- Регистрация
- 26.03.21
- Сообщения
- 289
- Онлайн
- 26д 2ч 46м
- Сделки
- 0
- Нарушения
- 1 / 1
Какой взлом обходится без социальной инженерии? Социотехнический взлом в наше время стал совершенно обычным делом. В этом разделе мы обучим тебя социальной инженерии и ее тонкостям, научим ее применять. Расскажем о техниках, которые идут в ход, и о разнообразных тонкостях, которых в деле хакера — великое множество.
Социальная инженерия, иногда называемая наукой и искусством взлома человеческого сознания, становится все более популярной в связи с повышением роли социальных сетей, электронной почты или других видов онлайн-коммуникации в нашей жизни. В сфере информационной безопасности данный термин широко используется для обозначения ряда техник, используемых киберпреступниками. Последние имеют своей целью выманивание конфиденциальной информации у жертв либо побуждают жертв к совершению действий, направленных на проникновение в систему в обход системы безопасности. Даже сегодня, когда на рынке доступно огромное количество продуктов для обеспечения информационной безопасности, человек все еще владеет ключами от всех дверей. Будь то комбинация учетных данных (логин и пароль), номер кредитной карты или данные для доступа к онлайн-банку, самое слабое звено в системе обеспечения безопасности — это не технологии, а живые люди. Таким образом, если злоумышленники применяют к пользователям манипулятивные психологические техники, очень важно знать, какие приемы наиболее характерны в данной ситуации, а также понимать принцип их работы, чтобы избежать неприятностей. Социальная инженерия — понятие совсем не новое, оно появилось давнымдавно. Известными специалистами-практиками в этой науке стали, например, Кевин Митник и Фрэнк Абаньяле, которые на сегодняшний день являются ведущими консультантами по безопасности. Они живая иллюстрация того, что преступники могут превращаться в уважаемых экспертов. К примеру, тот же Фрэнк Абаньяле был одним из самых знаменитых и виртуозных мошенников: он умел создавать множество личностей, подделывать чеки и обманывать людей, вытягивая из них конфиденциальную информацию, необходимую для работы мошеннических схем. Если вы смотрели фильм «Поймай меня, если сможешь», вы имеете представление о том, на что способен специалист по социнженерии, если он имеет перед собой ясную цель. Вам просто следует помнить, что для получения от вас нужной информации социнженер может использовать различные мошеннические схемы, не ограничивающиеся приемами, связанными с технологиями или компьютерами, так что лучше пользователям с осторожностью относиться к подозрительным действиям, даже если они кажутся обычными. Классическим приемом, например, является выманивание пароля в телефонном звонке. Кажется, что никто в здравом уме не сообщит свой пароль постороннему, но звонок «с работы» в 9 утра в воскресенье, требующий приехать для какой-то мелочевой технической операции над вашим компьютером, несколько меняет дело. Когда «ваш администратор» предложит просто сказать ему пароль, чтобы он все сделал за вас, вы не только сообщите пароль, но и поблагодарите его за заботу! Ну, может, не лично вы, но примерно половина ваших коллег поступит так гарантированно. Большинство киберпреступников не станут тратить время на осуществление технологически сложных приемов взлома, если необходимые сведения можно получить, используя навыки в области социнженерии. Более того, существует множество сайтов, где описаны принципы работы подобных техник и причины их успеха. Один из этих сайтов называется SocialEngineer.org, и он предлагает весьма полезную основу для теоретического изучения принципов социнженерии, дополняя ее большим количеством реальных примеров. Мы используем речь каждый день, влияя на действия друг друга, хотя часто не замечаем этого. Но язык с точки зрения социнженерии имеет несколько недостатков, так как он связан с нашим субъективным восприятием фактов, при котором мы можем опустить некоторые части истории, исказить смысл или сделать некоторые обобщения. НЛП, или нейролингвистическое программирование, которое изначально было создано для лечебных целей, сегодня считается «мутировавшей» формой гипноза, используемой социнженерами как инструмент манипуляции жертвами и оказания на них влияния с целью побудить их выполнить действия, ведущие к успеху атаки. В результате данной тактики жертва может сообщить свой пароль, разгласить конфиденциальную информацию, отказаться от какой-либо меры обеспечения безопасности, то есть, может сделать все что угодно, чтобы убрать препятствия на пути злоумышленников. Хотя связь между психологией и хакингом кажется чересчур натянутой, на самом деле онлайн-атаки основаны на тех же принципах, которые лежат в основе «офлайнового» мошенничества. Принцип возвратности («если я окажу тебе услугу, ты окажешь услугу мне»), принцип социальной проверки (вы оцениваете свое поведение как правильное, если наблюдаете такое же поведение у большинства), преклонение перед авторитетами (проявление большей степени доверия к сотруднику полиции, врачу, сотруднику технической