako wielka farma linków, ale nie wiem, czy ktoś uruchomił jakiekolwiek procedury - strony z linkami po prostu po jakimś czasie "zniknęły". Zniknęły również linki pozycjonerskie z treści witryny Państwowej Straży Pożarnej w Poznaniu (por. BIP Państwowej Straży Pożarnej w Poznaniu jak słup ogłoszeniowy SEO). Tamte linki, w porównaniu z tym, co Marcin 'Saper' Cieślak przypadkowo znalazł na wspol.edu.pl, były raczej zabawą w piaskownicy. Jak znalazł? Poprzez sprawdzanie podanych w Wikipedii źródeł. Potem zaczęliśmy się przyglądać temu, co, ale tak naprawdę, znalazł.

Przypomnę jeszcze jeden, a raczej dwa teksty: Afera o zdjęcie na stronach suwalskiej policji oraz Zatrzymano chłopaka, który umieścił "złe psy" na stronie suwalskiej policji. Wówczas Policji zajęło 4 miesiące zatrzymanie chłopaka, który trochę zakpił sobie z policyjnych serwisów internetowych. To była sprawa honorowa. Wydaje się, że otagowanie uczelni policyjnej również taką sprawą honorową jest. Tym bardziej, że to właśnie na tej uczelni odbywają się coroczne Seminaria naukowe pt. "Techniczne Aspekty Przestępczości Teleinformatycznej" - którą to inicjatywę oraz jej organizatora, dr Jerzego Kosińskiego, bardzo cenię (por. m.in. Materiały z IX TAPT). W tym roku TAPT (już dwunasty) będzie odbywał się w dniach 9-10 czerwca.

Przykra sprawa z tą wpadką. Najłatwiej byłoby nawiązać do już wcześniej rozpoczętej dyskusji o bezpieczeństwie systemów Policji, ale trzeba pamiętać, że ta witryna, o którą tu chodzi, nie jest systemem bezpośrednio zaangażowanym w ściganie przestępczości, że wiadomo, jaka jest sytuacja wyższych uczelni, no i... a zresztą, co ja będę pisał. Zobaczymy co Policja zrobi teraz z tym bigosem. Być może niebawem na stronie policja.pl przeczytamy komunikat, że "włamywacze, którzy dokonali kompromitacji serwisu jednej z polskich uczelni, zostali zatrzymani". Inne tego typu notatki publikują, więc czemu nie tę?

Wyższa Szkoła Policji w Szczytnie jest uczelnią służb państwowych (art. 252 ust. 5 ustawy z dnia 27 lipca 2005 r. Prawo o szkolnictwie wyższym), tj. uczelnią publiczną nadzorowaną przez ministra właściwego do spraw wewnętrznych. Sama strona Wyższej Szkoły Policji w Szczytnie hostowana jest w home.pl.