Durante la lettura dei keylogger hardware USB sul web pochi mesi fa, mi sono imbattuto in una storia di un pen-tester piuttosto paziente:
He organized a raffle where the first prize was a cool gamer keyboard — with an implaneted hardware keylogger. :-) And of course he sent invitations for this raffle only to a very few selected target persons (IT admins) inside the target company. And as the organizer of the raffle he could decide himself which administrator will win that cool keyboard.
That way he got the keylogger into the company and it worked quite well for a while. But suddenly the keylogger recorded rather different usage patterns and not stuff the winner of the raffle would do. In the end the keyboard was so cool that it caused envy with coworkers of that admin, so that when the admin was on holidays, one of his coworkers grabbed the keyboard and used it for a few weeks.
Purtroppo non ho inserito il segnalibro dove è stata postata questa storia e ora voglio farvi riferimento in un articolo che sto scrivendo e non riesco a trovarlo più sul web. : - (
Ho cercato alcune combinazioni di parole chiave su Duckduckgo e Startpage (ad esempio Google). Ma anche dopo aver cercato di trovare quell'articolo sul web di nuovo ogni pochi giorni per alcune settimane, non ero più in grado di trovarlo.
Cose che sfortunatamente non ricordo più della storia:
- Se è stato usato il termine "lotteria" o se è stato usato un altro termine come "premio", "concorso" o "competizione".
- Se l'articolo è in inglese o in tedesco. (Anche se l'inglese è più probabile.)
- Quale dei termini "pen-test", "pen-tester", "pen-testing", "penetration test", "penetration tester" o "penetration test" è stato utilizzato. (Speravo che il motore di ricerca li considerasse uguali, ma, considerata la mia fortuna, sospetto che non lo facciano.)
- Se il keylogger hardware utilizzato inviava regolarmente i suoi risultati (ad esempio tramite wireless) o se il suo contenuto è stato recuperato in un singolo momento successivo.
Cose che ricordo vagamente:
- L'articolo è stato scritto da una prospettiva in prima persona.
- Il pen-tester è stato assunto dalla compagnia per tentare di entrare (probabilmente in modo elettronico). IIRC il nome della società non è stato menzionato.
- Il pen-tester ha avuto molto tempo per trovare un modo per entrare in azienda: diverse settimane o anche pochi mesi.
- Il pen-tester era più o meno consapevole che l'amministratore è appassionato della tastiera usata come premio, cioè ha fatto un po 'di social engineering in anticipo per quella lotteria.
- Potrebbe essere stato un post sul blog e molto probabilmente lo leggerò su una pagina HTML e non in un documento PDF.
- La tastiera utilizzata era piuttosto costosa, come $ 150 o $ 200.
Quindi sarei davvero felice se qualcuno ricordasse quell'articolo meglio di me e fosse a conoscenza di dettagli più specifici su di esso (per perfezionare la mia ricerca sul web) o addirittura sapesse dove trovare quell'articolo.