القصة الكاملة حول أختراق شركة سوني


حدث مهم وخطير قد تعرضة له شركة من اكبر الشركات العاليمة شركة سوني فقد تعرضت هذا الشركة للاختراق والتى يعتقد بأن من قام بها هم قراصنة من كوريا الشمالية كون التهديدات التى وصلت بعد الاختراق تطلب واو بمعنى اخر(تأمر) الشركة بإيقاف عرض فلم The Interview الذي يستهزئ بالرئيس الكوري الشمالي وما سمعناه من تقارير وأخبار يمثل واحد بالمئة من العملية الكاملة التى لم يعرف بعد ما أبعادها كاملةً لنسمع القصة كاملة.


قبل الخوض في الآلية التى تم الأختراق من خلال لها لنتعرف أولا على حجم الأضرار العامة التى تسبب بها القراصنة نتيجة هذه العملية المؤلمة على أن نفصل فيما بعد اكثر فيما تم تسريبه من الشركة والذي بجد يعتبر مصيبة في حق الشركة.
  • أكبر عملية قرصنة حدثت ربما في السنوات العشرة الآخيرة.
  • 77 مليون أيميل أنسرق.
  • 25 مليون حساب لمستخدمي سوني اتهكر.
  • 10700 لبطاقات الخصم .
  • 12700 بطاقة أئتمان.
  • مراسلات سرية بين الموظفين تظهر عنصرية البعض.
  • سيناريوهات لأفلام سوف تصور قريبا ومن بينها فلم جيمس بوند.
  • خمس أفلام كان من المفترض أن يبدأ عرضها تسربت مثل Annie, Mr Turner, To Write Love On Her Arms
  • أنخفاض أسهم بورصة سوني بنسبة 6,6 بالمئة.
  • خسائر مبدئية تقدر بي 100 مليون دولار.
  • و آخيراً سوني تعلن إيقاف عرض الفلم أو تأجيله…
في الثالث والعشرين من نوفمبر ظهرت صورة على أجهزة العاملين في شركة سوني تخبرهم بعملية الأختراق وتتوعدهم بنشر الكثير من المفأجاة في الـ24 من نوفمبر.

في أول تسريب قام به المخترقون الذين أطلقوا على أنفسهم أسم Guardians Of Peace أو فرسان السلام في واحد ديسمبر/كانون الأول, تم نشر 26 غيغا من البيانات وكانت على النحو الآتي

  • 26.4 GB in size, containing 33,880 files and 4,864 folders.
  • Includes 47,426 unique Social Security Numbers (SSN)
  • 15,232 SSN belonged to current or former Sony employees
  • 3,253 SSN appeared more than 100 times
  • 18 files contained between 10,860 and 22,533 SSN each.
أمثلة على محتويات الملفات المسربة من ملف خاص بقسم الـ HR كان يحتوي على 402 موظف مع أرقام الضمان الاجتماعي وعناوين البريد الإلكتروني الداخلية، وكلمات السر الغير مشفرة.
بالأضافة إلى 3000 أسم مع تفاصيل الاتصال، وأرقام الهاتف، وتواريخ الميلاد، وعناوين البريد الإلكتروني، واستحقاقات العمل والعمال تفاصيل التعويض، وخطط التقاعد وإنهاء الخدمة والموظفين السابقين, تاريخ العمل والمرتبات التنفيذية والخطط الطبية وخطط طب الأسنان والأجناس، تعريفات الموظفين، وتقارير المبيعات، ونسخ من معلومات جواز السفر وإيصالات السفر، فضلا عن تفاصيل الأموال المدفوعة لشراء تذاكر السينما لبيعها إلى موظفي سوني. والكثير من الوثائق وأيصالات الدفع الخاصة بالزبائن…

أما التسريب الثاني في 3 ديسمبر/كانون الأول فكان في 33 ميغا فقط ولا تستهن بها ابداً فهي الأخطر كون أغلب محتوياتها كانت معلومات دخول مع كلمات السر لكل شيئ يخص سوني بما فيها السيرفرات والشهادات الأمنية وكلمات السر الخاصة بالـ FTP وحسابات اليوتيوب والفايسبوك وتويتر الخاصة بالشركة وكانت بأسم Bonus.rar

وفي الرابع من ديسمبر تم نشر هذه الصورة المأخوذة من سيرفر الشركة لملف أطلق عليه Password وفيه كل المصائب التى تم نشرها في اليوم السابق.

