Bên Trong Sự Kiện Rickroll Lớn Nhất Thế Giới

Lúc 10:55 sáng ngày 30 tháng 4 năm 2021, tất cả màn hình TV và máy chiếu ở sáu trường học ở Cook County, Illinois, tự điều khiển. Những màn hình đã tắt bật lên. Những máy chiếu đã bật tự động chuyển sang đầu vào HDMI. “Vui lòng đợi thông báo quan trọng,” đọc một thông báo xuất hiện trên màn hình. Một đồng hồ đếm ngược năm phút, đếm ngược đến số không, đặt dưới thông điệp đen tối.

Một giáo viên trong một lớp học cố gắng tắt máy chiếu bằng điều khiển hồng ngoại, nhưng vô ích. “Họ chiếm đoạt máy chiếu của chúng tôi,” giáo viên, bị quay video, nói với học sinh. Nhóm đặt giả thuyết rằng đó có thể là một tin nhắn từ Tổng thống Joe Biden, trường hợp thất bại, là “anh trai lớn.” Cảnh tương tự đang lặp lại trong hàng chục lớp học ở quận 214 của Illinois - nơi 12.000 học sinh đang học. Trong các lớp học và hành lang, hơn 500 màn hình hiển thị đếm ngược. Hệ thống đã bị chiếm đoạt.

Nằm ở góc của một lớp học là Minh Dương, một học sinh tốt nghiệp sắp tốt nghiệp. Dương ngồi xem máy tính xách tay, trò chuyện với ba người bạn khác - Shapes, Jimmy và Green - trên messenger có mã hóa Element, đảm bảo rằng mã tùy chỉnh cuối cùng của anh ta thực thi đúng. Khi đếm ngược đến số không, một hình ảnh rối bời của Rick Astley bùng nổ vào những nốt đầu tiên của bài hát “Never Gonna Give You Up.”

“Tôi đang đi dọc theo hành lang, và mọi người đều cười - nó thật vui để xem,” Dương, còn được biết đến với biệt danh WhiteHoodHacker, kể với MYTOUR. Sau đó vào lúc 2:05 chiều, cùng ngày đó, Dương và bạn bè của anh ta tiếp quản hệ thống loa của trường và phát bài hát một lần cuối cùng.

Trò đùa tốt nghiệp trung học phức tạp - được đặt tên là The Big Rick bởi các kiến trúc sư của nó - là một trong những rickroll lớn nhất từng diễn ra, mất nhiều tháng để kế hoạch thực hiện. “Thực sự, tôi đã rất do dự về việc làm toàn bộ huyện,” Dương nói.

Trong quá trình, nhóm đột nhập vào hệ thống IT của trường, sử dụng lại phần mềm được sử dụng để theo dõi máy tính của sinh viên, phát hiện một lỗ hổng mới (và báo cáo nó), viết kịch bản của riêng họ, thử nghiệm hệ thống của họ một cách bí mật vào ban đêm và tránh bị phát hiện trong mạng của trường. Nhiều kỹ thuật không phức tạp, nhưng chúng gần như đều là bất hợp pháp.

Minh Dương bắt đầu hack trường học của mình từ năm đầu tiên khi anh mới 14 tuổi. “Tôi không hiểu đạo đức cơ bản hoặc việc tiết lộ trách nhiệm và nhảy vào mọi cơ hội để làm hỏng cái gì đó,” anh viết trong một bài đăng trên blog mô tả về rickroll. (Dương gần đây đã trình bày The Big Rick tại hội nghị hacker Def Con, nơi anh tiết lộ chi tiết mới về sự cố.) Trong năm đầu tiên của anh, sử dụng một máy tính trong một tủ gần phòng IT, anh bắt đầu quét mạng nội bộ của trường, tìm kiếm thiết bị kết nối và cuối cùng làm nền cho rickroll nhiều năm sau đó.

Dương, hiện nay 19 tuổi, nói rằng anh đã có thể truy cập vào camera an ninh kết nối internet trên toàn bộ trường, đăng một bức ảnh về chính mình trong bài đăng blog cuối cùng của anh. (Anh nói rằng vấn đề đã được báo cáo, và quyền truy cập đã bị đóng lại - và anh đã bị bắt và được bảo dừng quét mạng của trường.)

The Big Rick bao gồm ba thành phần chính, trong đó có hai thành phần được truy cập ban đầu trong những năm đầu trung học của Dương. Trước hết, anh đã có được phiên bản dành cho giáo viên của LanSchool, một phần mềm “quản lý lớp học” có thể theo dõi mọi hoạt động của sinh viên, bao gồm theo dõi màn hình và ghi lại các phím đánh. Họ đã sử dụng phần mềm để chạy các quét và tận dụng các hệ thống mà khiến chúng trở nên giống như chúng đang ở trong một trong những trường khác của quận.