поддержки, кому-либо более «высокого ранга») — это универсальные для всех способы выстраивания общения в социуме и удовлетворения наших базовых социальных инстинктов. Социнженер знает, на какие кнопки нажимать, чтобы получить желаемый ответ, создавая контекст (канву) для формирования правдоподобной легенды, которая смогла бы создать ощущение срочности. Для опытных специалистов в сфере социнженерии не составит труда обойти рациональное мышление человека, и им понадобится только доля секунды, чтобы добиться преимущества и получить от жертвы необходимые данные. Однако в данной статье мы в большей степени обратим внимание на различные техники, используемые онлайн-мошенниками для незаконного получения информации и прибыли от жертв, которые «хотели как лучше». Как мы уже упомянули, принципы, используемые для мошеннических схем в Интернете, похожи на те, которые используются в реальной жизни, но так как Интернет — это огромная машина распространения информации, одно фишинговое сообщение может быть отправлено миллионам получателей в течение самого короткого времени. То есть в таких условиях данный тип атак может превратиться в беспроигрышную лотерею: даже если только небольшая часть от общего числа потенциальных жертв попадется на удочку, это все равно означает огромную прибыль для организации или человека, стоящего за атакой. Сегодня одним из самых распространенных методов получения конфиденциальной информации является фишинг (термин образован от игры слов password harvesting fishing — «ловля паролей»). Фишинг можно охарактеризовать как тип компьютерного мошенничества, который использует принципы социальной инженерии с целью получения от жертвы конфиденциальной информации. Киберпреступники обычно осуществляют свои действия при помощи электронной почты, сервисов мгновенных сообщений или SMS, посылая фишинговое сообщение, в котором напрямую просят пользователя предоставить информацию (путем ввода учетных данных в поля сайта-подделки, скачивания вредоносного ПО при нажатии ссылки и т.д.), благодаря чему злоумышленники получают желаемое при полном неведении со стороны жертвы. Мы наблюдали процесс развития вредоносного ПО, который во многом использовал принципы социнженерии. Раньше факт заражения компьютера вирусом был весьма очевиден: пользователь видел странные сообщения, иконки, картинки — одним словом, все, что обнаруживало участие злоумышленника. Сегодня нас уже не удивляют примеры вредоносного ПО, которое получает доступ к системам жертв путем применения трюков, характерных для социнженерии, и остается невидимым для пользователя до того момента, как выполнит свою задачу. Бесконечная игра в кошки-мышки между хакерами и компаниями, создающими средства информационной безопасности, подтверждает: образование и информирование — это ключевой защитный механизм, необходимый для пользователей. Они должны следить за новостями и новыми веяниями в мире информационной безопасности, а также знать о ключевых тактиках мошенников. Множество интересных примеров взлома основаны на техниках социнженерии, которые, в свою очередь, помогают злоумышленникам доставить вредоносное ПО жертвам. Среди наиболее популярных — фальшивые обновления Flash Player и других популярных программ, вшитые в документ Word исполняемые файлы и многое другое. Большинство описанных выше методов проведения атаки направлены на жителей Латинской Америки, так как технологические угрозы такого типа не до конца понятны или распространены в регионе, а если еще и принять во внимание, что большинство компьютеров работают с устаревшим ПО, это дает киберпреступникам отличную возможность заработать. Только недавно некоторые банки усилили меры обеспечения информационной безопасности для пользователей онлайн-банкинга, но до сих пор множество уязвимостей в системе безопасности способствуют успеху тактик социнженерии. Интересно, что многие особенности этого региона перекликаются с российскими, поэтому киберпреступники СНГ и Латинской Америки весьма активно обмениваются опытом и перенимают друг у друга удачные находки. Популярны другие типы атак, которые даже не всегда попадают в категорию компьютерного мошенничества. Схема, известная как «виртуальное похищение«, использует практики социнженерии, а в качестве средства связи выступает телефон. Злоумышленники обычно звонят жертве и говорят, что член семьи был похищен и для его освобождения требуется незамедлительно заплатить выкуп. Преступник создает ощущение срочности и страха, жертва выполняет требования мошенника, даже не убедившись, на самом ли деле похищен кто-то из родственников. Похожая схема популярна при атаках на пожилых людей и может быть названа «виртуальной болезнью» — когда жертве звонят якобы из поликлиники, говорят, что в недавних анализах есть признаки опасного заболевания и нужно незамедлительно лечь на операцию для спасения жизни, разумеется, платную. После оплаты, конечно, никого не оперируют, потому что болезни никакой и не было. Давайте продолжим нашу лекцию интереснейшими примерами социальной инженерии. Они наверняка вас удивят и дадут идеи и понимание.