في الخامس من ديسمبر أرسل المخترقون رسالة إلى الشركة وأخبروهم بأنهم سوف ينشروا ملف تورنت لملفات حجمها 100 غيغا بالأضافة إلى دعوة عامة للأنضمام إليهم.

وبالفعل نفذ المخترقون وعدهم ونشروا التسريب الثالث الذي يخص شركة سوني في البرازيل ومحتوياته كانت على النحو الآتي
File SPE_03_01.RAR (Mostly from Sony Brasil)
  • 30,916 individual Files, 2,970 Folders. 16.4 GB / 9.99 GB (Compressed)
  • Banking statements, bank account information including wire transfer swift codes etc.
  • Financial year reports
  • Financial year forecasts
  • Budget reports
  • Overhead reports
  • Receipt and transaction account statements of computer hardware, vehicle (toyota hilux, mitsubishi space wagon), car accessories going back to 1998
  • Internal information for Sony Pictures Releasing International portal, screenshots, walkthroughs and other usage information.
File SPE_03_02.RAR (From Sony Pictures Imageworks, Vancouver, and Sony Pictures)
  • 89,800 Files, 10,990 Folders. 88.6 GB / 48.9 GB (Compressed)
  • Accounting information using Trintech Inc. software
  • Licensing contracts
    • Access Digital (Exyflix)
    • Amazon Europe
    • Amazon Japan
    • Clickpay Multimedia
    • Comcast
    • Eagle Eye
    • Gaia
    • Google (YouTube)
    • Media Vault
    • M-GO
    • Microsoft
    • Playstation
    • Sena
    • Sony Electronics
    • Sony visual products in
    • video futur
    • Yota (aka more)
  • Vendors (Too many to list)
  • Sony India Financial reports.
  • 528 Payrolls for Imageworks Canada with staff full names, contact numbers and residential addresses.
  • British Columbia Personal Tax Credit Returns scans of several employees with full personal information including social security number.
  • Photocopies and scans of driver licenses, passports and other tax related documents exposing a bunch of personal credentials, home addresses, full names, date of births, social security numbers and more.
  • Federal Tax Returns
File SPE_03_03.RAR
  • 113,002 Files, 39,612 Folders. 57.1 GB. / 48.1GB (Compressed)
  • Incident reports with full names, incident locations, injurys and postions held with sony.
  • SPE Global Security Guidelines v2
  • UL training users, full names, addresses, email addresses and common set clear text passwords
  • copies of employeement contracts and agreemtns, passports, drivers license, ssn, signatures.
الحقيقة التسريبات التى حدثت كثيـــــــــــرة جداً وربما المقال سوف يطول كثيراً ونحن نتحدث عنها وسوف أضع بعض الصور لما نشر حتى ننتهي بسرعة.
صورة البريد الخاص بي Amy Pascal رئيسة مجلس أدارة سوني وما وجد فيه أعتقد كافي لتدمير مستقبل الشركة لكون المحتوى الموجود فيه يتحدث عن مشاريع وتعاقدات وأتفاقيات مستقبلية تخص الشركة.



APascal1.ost (A Microsoft Outlook mail spool), 3.78GB in size
  • “APascal” is Amy Pascal, Co-Chairman, Sony Pictures Entertainment and Chairman, Sony Pictures Entertainment Motion Picture Group
  • Over 5,000 emails included
  • Most recent Inbox email is from November 23, 2014 (likely when the mail spool was taken)
  • Emails consist of sony employee relations, personal invoices, and personal emails
  • Includes talk and deals about upcoming movies
  • Contains current and closing business deals

الصورة لملف تورنت نشر في العاشر من ديسمبر/ كانون الأول تحوي أبحاث ومشاريع وخطط مالية ومستقبلية وكاميرات سوني جديدة وأطنان من الداتا الخاصة بالعملاء والموظفين.

