¿Qué puede hacer un hacker cuando tiene acceso físico a un sistema?

Para centrarse en sus casos individuales:

1. Absolutamente todo lo que quiera. Malware, rootkits, puertas traseras, keyloggers, todo el shebang.
2. Una vez más, absolutamente cualquier cosa. Es exactamente lo mismo que tener el disco USB, porque puede configurar un sitio donde puede descargar los archivos que necesita, o simplemente descargarlos de sitios existentes.
3. Limpie el disco, elimine archivos del sistema, escriba archivos por lotes, modifique los servicios del sistema, modifique la configuración, etc. La lista es infinita. Hay muchas cosas maliciosas que puedes hacer en un sistema sin herramientas adicionales. Sería trivial escribir un VBScript para verificar la fecha actual, compararla con un valor fijo y luego romper el sistema si las fechas coinciden. Colóquelo en una tecla de ejecución y tendrá un negocio de repetición instantánea.

En los dos primeros casos, el malware le permite tener acceso completo a la caja en cualquier momento. En el tercer caso, sigue siendo trivial. Podría configurar una cuenta oculta en la máquina, que luego usará para el escritorio remoto. Él podría configurar la asistencia remota. Dependiendo de la versión de Windows que esté ejecutando el usuario, podría configurar servicios de terminal. Incluso podría desinstalar parches de seguridad para habilitar una vulnerabilidad de ejecución remota de código y luego explotarla desde casa. Realmente no es tan difícil hacer que una máquina como esa sea remotamente comprometible.

Como se mencionó anteriormente, en mi experiencia con mi tipo de acceso, casi cualquier cosa puede ser física o remota, destrúyala si no está 100% seguro de que el hacker no haya obtenido acceso remoto a la raíz.

Tiendo a encontrar en mi tiempo personal a un amigo o compañero con la idea de haber sido abofeteado con un kit de root como una especie de "juego del gato y el ratón" de diversión. Pero en el mismo nivel, es solo para que el sombrero blanco en mí aprenda los medios de acceso y cómo se obtuvo el nivel de permisos.

Dicho esto, en mi experiencia profesional, sería lo primero que pensaba en mantener wirehark, o nmap del sistema y en asegurarme de tener un servidor de respaldo en el sitio, para ver si los respaldos han sido infectado o violado.

Para terminar, si el pirata informático tiene intenciones maliciosas y tiene acceso FÍSICO al sistema, bajo su propio riesgo, intente recuperar datos, pero descárguelo, la recuperación puede ser mucho más allá de una opción en ese momento .

En general, la seguridad física es una parte crítica (posiblemente la más crítica) de la seguridad de TI. Al final del día, casi cualquier cosa puede ser anulada con acceso local al hardware. El cifrado aún ofrece cierta protección, pero los datos cifrados se pueden extraer directamente y si se mueven sin cifrar en el hardware, si se invierten recursos suficientes, a menudo se pueden aprovechar los buses del sistema. (Así es como se rompió el DRM de la Xbox original). Efectivamente, en un sistema en ejecución, el resto de la seguridad carece de sentido si no se mantiene la seguridad física, ya que todos los accesos podrían ser monitoreados o alterados.