Tiếp theo, anh ta có quyền truy cập vào hệ thống IPTV của trường, điều khiển hàng trăm máy chiếu và TV trên khắp quận. Khi đại dịch bùng phát, Dương nói rằng anh ta hầu như quên về việc truy cập vào các hệ thống, mà anh ta đã quét mấy năm trước đó, và trường không quay trở lại học trực tiếp cho đến cuối năm học cấp ba của anh. Đó là lúc anh quyết định thực hiện rickroll, mà anh ta nói rằng anh chọn vì giáo viên có lẽ sẽ hiểu được trò đùa.

Dương và ba người bạn của anh quản lý được một số quyền truy cập vào máy chiếu và TV bằng cách sử dụng tên người dùng và mật khẩu mặc định, mà chưa được thay đổi. Hệ thống có các bộ thu kết nối trực tiếp với máy chiếu và màn hình, bộ mã hóa phát sóng video và máy chủ cho phép sản phẩm được quản lý tập trung bởi người quản trị.

Tuy nhiên, Dương quyết định rằng việc gửi rickroll bằng cách sử dụng máy chủ sẽ quá rủi ro. “Mỗi khi bạn gửi một yêu cầu, nó sẽ gửi rất nhiều yêu cầu đến tất cả máy chiếu,” Dương giải thích. “Điều đó sẽ tạo ra rất nhiều lưu lượng. Điều đó sẽ làm cho mọi thứ trở nên rất dễ phát hiện.”

Thay vào đó, anh ta tạo ra một kịch bản để đóng vai trò như một tải, có thể được tải lên mỗi bộ thu trước khi rickroll diễn ra. Trong tháng trước The Big Rick, nhóm gửi kịch bản đó đến từng trình phát truyền hình theo từng đợt, giảm khả năng bị quản trị viên trường phát hiện. Anh ta thử nghiệm thiết lập truyền hình vào buổi tối, để không làm gián đoạn các lớp học. Dương nói rằng anh ta sẽ kết nối từ xa với một PC trong phòng máy tính của trường, mà anh ta truy cập từ xa thông qua câu lạc bộ máy tính. “Tôi sẽ ghi lại một video để kiểm tra xem máy chiếu có hiển thị luồng đúng cách không,” anh ta nói, đăng một video về cài đặt.

Nhóm cũng xây dựng hệ thống này - chạy nó lặp lại - để tránh giáo viên tắt nó vào ngày rickroll. “Mỗi 10 giây, màn hình sẽ bật lên và đặt âm lượng tối đa,” Dương viết trong bài đăng blog. Cách duy nhất mà giáo viên có thể tắt luồng là thay đổi nguồn đầu vào từ HDMI trên máy chiếu hoặc rút dây nguồn. “Sau đó chúng tôi tắt điều khiển từ xa hồng ngoại,” anh ta nói, trong trường hợp giáo viên cố gắng sử dụng chúng để ngăn luồng video. Còn có một biện pháp an toàn: Vài giây trước khi Astley được phóng, máy chiếu được đặt lại để phát luồng đúng.

Ba ngày trước rickroll, với hầu hết cài đặt đã sẵn sàng, nhóm đã đạt được một bước tiến. Trong khi quét lại mạng quận (lần nữa) họ tìm thấy EPIC, hệ thống Trang và Liên lạc trong Giáo dục - thành phần thứ ba của trò đùa. Hệ thống này điều khiển loa hành lang và lớp học và được sử dụng để thông báo của giáo viên, báo cháy và chuông kết thúc bài giảng. Nó cũng có thể phát các đoạn âm thanh tùy chỉnh.

Tương tự như hệ thống IPTV, nhóm đã cố gắng truy cập vào EPIC bằng cách sử dụng tên người dùng và mật khẩu mặc định. “Đó không phải thực sự là một cuộc tấn công tinh vi,” Dương nói. “Toàn bộ điều là những đứa trẻ sử dụng mật khẩu mặc định và làm các thứ ngẫu nhiên ở đó.” Nhưng mặc định không hoạt động.

“TÔI ĐÃ CÓ MẬT KHẨU CHO HỆ THỐNG PPA,” Shapes nhắn nhóm vào ngày 29 tháng 4. Vâng, mặc định đã được thay đổi - thành một mật khẩu được đưa ra trong hướng dẫn sử dụng, có sẵn trực tuyến. Từ đây, nhóm phát hiện ra một tài khoản quản trị khác - mật khẩu là password - có thể cho phép họ truy cập vào toàn bộ hệ thống loa của quận.

Đêm trước The Big Rick, hệ thống loa được đặt để tự động kích hoạt vào buổi chiều.

Trong khi The Big Rick luôn được dự định là một trò đùa cấp trung học - Dương nói rằng các trò đùa khác trong năm ngoái bao gồm sinh viên cuộn giấy toilet một số cây - việc hack có khả năng rất có thể là ngoại lệ pháp lý. Sinh viên đã truy cập vào các mạng mà họ không được phép - một luật sư có thể gọi đó là “truy cập không ủy quyền” theo Đạo luật Lừa đảo và Lạm dụng Máy tính. Và một hacker có ý đồ xấu có thể đã đánh cắp dữ liệu, di chuyển qua các hệ thống hoặc sử dụng quyền truy cập để cố gắng gây hại. “Tôi hoàn toàn mong đợi rằng họ sẽ gọi cảnh sát,” Dương nói, thêm rằng mọi thứ đã “khá đáng sợ” một chút.

