Операция «Большой Рик»: студент из Иллинойса рассказал, как взломал и одновременно «зарикроллил» шесть школ округа

Ровно в 11 утра все школьные экраны начали транслировать клип Рика Эстли — у преподавателей даже не было возможности это остановить. Жертвами пранка стали больше десяти тысяч человек.

4 октября 18-летний студент-программист из Университета Иллинойса по имени Мин Дуонг рассказал, как взломал сеть «интернета вещей» сразу в нескольких старших школах округа. Он не преследовал каких-то личных целей, а сделал это из любопытства — и любви к мемам.

30 апреля в шести школах округа №214, который насчитывает около 11 тысяч учеников, во время урока неожиданно включились телевизоры и проекторы: на них появились сообщение «Ожидайте важного обращения» и пятиминутный обратный отсчёт.

Никто из учеников и преподавателей не понимал, что происходит. В одном из роликов с места событий учитель предположил, что это может быть срочным обращением президента США, но отметил странный выбор времени — как раз должна была начаться перемена.

Когда время на таймере вышло, на экране включился клип Рика Эстли на песню «Never Gonna Give You Up» — один из главных мем-пранков в интернете. Ученики поняли, что их разыграли, и быстро покинули класс. Уже в коридоре они заметили, что жертвой масштабного розыгрыша стала вся школа.

Спустя полгода Мин пересказал хронологию событий до и после 30 апреля и организацию розыгрыша. В личном блоге он несколько раз отметил, что подобные действия незаконны, а текст не стоит воспринимать как инструкцию к действию. При этом Мин подробно описал техническую сторону пранка, включая конкретные решения и примеры кода для запуска клипа.

Организация пранка началась ещё в 2017 году, когда хакер только перешёл в старшую школу. По словам Мина, тогда он находился на «детской стадии программирования» — ему хотелось что-нибудь взломать, а этическая сторона вопроса мало волновала школьника. Вместе с несколькими друзьями он решил просканировать диапазон IP-адресов своей школы.

Процесс сканирования на середине прервал сотрудник школы, заметив высокую нагрузку на сеть. Но этого оказалось достаточно, чтобы обработать больше восьми миллионов адресов, включая данные принтеров, IP-телефонов, мониторов и других устройств, большая часть которых не была защищена паролем. К удивлению школьников, после инцидента руководство школы защитило только камеры видеонаблюдения.

У Мина сохранился доступ ко всей внутренней системе IPTV (телевидение по протоколу интернета), включая проекторы и мониторы в классах, телевизоры в холле и даже информационные табло в столовой. В следующие несколько лет он обработал полученные данные и выяснил, как можно их использовать. Ученик решил не организовывать никаких розыгрышей до выпускного года, а позже и вовсе забыл о своих планах.

С началом 2021 года наступил и последний семестр Мина в школе. Почти весь предыдущий год из-за пандемии обучение проходило в удалённом или гибридном формате, но с апреля учеников вернули в аудитории. Тогда хакер решил, что это отличная возможность использовать сохранённые данные.

Мин собрал команду из нескольких человек и анонсировал операцию «The Big Rick» («Большой Рик»). Вместе они разработали систему, которая позволила бы с помощью обнаруженных уязвимостей удалённо передавать информацию на все экраны, подключённые к общей IP-сети.

Группа также придумала, как гарантировать полное воспроизведение ролика: специально написанные команды обновляли систему каждые 10 секунд — при попытке отключения клип снова должен был включиться на максимальной громкости. Единственное, что могло бы гарантировать полную остановку «рикролла» — выключение устройства из сети.

Необходимо было также протестировать и настроить систему так, чтобы процесс прошёл без ошибок. Для этого достаточно было бы проверить программу на одном проекторе, но в течение дня они все были заняты. Тогда Мин провёл тестирование ночью: он выбрал класс, в котором был и проектор, и направленная на него веб-камера компьютера. Хакер протестировал работу системы, контролировав процесс удалённо. «Надеюсь, я не напугал никого из персонала ночной смены!», — добавил Мин.

27 апреля, за три дня до запланированной атаки, один из друзей Мина случайно обнаружил новый диапазон IP-адресов в школьной сети. Оказалось, что это недавно установленная система динамиков, через которые подаются звонки о начале и завершении урока. Группе удалось выяснить, что система передаёт данные резервного копирования на внешний ресурс. Обработав эти данные, хакеры получили доступ к IP-сети остальных школ округа — масштаб пранка вырос в шесть раз.

Команда «Большого Рика» не хотела помешать учёбе и подготовке к итоговым экзаменам своим розыгрышем, поэтому было решено проводить его ближе к перемене. Из-за коронавирусных ограничений расписание во всех школах совпадало, и хакеры выбрали конец первого блока занятий в пятницу. Пранк включал в себя не только запуск самого клипа, но и несколько других пунктов в течение дня:

После удачного розыгрыша история практически не разошлась в соцсетях, хотя и вызвала резонанс в самом округе. Историей поделились несколько учеников и учителей — помимо пятиминутного ролика в начале заметки, по тегу #D214RickRoll появилось три твита, в которых очевидцы похвалили изобретательных пранкеров.

Через несколько дней после розыгрыша на анонимную почту, с которой хакеры отправили сотрудникам школы отчёт об уязвимостях, поступил ответ от технического директора всего округа. Он поблагодарил группу за ценную информацию и сообщил, что руководство не станет наказывать их за взлом — по его словам, пранк оценили даже директора школ.

Хотя администрация округа была настроена дружелюбно и хотела лично пообщаться с организаторами, те отнеслись к предложению скептически — некоторые члены команды даже посчитали это «спецоперацией» для выявления хулиганов. Тогда Мин, как лидер группы, предложил провести подробную презентацию в Zoom, где он раскрыл бы своё имя, сохранив анонимность остальных. Но и эту встречу для перестраховки назначили уже после выпускного.

В итоге учеников действительно не наказали, а презентация прошла успешно: хакеры ответили на уточняющие вопросы технической команды и дали советы по исправлению ситуации. Руководство округа по итогам встречи пообещало рассмотреть возможность расширения программы кибербезопасности и даже финансирования хакерских проектов в школах.

Несмотря на похвалу и одобрение администрации, Мин до сих пор не считает розыгрыш правильным и этичным. «Я никогда не считал, что это было „окей“, даже когда остальные убеждали меня в этом. Всё это было незаконно, и мне повезло, что дело не дошло до ареста», — поделился хакер. Сейчас он изучает информатику в местном университете и планирует связать свою карьеру с компьютерной безопасностью.

#розыгрыши #хакеры #мемы