أما الصورة الآخيرة فهي لداتا عامة للشركة وطبعا حساسة ولا أريد أن أدخل في تفاصيلها لأن بجد وصلت لمرحلة الذهول لكثرة ماسرب من أسرار معلومات عن الشركة وبحسب الأيميل الذي أرسله فرسان السلام بأن هذا التسريب بمثابة هدية عيد رأس السنة وجاء في الرسالة مايلي:
We are preparing for you a Christmas gift.
The gift will be larger quantities of data.
And it will be more interesting.
The gift will surely give you much more pleasure and put Sony Pictures into the worst state.
Please send an email titled by “Merry Christmas” at the addresses below to tell us what you want in our Christmas gift


التسريبات كانت تقريبا بشكل يومي والفضائح بالجملة فهناك مئات الأيميلات أخترقت ونقل محتواها بالكامل مثل أيميل المدير التنفيذي لشركة سوني Michael Lynton وكان يحوي لوحده على أكثر من 40000 ايميل ولن يسعنا الوقت للتحدث عنها وسوف أضع في نهاية المقال المصادر التى نقلت منها حتى تقرأ وتتابع التفاصيل كلها بنفسك.

في التاسع عشر من ديسمبر أرسل المخترقون رسالتهم الآخيرة من عشرات الرسائل التى تم ارسالها للشركة تخبرهم بأنهم اكتفوا الآن بما نشروه وحذروهم بشكل غير مباشر بمجرد التفكير في نشر الفلم الخاص بالرئيس الكوري وهذا نص الرسالة

This is GOP. You have suffered through enough threats. We lift the ban. The Interview may release now. But be carful. September 11 may happen again if you don’t comply with the rules.
Rule#1: no death scene of Kim Jong Un being too happy
Rule#2: do not test us again
Rule#3: if you make anything else, we will be here ready to fight This is Guardians Of Peace.

بحسب بعض المصادر فالأختراق لم يكن في الآونة الآخيرة بل من فترة طويلة قد تعود إلى عام 2013 وخلال هذه الفترة كان المخترقون على تواصل كامل مع سيرفرات سوني وتحديداً سيرفرات أمريكا وتايلند وبولندا وايطاليا وبوليفيا وسنغافورة وقبرص وقد أختاروا هذا الوقت تزامناً مع أقتراب موعد خروج الفلم The Interview لكي يلعبوا لعبتهم. في الصورة القادمة سوف نرى الأيبيات المصابة (الخاصة بالسيرفرات) مع أسماء البرامج المزروعة فيها.


بالحديث عن آلية الاختراق التى حدثت فالتقارير كثيرة ومتضاربة لكن أهمها كان التقرير الذي نشره موقع US-cert الأمريكي والذي لم يذكر فيه أسم شركة سوني بالحرف وأكتفى بالقول major entertainment company تم من خلال دودة أطلق عليها SMB Worm Tool أستهدفت أنظمة مايكروسوفت وتحديداً  الـ SMB أو Server Message Block المسؤول عن عملية مشاركة الملفات على الشبكة.

SMB Worm Tool: تعتمد هذه الدودة على الـ brute force authentication attack وهذا النوع من الهجوم معروف للخبراء الأمنيين على أنه هجوم يقوم بتجربة كل الأحتمالات الممكنة لمعرفة كلمة السر مثل أن يبدأ تجربة كلمات سر معروفة Password, admin123, 123456 الخ… أو يبدا التجربة أنطلاقا من الصفر إلى أن يصل لكلمة السر المطلوبة للولوج إلى الجهاز وبالتالي السيطرة عليه, آلية السيطرة على الجهاز تتطلب معرفة أسم المستخدم وكلمة السر كما تحدثنا مسبقاً يليها أنشاء ملف مشاركة يحوي الـ CMD مع أعطاءه صلاحيات كاملة create a new share “cmd.exe /q /c net share shared$=%SystemRoot% /GRANT:everyone, FULL” ليلها مباشرة رفع أدوات التحكم بالجهاز والسيطرة عليه وبعدها يتم حذف الملف المشير CMD حتى لايشعر أي أحد بشيئ.


