Logic Bomb (Bomba logiczna)
Bomba logiczna (logic bomb) to fragment kodu celowo umieszczony w systemie albo w skrypcie, który pozostaje bierny aż do spełnienia warunku. Warunkiem bywa data, liczba uruchomień, obecność albo brak konkretnego pliku, zniknięcie konta z listy płac, wynik zapytania do bazy. Po wyzwoleniu kod robi szkodę: kasuje, szyfruje, wyłącza usługi, wysyła dane. Do momentu wyzwolenia wygląda jak martwy ciężar albo jak zwykła funkcja biznesowa.
Na blackweb.pl traktuję to jako kategorię z aktów sądowych i z historii malware, nie jako pomysł do powielenia. Motyw bywa zemsta wewnętrzna, sabotaż, czasem utrudnienie analizy próbki. Wspólny mianownik: opóźnienie skutku.
Warunki i przykłady historyczne
Wirus CIH (Czarnobyl) aktywował się w rocznicę katastrofy w elektrowni. Inne rodziny czekały na konkretny dzień tygodnia albo na wersję systemu. W scenariuszach insider threat klasyczny obrazek z podręczników to skrypt administratora sprawdzający, czy jego konto nadal istnieje w HR. Gdy znika, startuje kasowanie. Są wyroki i sprawy cywilne o podobnym schemacie. Nie rozpisuję implementacji. Ważne jest istnienie wzorca: zaufany dostęp plus ukryty wyzwalacz.
W ransomware i w wormach bywają timed release: szyfrowanie w piątek wieczorem, gdy dyżur jest cienki. To pokrewieństwo koncepcyjne, nie ta sama etykieta w każdym raporcie.
Insider a zewnętrzny malware
Bomby logiczne często łączą się z zaufaniem wewnętrznym: ktoś miał prawo pisać skrypty, crony, procedury stored w bazie. Kontrola zmian, code review, rozdział obowiązków i logowanie administracyjne są tu ważniejsze niż antywirus na endpoints. Zewnętrzny napastnik też potrafi zostawić opóźniony ładunek po backdoorze, ale wtedy forensyka szuka innego śladu wejścia: phishing, exploit, skradzione VPN.
Threat model firmy bez założenia o rozczarowanym adminie z szerokimi uprawnieniami jest nieszczery. Model z samym “hakierem z internetu” też. Oba wektory istnieją.
Wykrywanie i ograniczenie skutku
Szukanie ukrytych warunków w kodzie wymaga przeglądu, nie samego skanu sygnatur. Nietypowe zadania czasowe w skryptach, zadania konta autora w warunkach, zadania tabel HR w cronach produkcyjnych zasługują na pytanie “po co”. Backup offline i niemutowalny zmniejsza katastrofę kasowania. Segmentacja ogranicza zasięg jednego skryptu. Offboarding z natychmiastowym odebraniem dostępu i audytem artefaktów, które odchodzący zostawił, należy do higieny, nie do teorii spiskowej.
Sandbox i analiza dynamiczna czasem “nie widzą” bomby, bo warunek daty nie zapalił się w labie. Stąd analiza statyczna i przegląd diffów mają sens przy podejrzanych commitach.
Gdzie to wraca w praktyce
Słowo wraca w raportach CERT, w sprawach pracowniczych i w analizie malware z opóźnionym ładunkiem. Jeśli szukasz ochrony źródła i stacji, bliżej jest opsec oraz świadomość, kto ma trwały dostęp administracyjny i kto zatwierdza skrypty idące na produkcję.