Социальная инженерия, иногда называемая наукой и искусством взлома человеческого сознания, становится все более популярной в связи с повышением роли социальных сетей, электронной почты или других видов онлайн-коммуникации в нашей жизни. В сфере информационной безопасности данный термин широко используется для обозначения ряда техник, используемых киберпреступниками. Последние имеют своей целью выманивание конфиденциальной информации у жертв либо побуждают жертв к совершению действий, направленных на проникновение в систему в обход системы безопасности. Даже сегодня, когда на рынке доступно огромное количество продуктов для обеспечения информационной безопасности, человек все еще владеет ключами от всех дверей. Будь то комбинация учетных данных (логин и пароль), номер кредитной карты или данные для доступа к онлайн-банку, самое слабое звено в системе обеспечения безопасности — это не технологии, а живые люди. Таким образом, если злоумышленники применяют к пользователям манипулятивные психологические техники, очень важно знать, какие приемы наиболее характерны в данной ситуации, а также понимать принцип их работы, чтобы избежать неприятностей. Социальная инженерия — понятие совсем не новое, оно появилось давнымдавно. Известными специалистами-практиками в этой науке стали, например, Кевин Митник и Фрэнк Абаньяле, которые на сегодняшний день являются ведущими консультантами по безопасности. Они живая иллюстрация того, что преступники могут превращаться в уважаемых экспертов. К примеру, тот же Фрэнк Абаньяле был одним из самых знаменитых и виртуозных мошенников: он умел создавать множество личностей, подделывать чеки и обманывать людей, вытягивая из них конфиденциальную информацию, необходимую для работы мошеннических схем. Если вы смотрели фильм «Поймай меня, если сможешь», вы имеете представление о том, на что способен специалист по социнженерии, если он имеет перед собой ясную цель. Вам просто следует помнить, что для получения от вас нужной информации социнженер может использовать различные мошеннические схемы, не ограничивающиеся приемами, связанными с технологиями или компьютерами, так что лучше пользователям с осторожностью относиться к подозрительным действиям, даже если они кажутся обычными. Классическим приемом, например, является выманивание пароля в телефонном звонке. Кажется, что никто в здравом уме не сообщит свой пароль постороннему, но звонок «с работы» в 9 утра в воскресенье, требующий приехать для какой-то мелочевой технической операции над вашим компьютером, несколько меняет дело. Когда «ваш администратор» предложит просто сказать ему пароль, чтобы он все сделал за вас, вы не только сообщите пароль, но и поблагодарите его за заботу! Ну, может, не лично вы, но примерно половина ваших коллег поступит так гарантированно. Большинство киберпреступников не станут тратить время на осуществление технологически сложных приемов взлома, если необходимые сведения можно получить, используя навыки в области социнженерии. Более того, существует множество сайтов, где описаны принципы работы подобных техник и причины их успеха. Один из этих сайтов называется SocialEngineer.org, и он предлагает весьма полезную основу для теоретического изучения принципов социнженерии, дополняя ее большим количеством реальных примеров. Мы используем речь каждый день, влияя на действия друг друга, хотя часто не замечаем этого. Но язык с точки зрения социнженерии имеет несколько недостатков, так как он связан с нашим субъективным восприятием фактов, при котором мы можем опустить некоторые части истории, исказить смысл или сделать некоторые обобщения. НЛП, или нейролингвистическое программирование, которое изначально было создано для лечебных целей, сегодня считается «мутировавшей» формой гипноза, используемой социнженерами как инструмент манипуляции жертвами и оказания на них влияния с целью побудить их выполнить действия, ведущие к успеху атаки. В результате данной тактики жертва может сообщить свой пароль, разгласить конфиденциальную информацию, отказаться от какой-либо меры обеспечения безопасности, то есть, может сделать все что угодно, чтобы убрать препятствия на пути злоумышленников. Хотя связь между психологией и хакингом кажется чересчур натянутой, на самом деле онлайн-атаки основаны на тех же принципах, которые лежат в основе «офлайнового» мошенничества. Принцип возвратности («если я окажу тебе услугу, ты окажешь услугу мне»), принцип социальной проверки (вы оцениваете свое поведение как правильное, если наблюдаете такое же поведение у большинства), преклонение перед авторитетами (проявление большей степени доверия к сотруднику полиции, врачу, сотруднику технической поддержки, кому-либо более «высокого ранга») — это универсальные для всех способы выстраивания общения в социуме и удовлетворения наших базовых социальных инстинктов. Социнженер знает, на какие кнопки