Заказчик Куваев - сотрудник крупнооптовой фирмы-импортера компьютерных комплектующих, работает старшим менеджером по закупкам в США. Традиционно бо,льшая часть переговоров Куваева с партнерами происходит по ICQ. Руководство фирмы прочитало в газете "Известия", что программа ICQ - ненадежная. Учитывая, что список американских компаний, у которых закупается товар, есть информация конфиденциальная, цены и объемы закупок - средне-конфиденциальная, а из фирмы недавно со скандалом ушел один из ключевых сотрудников, руководство решило провести аудит компьютерной безопасности. Перед экспертом был поставлен вопрос: что может сделать враг с бюджетом в $1000? Изучение ситуации показало, что ICQ-номер Куваева зарегистрирован больше семи лет назад. При регистрации нужно было указывать e-mail-адрес. Вероятно, в тот момент у Куваева не было e-mail-адреса или он не хотел его давать, - так или иначе, был указан адрес [email protected]. Предположительно, Куваев набрал на клавиатуре случайную последовательность символов, выглядящую как e-mail-адрес (даже доменного имени asdfsdfs.com не существовало). Атака состояла в регистрации доменного имени asdfsdfs.com, создании в домене компьютера lkjlkj.asdfsdfs.com и заведении на нем пользователя qwert; после этого в фирму Mirabilis (владельцы системы ICQ) была направлена просьба выслать якобы утраченный пароль на адрес, указанный при регистрации, что и было выполнено. Зная пароль, можно его сменить (то есть сделать невозможным пользование данным номером для легального адресата), а можно и получать всю текущую информацию от многочисленных поставщиков. Если бы атака была проведена врагом, как подсказал нам Куваев, враг мог уведомлять соединяющихся по ICQ поставщиков об изменении адреса склада в Финляндии и просить их срочно перенаправить поток грузов по новому адресу. Учитывая объемы поставок и принятую в этом бизнесе оплату с отсрочкой 60 суток после получения товара, враг мог неплохо поживиться и создать немало проблем организации, в которой работает Куваев… Демонстрация уязвимости была осуществлена за двое суток, расходы по осуществленному пути составили $150.
