Beveiliging Microsoft Dynamics gekraakt

Tom Eston en Brett Kimmel van IT-beveiliger SecureState lieten gisteren op de Black Hat conferentie in Abu Dhabi zien, hoe hackers het binnendringen in Microsofts ERP-systeem voor middelgrote bedrijven kunnen aanpakken.

Ze drongen door tot de database achter Microsoft Dynamivcs Great Plains via de client. Daartoe moesten ze eerste een gebruiker van het systeem overhalen te klikken op een gemanipuleerde email-bijlage of hen een malafide website laten bezoeken om hun malware op het systeem van de gebruiker te krijgen. Deze software is in staat de communicatie tussen de client en de database te onderscheppen en daar ook code in te injecteren. Zo konden de hackers gegevens inzien en wijzigen. Een gedetailleerd verslag van de proof-of-concept-hack publiceerden zij in pdf.

Meer specialisme nodig

Eston en Kimmel maken overigens wel de kanttekening dat een doorsnee hacker nog niet direct uit de voeten kan met het materiaal dat zij aanboorden. Een specialist moet orde brengen in de data die op deze manier bloot komt te liggen voor er zinnige informatie uit te halen is. Bovendien is het niet eenvoudig de hack zo te maskeren dat de inbraak niet onmiddellijk opvalt.