нажимать, чтобы получить желаемый ответ, создавая контекст (канву) для формирования правдоподобной легенды, которая смогла бы создать ощущение срочности. Для опытных специалистов в сфере социнженерии не составит труда обойти рациональное мышление человека, и им понадобится только доля секунды, чтобы добиться преимущества и получить от жертвы необходимые данные. Однако в данной статье мы в большей степени обратим внимание на различные техники, используемые онлайн-мошенниками для незаконного получения информации и прибыли от жертв, которые «хотели как лучше». Как мы уже упомянули, принципы, используемые для мошеннических схем в Интернете, похожи на те, которые используются в реальной жизни, но так как Интернет — это огромная машина распространения информации, одно фишинговое сообщение может быть отправлено миллионам получателей в течение самого короткого времени. То есть в таких условиях данный тип атак может превратиться в беспроигрышную лотерею: даже если только небольшая часть от общего числа потенциальных жертв попадется на удочку, это все равно означает огромную прибыль для организации или человека, стоящего за атакой. Сегодня одним из самых распространенных методов получения конфиденциальной информации является фишинг (термин образован от игры слов password harvesting fishing — «ловля паролей»). Фишинг можно охарактеризовать как тип компьютерного мошенничества, который использует принципы социальной инженерии с целью получения от жертвы конфиденциальной информации. Киберпреступники обычно осуществляют свои действия при помощи электронной почты, сервисов мгновенных сообщений или SMS, посылая фишинговое сообщение, в котором напрямую просят пользователя предоставить информацию (путем ввода учетных данных в поля сайта-подделки, скачивания вредоносного ПО при нажатии ссылки и т.д.), благодаря чему злоумышленники получают желаемое при полном неведении со стороны жертвы. Мы наблюдали процесс развития вредоносного ПО, который во многом использовал принципы социнженерии. Раньше факт заражения компьютера вирусом был весьма очевиден: пользователь видел странные сообщения, иконки, картинки — одним словом, все, что обнаруживало участие злоумышленника. Сегодня нас уже не удивляют примеры вредоносного ПО, которое получает доступ к системам жертв путем применения трюков, характерных для социнженерии, и остается невидимым для пользователя до того момента, как выполнит свою задачу. Бесконечная игра в кошки-мышки между хакерами и компаниями, создающими средства информационной безопасности, подтверждает: образование и информирование — это ключевой защитный механизм, необходимый для пользователей. Они должны следить за новостями и новыми веяниями в мире информационной безопасности, а также знать о ключевых тактиках мошенников. Множество интересных примеров взлома основаны на техниках социнженерии, которые, в свою очередь, помогают злоумышленникам доставить вредоносное ПО жертвам. Среди наиболее популярных — фальшивые обновления Flash Player и других популярных программ, вшитые в документ Word исполняемые файлы и многое другое. Большинство описанных выше методов проведения атаки направлены на жителей Латинской Америки, так как технологические угрозы такого типа не до конца понятны или распространены в регионе, а если еще и принять во внимание, что большинство компьютеров работают с устаревшим ПО, это дает киберпреступникам отличную возможность заработать. Только недавно некоторые банки усилили меры обеспечения информационной безопасности для пользователей онлайн-банкинга, но до сих пор множество уязвимостей в системе безопасности способствуют успеху тактик социнженерии. Интересно, что многие особенности этого региона перекликаются с российскими, поэтому киберпреступники СНГ и Латинской Америки весьма активно обмениваются опытом и перенимают друг у друга удачные находки. Популярны другие типы атак, которые даже не всегда попадают в категорию компьютерного мошенничества. Схема, известная как «виртуальное похищение«, использует практики социнженерии, а в качестве средства связи выступает телефон. Злоумышленники обычно звонят жертве и говорят, что член семьи был похищен и для его освобождения требуется незамедлительно заплатить выкуп. Преступник создает ощущение срочности и страха, жертва выполняет требования мошенника, даже не убедившись, на самом ли деле похищен кто-то из родственников. Похожая схема популярна при атаках на пожилых людей и может быть названа «виртуальной болезнью» — когда жертве звонят якобы из поликлиники, говорят, что в недавних анализах есть признаки опасного заболевания и нужно незамедлительно лечь на операцию для спасения жизни, разумеется, платную. После оплаты, конечно, никого не оперируют, потому что болезни никакой и не было. Давайте продолжим нашу лекцию интереснейшими примерами социальной инженерии. Они наверняка вас удивят и дадут идеи и понимание.