Biết đến rủi ro, bốn sinh viên tham gia rất muốn chứng minh rằng họ không truy cập vào thiết bị của trường với bất kỳ mục đích gì ngoài việc đùa giỡn. Khi rickroll kết thúc, kịch bản của họ đặt lại hệ thống về trạng thái ban đầu. Điều duy nhất họ không thể làm, Dương nói, là đảm bảo rằng máy chiếu đã tắt sẽ tiếp tục tắt. Tổng cộng, đó là một thành công.

“Chắc chắn là giáo viên thấy rất buồn cười,” Dương nói. Một người tweet: “😂😂😂 Rất thông minh, các bạn học sinh cuối cấp!” Dương nói rằng cái duy nhất mà anh nghe thấy là phàn nàn rằng Astley quá to. “Điều đó là hợp lý, vì tôi đã đặt âm lượng lên tối đa.” Nhưng không chỉ phản ứng của giáo viên làm nhóm lo lắng.

“Điều thực sự ngăn chúng tôi gặp rắc rối là bản báo cáo mà chúng tôi gửi đi,” Dương nói. Trước rickroll, nhóm viết một báo cáo 26 trang, được gửi đến quản trị viên ngay sau sự cố, chi tiết những gì họ đã làm và đưa ra đề xuất về bảo mật.

Bản báo cáo - Dương chia sẻ một phiên bản được gạch đỏ với MYTOUR - nói rằng nhóm có một bộ nguyên tắc. Nói rằng họ sẽ không làm bất cứ điều gì có thể làm tổn thương an toàn của người khác; sẽ cố gắng giữ mức độ gián đoạn đến mức tối thiểu (họ chọn một ngày thứ Sáu gần cuối kỳ, ngay cuối một kỳ học); sẽ không truy cập thông tin cá nhân nhạy cảm; sẽ không để lại hệ thống yếu hơn khi họ tìm thấy chúng; và mọi quyết định sẽ được thực hiện cùng nhau như một nhóm. Báo cáo của họ cũng giải thích những gì quản trị viên trường có thể làm để ngăn chặn việc này xảy ra lại - ví dụ, thay đổi tất cả mật khẩu mặc định.

Một vài tuần sau đó, trường phản hồi. “Bởi vì các hướng dẫn nghiêm túc và sẵn sàng chia sẻ thông tin, chúng tôi sẽ không tiến hành kỷ luật,” một email từ giám đốc công nghệ của quận nói. Dương chia sẻ email này như một phần của bài nói của mình tại Def Con.

Người phát ngôn cho học khu trường D214 nói với MYTOUR rằng họ có thể xác nhận các sự kiện trong bài đăng blog của Dương đã xảy ra. Họ nói rằng quận không tán thành việc hack và “sự cố làm nổi bật tầm quan trọng của các cơ hội học tập về an ninh mạng mà Quận cung cấp cho học sinh.”

“Quận xem xét sự cố này như một bài kiểm tra xâm nhập, và những sinh viên tham gia đã trình bày dữ liệu một cách chuyên nghiệp,” người phát ngôn nói, thêm rằng đội ngũ công nghệ của họ đã thực hiện các thay đổi để tránh bất cứ điều gì tương tự xảy ra trong tương lai.

Trường cũng mời các sinh viên tham gia cuộc họp tổng kết, yêu cầu họ giải thích những gì họ đã làm. “Chúng tôi hơi sợ ý tưởng tham gia cuộc tổng kết vì chúng tôi phải tham gia cuộc gọi Zoom, có thể với thông tin cá nhân có thể xác định được,” Dương nói. Cuối cùng, anh quyết định sử dụng tên thật của mình, trong khi các thành viên khác tạo tài khoản ẩn danh. Trong cuộc gọi, Dương nói, họ thảo luận về vụ hack và anh cung cấp thêm chi tiết về cách trường có thể bảo vệ hệ thống của mình.

Dương, hiện đang theo học ngành Khoa học Máy tính tại Đại học Illinois tại Urbana-Champaign, khẳng định rằng rickroll chỉ là một trò đùa cấp trung học, không phải là một thông điệp rộng lớn về tình trạng an ninh của trường. (Trong những tháng gần đây, các cơ quan an ninh mạng đã cảnh báo về nguy cơ tấn công vào các trường học, và một số trường đã bị tấn công bởi ransomware.)

“Nó được thiết kế để làm cho mọi người vui vẻ, và không quá nghiêm trọng, hoặc mang theo một thông điệp nào đó về tình trạng an ninh của trường chúng tôi,” anh ta nói. Ở một số nơi trong bài đăng blog và bài nói tại Def Con, Dương nhấn mạnh rằng anh có thể đã gặp rắc rối. “Tôi nhất định không thể nói cho bất kỳ ai làm điều này,” anh ta nói. “Bởi vì nó thực sự là bất hợp pháp. Tôi chỉ là một trường hợp may mắn.”