– Vi får köra en analys, bakåt i tiden med klustret så att vi vet när han dök upp första gången, var det första Jakobsson sa efter en stunds funderande.
– Jag kan ta det, svarade Sommargren som aldrig tvekade att ta på sig mer jobb.
– Vi kör det tillsammans. Två hjärnor tänker förhoppningsvis bättre än en, replikerade Jakobsson med ett leende.
De plockade snabbt fram det de visste så här långt. IDS-systemet (Intrusion Detection System) hade reagerat för de senaste försöken men det var högst sannolikt att den okände hade försökt tidigare. Kanske till och med långt tidigare och det var det Jakobsson ville veta.
Vilka system hade han försökt att ta sig in på, vilka system hade han försökt komma åt och hur länge hade han försökt?
En serie frågor som skulle kunna ge en något tydligare bild av den okände som fanns därute någonstans.
Jakobsson trodde inte för en sekund att han var tysk student eller jobbade på ett åkeri i Kroatien, vilket en del loggfiler indikerade Han kunde mycket väl vara student men knappast på det tyska universitet dit IP-numret pekade.
– Jag har en magkänsla om att den här killen är vassare än de vi brukar stöta på, konstaterade Jakobsson sedan de suttit på varsin sida av skrivbordet och gått igenom det insamlade materialet.
– Jag håller med. Det här är ingen vanligt “scriptkiddie”. Han verkar mer slipad, mer försiktig och han gör aldrig mer än två försök om han misslyckas, instämde Sommargren.
De plockade ihop sex månaders loggfiler från det aktuella systemet och började att köra dem genom analysverktyget som kallades klustret internt. Klustret var ett dussin FreeBSD-baserade servrar, sammankopplade för att tillsammans ge en imponerande datorkraft. Trots att klustret kostade en bråkdel av vad en minidator kostade så var kapaciteten tiofalt bättre. Klustret klarade att analysera och köra igenom miljontals rader med loggfiler sekundsnabbt. Just nu letade de efter nålar i en höstack. Små, närmast omärkbara försök som kom från tio-talet olika IP-adresser och som kom orytmiskt och utan logiskt sammanhang.
Killen hade gjort sina försök precis som du ska göra. Oregelbundet, orytmiskt och långt mellan försöken. Han hade undgått upptäckt under ett längre tag och nu gällde det att ta reda på vad han kunde vara intresserad av.
Klustret jobbade på och fick till slut fram en lista på försök som sträckte sig sex månader bakåt i tiden. Det gick inte med säkerhet säga att det var samma person men det fanns ett visst mönster i försöken att ta sig in och kartlägga systemet som pekade åt det hållet.
– Vi får backa mer än sex månader. jag kan ge mig fan på att han har hållit på längre än så, sa Jakobsson när listan var klar.
– Instämmer, svarade Sommargren korthugget och började att mata in uppgifterna för en ny analys.
Nyckeln till att hitta den okände handlade om att hitta en minsta gemensam nämnare, npgot som de med hyggligt stor säkerhet kunde identifiera honom med. Det kunde vara ett visst beteende, en återkommande felstavning, en mjukvara som användes, en något udda version av ett operativsystem eller liknande, ett digitalt fingeravtryck i sin enkelhet även om den här typen av signatur sällan var lika urskiljande som ett fingeravtryck.
– Han kör en rätt dyr mjukvara, ett terminalprogram som kostar en slant, konstaterade Sommargren.
– Det finns inte på kartan att han betalat för programmet, utbrast Jakobsson och insåg att han tryckt lite för hårt på sina ord och att han hade haft en lite för hot ton också.
Nu var Sommargren van vid chefens små utbrott. Speciellt när han var fokuserad och det. Var han nu. Stenhårt fokuserad.
– Det måste vara en piratkopia, fyllde Sommargren i för att bekräfta chefens slutsats.
– Vi kan ha honom där. Frågan är om man kört med en nyckelgenerator eller om han snott någon annans serienummer?
– Jag betvivlar att han varit så dum så att han snott någon annans serienummer. Då skulle kretsen hans finns i vara alldeles för liten. Han har haft en nyckelgenerator men det begränsar ändå det antal vi ska leta igenom. Det är inte många vanliga användare som har behov av ett så här dyrt och avancerat terminalprogram. Jag letar vidare.
Sommargren begränsade sökningarna i hopp att få en träff.
0 kommentarer