Способов заработка в интернете довольно много, но все они либо неэффективные, либо же «черные». Мы никогда не приветсвуем злодеяния и кражу у честных людей. Однако, в деньгах заинтересованы. Обчистить мошенника в интернете казалось не таким уж и черным делом. Во времена рассвета синтетических наркотиков открывались целые форумы по продаже и закупке наркотических средств. Дилеры нуждались в особой защите, но их каналы были не такими уж и защищенными. Как правило, общение с клиентами проводилось через уязвимые мессенджеры вроде skype, jabber и старой доброй icq. Оплату дилеры принимали в основном на самые популярные платежные системы, но в основном на Киви-кошелек по номеру телефона. На балансе таких кошельках находились и находятся огромные деньги. Получить доступ к кошельку Киви -означает получить эти самые деньги. Наркодилеры не принимают никаких файлов, не переходят по внешним ссылкам, стараются не вступать в тесный контакт с клиентом. Все, что мы имеем, это номер кошелька Киви. Доверенность Техническая поддержка Киви скептически относилась к восстановлению доступа к кошельку. Если вы потеряли доступ, то восстановить пароль можете только если сим карта у вас на руках. Тогда мы и стали думать, как получить себе дубликат сим-карты. Первым шагом, мы звонили оператору сотовой связи и пытались каким-либо образом переадресовать смссообщения и звонки на свой номер, что окончилось неудачей. Но мы выяснили, что на основе генеральной доверенности, все-таки, можно получить дубликат сим-карты. Однако этот способ был очень опасным и сложным. Суть состояла в том, чтобы пробить паспортные данные человека, зарегистрированного на сим-карту. Затем найти человека, на кого можно будет оформить генеральную доверенность. После чего этот человек должен будет прийти в отделение сотовой связи и получить сим-карту. Но для составления генеральной доверенности нужен еще и второй человек, которому принадлежит сим-карта, поэтому идея показалась напрасной. Однако, мы все же решили проверить на себе. У моего знакомого была генеральная доверенность на своего родственника. Мы пришли в отдел и были поражены тем, что операторы никак не проверяли данную доверенность на наличие в реестре, а, значит, можно указать совершенно несуществующего нотариуса и нарисовать любую печать. Грубо говоря, документ можно полностью подделать без участия жертвы. На хакерских форумах были люди, активно предлагающие свои услуги по пробиву* информации о любом мобильном номере. Стоимость была сравнительно низкая, поэтому мы и воспользовались этим. Получив номер кошелька для оплаты наркотических средств от дилера, мы передали его пробивале**. По сути, это те же операторы в мобильных офисах. Через час получили паспортные данные этого номера. Взяли за основу шаблон генеральной доверенности, ранее использованной моим знакомым. Переписали данные, переделали печать и ФИО нотариуса. Поставили другую подпись и все готово. Придя в офис к оператору, было весьма тревожно, но действовали, не подавая виду. Покрутив свежую напечатанную доверенность в руках, оператор без лишних вопросов оформил на новые паспортные данные сим-карту и выдал нам в руки в течение 5 минут. Слишком уж просто. Мы сразу же отправили код восстановления пароля на сайте киви и восстановили пароль за минуту. Работали мы так очень долго и это приносило огромные деньги. Однажды операторы заподозрили частые посещения в офис и решили проверить доверенность. Все обошлось и нам удалось уйти. По этой схеме можно работать, если соблюдать особые меры предосторожности. Вопервых, необходимо было посещать разные офисы с периодичностью примерно 1-2 раза в неделю. Во-вторых, люди должны постоянно меняться. Причину, по которой мы восстанавливали сим-карты, операторы не спрашивали. Их мало волновал и сам документ. Они даже не делали сканкопию. Все эти ошибки были результатом безответственного отношения работников офисов. * проверить или узнать информацию о ком-либо, чём-либо ** лицо, предоставляющее услуги по пробиву Подмена Скажу честно, до такого было не так трудно додуматься. Труднее было это реализовать. И так, почти все платежные средства, а также мобильные операторы, предоставляют возможность использовать USSD запросы. На сайте киви такие команды тоже были. Объясню доступным языком. Предположим, у вас есть киви-кошелек, на котором активирована функция USSD. Активируется она в настройках кошелька и, как правило, включена автоматически. Если сим-карта находится у вас в телефоне, то вы можете совершить перевод средств простой смс командой «перевод 89123456789 1000» на номер 7494. С вашего счета спишут 1000 рублей и переведут на счет другого киви кошелька с номером 89123456789. Возникает мысль, а что, если подделать номер отправителя и, скажем, не имея под рукой сим-карты жертвы, отправить смс с переводом средств на свой кошелек. Сервисы по отправке смс с подменой отправителя существовали и активно работали, причем многие из них совершенно бесплатно. Предназначены они были скорее для розыгрышей, но мы используем их для своих целей. Проблема была в том, что подделывать запросы на короткие номера было невозможно! Тут возникает другой вопрос, а ведь короткий номер к чему-то должен привязываться? И да, действительно, у каждого короткого номера есть федеральный. И мне удалось его найти. Точнее был даже не один номер, а целая корпоративная группа. Номер был оформлен на компанию ООО «Бифри», использовался тариф «мобильное информирование», баланс на номере минус 400 тысяч рублей. Главное, что если отправить на этот номер смс, то автоматически переадресуется на короткий 7494. То, что нужно! Приступаем к атаке. Находим рабочий сервис с подменой смс отправителя. Указываем отправителем номер нашей жертвы, номер получателя – федеральный номер Киви, а в теле письма пишем следующую команду: «перевод 89123456789 1000», где 89123456789 – номер нашего Киви. Отправляем смс и со счета жертвы снимается 1000 рублей и переводится на наш номер – 89123456789. Максимально можно было переводить по 5000 рублей. Поэтому приходилось совершать сразу несколько команд, если на кошельке была большая сумма. Пир был не долгим. Киви изменила систему ussd, добавив подтверждение по смс. К тому же, операторы сотовой связи запретили подменять смс через сторонние шлюзы. Кое-какие сервисы все же работали, но это уже не имело значения.