عندما نقول أن الأختراق تم بالأعتماد على الـ Brute Force Attack فهذا يبرئ الأنظمة والحمايات وربما يجرم المشرفين على النظام فهجوم مثل هذا لا حماية حقيقة منه إلا كلمة سر معقدة وطويلة ونستنتج أن المدة الفعلية لعملية الأختراق ربما تكون طويلة, فالأختراق إذا حدث فمن المؤكد انهم لم يصلوا للسيرفرات بشكل مباشر بل وصلوا أولا لأحد الأجهزة المربوطة على الشبكة ومن خلاله نجحوا في الوصول إلى السيرفرات العامة والسرية والدليل على هذا الكلام أن US-Cert لم تتحدث عن أي تحديث أو سد ثغرات معينة أو حتى أيقاف لأي خدمة كل ماطلبته هو أبقاء الانظمة (مايكروسوفت) والبرامج محدثة والحرص على توفير مضاد فايروسات جيد للأجهزة بالأضافة إلى أختيار كلمات سر معقدة.




الدودة بحسب US-Cert محملة بي خمس أدوات أضافية وهي : Listening Implant, Lightweight Backdoor, Proxy Tool, Destructive Hard Drive Tool, and Destructive Target Cleaning Tool.
ومن محتوياته نجد أنها قادرة على فتح أتصال وتأمين مدخل للمخترقين فبمجرد ما أن تدخل الجهاز حتى تبدأ الأنتشار وتثبيت نفسها وتفتح منافذ لهم وما أستغربته أيضاً قدرته على الوصول إلى الروترات وعمل port mappings لو في حال كانت الشبكة تعمل من خلال NAT, ونجد من بين الأداوت الـ Proxy tools التى تؤمن نقل الملفات وتنفيذ الأوامر ومراقبة الجهاز والعمليات اتلى تحدث عليه كما نجد أيضا أداة مخصصة لتدمير الهاردات ومسح محتوياته بلا رجعة واداة لمسح وتنظيف كل ما يمكن تسجيله ومراقبته logs Message.
الحقيقة وجدت نفسي تائه وأنا اقرا في آلية الأختراق فالدودة معقدة جداً وتم تطويرها بدقة عالية لكي تنفذ مخطط كامل يبدأ بأشياء بسيطة وينتهي بأمور معقدة وطبعا بدوري أحي العقول التى تفكر وتبتكر وأن كان الأمر تخريبي ودمر شركة عريقة مثل سوني إلا أن الأمر جيد لكي يعتبر الجميع فشركة مثل jpmorgan أحد أكبر البنوك في أمريكا والتى تنفق 250 مليون دولار على الامن والحماية تم أختراقها ايضاً من عدة أشهر وسرقة ملايين الملفات منها وهذه قصة آخرى قد نتحدث عنها في المستقبل.

الخلاصة: الأخترق تم بطريقة روتينية, وصلوا لأحد الاجهزة المصابة ومن خلاله وبأستخدام الـ brute force authentication attack تضخم الأمر وتمكنوا من سيرفرات وباقي أجهزة الشركة ونقلوا بحسب بعض التقارير أكثر من تيرا بايت من البيانات الحساسة إلى أجهزتهم وبعدها مسحوا الهاردات جميعها وقضوا على كل الآثار التى يمكن أن تكتشفهم وأزيدكم من البيت شعراً, قد يكون الأختراق والأدوات التى أستخدمت ليست إلا واجهة للتغطية على أحد الموظفين المشاركين من داخل شركة سوني في عملية الأختراق وهذا ما أشارت له بعض التقارير أيضاً.

المصادر الرئيسية التى أعتمدت عليها في كتابة المقال وهي المصدر الأول, الثاني, الثالث على أن يتم التعديل على المقال في حال توفر صورة أوضح لعملية الأختراق.