Я не помню, когда интернет так широко монетизировали. Все чаще люди стараются уйти в онлайн работу в поисках различных способов заработка. Форумы о заработке предлагают такие схемы, как «белые», так и «черные». Конечно, можно долго спорить о том, что все белые схемы – бесполезны, так как никто бы не стал делиться идеями бизнеса, который якобы приносит миллионы, а цена этой идеи составляет жалкие 5 тысяч деревянных. Поэтому самые яркие примеры заработка можно наблюдать именно в «черных» схемах. Сюда можно отнести: кардинг, хакинг, фрод, ддос, вымогательство, торговля незаконными вещами и препаратами, и многое другое. Во-первых, это реально приносит прибыль. Во-вторых, это незаконно. В-третьих, спрос на данные услуги довольно высокий. Я отдавал себе отчет о всех рисках в черном бизнесе. Знал, к чему это может привести, однако активно тусовался в этой среде. Я знал, что большинство из этих мошенников либо кидалы, либо посредники и лишь небольшой процент реальные продавцы. Возникали мысли, что можно наживаться на этих самых мошенниках. Взламывать псевдо-хакеров, кидать кидал, вымогать у вымогателей. Что может быть лучше? Так скажем, наказывать плохих людей, да еще и получать за это прибыль. Не секрет, что самыми прибыльными в темной стороне интернета были и остаются люди, занимающиеся отмыванием и обналичиванием денег, а также наркодилеры, занимающиеся продажей наркотиков. В целом, изучив «dark web», выбор пал именно на торговцев наркотиков. Изначально использовали они наш любимый корявый skype, старенькую icq, а также jabber и Brosix. Я знал, как взламывать скайпы различными методами, поэтому мы без труда взламывали по 3-5 магазинов в день. Заходя на аккаунт дилера, можно было довольствоваться огромной базой клиентов-торчков. Их количество зависело от репутации магазина. Суть заработка состояла в том, чтобы подменять кошелек магазина на свой, на который оплачивали деньги клиенты. Минимальная стоимость пары грамм синтетических веществ составляла около 1 тысячи рублей. Клиенты были разные и иногда 1 клиент платил до 20 тысяч рублей единовременно. Заработок доходил до 100 тысяч рублей в сутки. Неплохо? Не всегда мы использовали такой грубый метод. Во-первых, клиенты понимали, что их кинули, поэтому клиентская база быстро сокращалась, и магазин быстро умирал. Хмм… Если так подумать, то мы закрываем магазины веществ, рушим бизнес дилеров и получаем к тому же за это деньги. Где в этом время было ФСБ и ФСКН? (шутка). Большинство дилеров предлагали за их взломанные аккаунты большой выкуп. Часто мы соглашались и давали дилерам работать дальше, но через некоторое время снова наведывались к ним. Менее чем за полгода все дилеры полностью отказались от скайпа. Выкуп Это один из моих любимых способов, основанных на вымогательстве, но вымогать деньги мы будем у все тех же торговцев веществами. Сразу возникает вопрос, а чем же мы будем их шантажировать? Широкое использование Киви-кошельков порождало все больше идей и способов взлома. Когда основные методы были прикрыты, то я обратил внимание на один пункт в службе поддержки. Дело в том, что мы могли заблокировать любой киви-кошелек. Причиной служило следующее. Мы пишем текст якобы от себя и просим заблокировать наш киви кошелек, так как потеряли телефон с сим-картой и боимся за свои средства. Служба поддержки любезно блокирует все операции на кошельке, как и сам вход в кошелек. Но есть одно очень важное условие! Если в течение 15 минут не предоставить паспорт и договор на номер кошелька, то кошелек разблокируют. Формально мы можем заблокировать любой кошелек на 15 минут. Как это использовать – я сразу же понял. Я добавлялся к дилеру в icq и писал, что кошелек заблокирован до тех пор, пока не получу определённую сумму. На этот диалог у меня должно было уйти не более 15 минут, чтобы я смог получить деньги до того, как кошелек разблокируют. Я получаю деньги, проходит пару минут и кошелек снова работает. Если сумма на кошельке действительно большая, то дилер за нее боится, поэтому у него не остается выбора, как заплатить выкуп. Дырка в КИВИ Так как основной электронной платежной системой в интернете была Киви, которая остается и сейчас, то большинство кошельков стали активно блокировать. Киви понимала, кто пользуется их системой и ужесточила правила пользования. Во-первых, Киви ввели лимиты на денежные средства. Для этого необходимо было проходить длительную идентификацию. Вовторых, блокировали кошельки без каких-либо особых причин. А на разблокировку кошелька уходили недели. Для этого были созданы специальные сервисы, предлагающие услуги по разблокировке кошельков. Они брали определенный процент за эту работу. Заблокированные кошельки попадали и мне, так как я умел пробивать данные и рисовать необходимые документы для разблокировки. Все бы ничего, но разблокировать становилось все труднее и труднее. И тогда я решил проверить одну странную штуку. Я написал в техническую поддержку, что потерял сим-карту и прошу заблокировать временно свой кошелек. Странно, но мне пришел ответ, что тех. поддержка заблокировала номер. Фактически, она заблокировала уже заблокированный кошелек. Я стал ждать. И через 20 минут кошелек разблокировали. Я смог войти под прежним логином и паролем и снять деньги. Я проделал так еще с парой десятков кошельков, после чего киви что-то заподозрила и ответила мне, что не может заблокировать и без того заблокированный номер. Я считаю, что блокировкой занимался робот, поэтому он не обращал внимания на то, что кошелек изначально был заморожен. Полагаю, что из-за активного обращения по определенной схеме кто-то из сотрудников банка обнаружил эту ошибку и внес корректировки. Давайте рассмотрим некоторые интересные разновидности атак на человека. Просим заметить, что все эти случаи реальны и были успешно реализованы
Хотите узнать чей-нибудь неопубликованный номер телефона? Социальный инженер может сообщить вам полдюжины способов, но, возможно, самым простым из них будет обычный телефонный звонок, как этот, который мы рассмотрим. Номер, пожалуйста Атакующий позвонил по неофициальному номеру телефонной компании, в механизированный центр назначения линий (Mechanized Line Assignment Center). Он сказал женщине, поднявшей трубку: «Это Пол Энтони, кабельный монтер. Послушайте, здесь загорелась распределительная коробка. Полицейские считают, кто-то пытался поджечь собственный дом, чтобы получить страховку. Я остался здесь заново монтировать целый терминал из двухсот пар. Мне сейчас очень нужна помощь. Какое оборудование должно работать по адресу Саут-Мэйн (South Main), 6723?» В других подразделениях компании человек, которому позвонили, должен знать, что сведения о неопубликованных номерах предоставляются только уполномоченным лицам. Предполагается, что о центре известно только служащим компании. И если информация никогда не оглашалась, кто мог отказать в помощи сотруднику компании, выполняющему тяжелую работу? Она сочувствовала ему, у нее самой были нелегкие дни на работе, и она немного нарушила правила, чтобы помочь коллеге с решением проблемы. Она сообщила ему действующий номер и адрес для каждой из кабельных пар. Сообщение от Hacker Place В человеческой натуре заложено доверять, особенно когда просьба кажется обоснованной. Социальные инженеры используют это, чтобы эксплуатировать свои жертвы и достичь своих целей. Анализ обмана Вы заметите, что в этих историях знание терминологии компании, ее структуры — различных офисов и подразделений, что делает каждое из них и какой информацией владеет — часть ценного багажа приемов успешного социального инженера
Не стоит зазнаваться и верить в то, что все на самом деле полные идиоты, готовые, даже жаждущие, отдать каждый секрет. Социальный инженер знает, что это неправда. Почему атака социальной инженерией так успешна? Это так, не потому что люди глупы или им не хватает здравого смысла… Просто мы, как люди, полностью уязвимы перед обманом, поскольку люди могут изменить доверие, если манипулировать определенным образом. Социальный инженер ожидает подозрение и недоверие, и он всегда подготавливается, чтобы недоверие превратить в доверие. Хороший социальный инженер планирует атаку подобно шахматной игре, предполагая вопросы, которые цель атаки может задать, так что у него могут быть готовы подходящие ответы. Одна из его основных техник включает создание чувства доверия со стороны его жертв. Как он заставляет Вас верить ему? Поверьте мне, может. Запомните: Доверие: ключ к обману Чем естественней социальный инженер общается с жертвой, тем больше он ослабляет подозрение. Когда у людей нет причины для подозрений, социальному инженеру становится легко приобрести доверие жертвы. Как только он получает ваше доверие, разводной мост опускается, и дверь замка распахивается, и он может зайти и взять ту информацию, что он хочет. Одноцентовый сотовый телефон Многие люди оглядываются пока не найдут лучшую сделку; социальные инженеры не ищут лучшую сделку, они ищут путь, чтобы сделать сделку выгоднее. Например, иногда компания запускает маркетинговую кампанию, так что вы не можете пропустить ее, пока социальный инженер смотрит на предложение и гадает, как он может улучшить сделку. Недавно, у национальной сотовой компании была акция: предлагали новый телефон за один цент, если вы подпишете контракт. Очень много людей обнаружило слишком поздно, что есть много вопросов, которые предусмотрительный покупатель должен спрашивать прежде, чем подписаться на контракт сотовой связи: план услуг аналоговый, цифровой, или комбинированный; количество бесплатных минут в месяц; включена ли в цену плата за роуминг, и так далее. Особенно ва.жно, чтобы понять перед заключением контракта, на сколько месяцев или лет Вы заключаете контракт? Одного социального инженера в Филадельфии привлек дешевый телефон, предложенный сотовой компанией в контракте, но он ненавидел тарифные планы, которые были в контракте. Не проблема. Вот один путь, по которому он мог управлять ситуацией. Первый звонок: Тед Сначала, социальный инженер звонит в магазин электроники в West Girard. «Электронный Город. Это Тед.» "Привет, Тед. Это — Адам. Слушай, Я пару дней назад говорил с продавцом о сотовом телефоне. Я сказал ему что перезвоню, когда решу, какой тарифный план выбрать, и я забыл его имя. Кто тот парень, который работал в этом отделе на днях? «Тут не один продавец. Это был Вильям?» «Я не уверен. Может быть, это было Вильям. Как он выглядит?» «Высокий худой парень». «Я думаю, это был он. Повторите пожалуйста, как его фамилия?» «Хедли Х—Е—Д—Л—И» «Да, вроде это был он. Когда он снова будет?» Я не знаю его расписание на эту неделю, но на вторую смену люди приходят около пяти". «Хорошо. Я проговорю с ним сегодня вечером. Спасибо, Тед.» Второй Звонок: Кети Следующий звонок — в магазин той же самой компании на North Broad Street. «Привет, Электронный Город. Кети на проводе, чем могу вам помочь?» «Кети, Привет. Это — Вильям Хедли, из магазина на West Girard. Как идут сегодня дела?» «Неважно, а что случилось» «У меня есть клиент, который пришел по акции “сотовый телефон за один цент”. Знаешь что я имею в виду?» «Знаю. Я продала пару таких на прошлой неделе». «У вас еще есть телефоны, которые идут с этой акцией?» «Получили кучу таких». «Прекрасно. Я только что продал один клиенту. Парень заплатил кредит; мы подписали с ним контракт. Телефон оказался бракованным, и у нас больше нет ни одного телефона. Я так смущен. Вы можете мне помочь? Я пошлю его в ваш магазин, чтобы приобрести телефон. Вы можете продать ему телефон за один цент? И он обязан перезвонить мне, как только он получит телефон, чтобы я смог ему рассказать про акцию». «Да, конечно. Пришлите его сюда». «Хорошо. Его имя Тед. Тед Янеси.» Когда парень, который назвал себя Тедом Янеси, появился в магазине на улице North Broad St. Кети выписала счет и продала сотовый телефон за один цент, так как ее просил коллега. Она попалась на трюк мошенника. Когда пришло время заплатить, покупатель не имел ни цента в кармане, так что он добрался до небольшой тарелки с мелочью у кассового аппарата, взял один, и дал девушке за регистрацию. Он получил телефон, не платя ни одного цента за это. Теперь он может прийти в другую компанию, которая использует телефоны того же стандарта и заказать себе другой тарифный план без контрактных обязательств. Анализ обмана Людям естественно доверять в более высокой степени коллеге, который чтото просит, и знает процедуры компании, жаргон. Социальный инженер в этом рассказе воспользовался преимуществом, узнав детали компании, выдавая себя за служащего компании, и прося помощи в другом филиале. Это случается между филиалами магазинов и между отделами в компании, люди физически разделяются и общаются по телефону, никогда не встречая друг друга.
Последнее редактирование модератором:
