[SEBLOG]Истории из книг про социальную инженерию

[SEBLOG]

В книгах про социальную инженерию много внимания уделяется историям про применение СИ.
И лично для меня это самая любимая часть книги.
В данной теме я опубликую 10 историй из книг Кевина Митника, это будет полезно для тех у кого так и не дошли руки до моей

Пожалуйста, Вход или Регистрация для просмотра содержимого URL-адресов!

Если вам удобнее читать статьи с телефона, то вот список данных статей размещенных на telegra.ph:

1. Пожалуйста, Вход или Регистрация для просмотра содержимого URL-адресов!
2. Пожалуйста, Вход или Регистрация для просмотра содержимого URL-адресов!
3. Пожалуйста, Вход или Регистрация для просмотра содержимого URL-адресов!
4. Пожалуйста, Вход или Регистрация для просмотра содержимого URL-адресов!
5. Пожалуйста, Вход или Регистрация для просмотра содержимого URL-адресов!
6. Пожалуйста, Вход или Регистрация для просмотра содержимого URL-адресов!
7. Пожалуйста, Вход или Регистрация для просмотра содержимого URL-адресов!
8. Пожалуйста, Вход или Регистрация для просмотра содержимого URL-адресов!
9. Пожалуйста, Вход или Регистрация для просмотра содержимого URL-адресов!
10. Пожалуйста, Вход или Регистрация для просмотра содержимого URL-адресов!

Истории из книг про социальную инженерию

@AboutSE

​

Эта статья рассказывает о Стенли Марке Рифкине, который благодаря паре телефонных звонков и несоблюдению своими коллегами правил безопасности заработал более 10 миллионов долларов.

Взлом тщательно охраняемого кода

В 1978 году Рифкин работал в банке по контракту и занимался разработкой системы для резервного копирования данных из помещения телеграфных переводов, в котором служащие каждый день получали и отправляли трансферты в несколько миллиардов долларов.
Эта должность позволила ему получить доступ к системе трансфертов - он мог наблюдать, что делали служащие банка для совершения операций. Он узнал, что служащие банка, уполномоченные на передачу трансфертов, каждое утро получали тщательно охраняемый код, используемый при осуществлении запросов.
Но в этом помещении работали некоторые служащие, не утруждавшие себя попытками запомнить новый код, изменявшийся каждый день, и записывающие его на листочек бумаги. И в один день Рифкин пришел в это помещение только для того, чтобы взглянуть на этот кусочек бумаги. Это было не сложно.

Классический случай обмана

Покинув комнату, он направился к платному таксофону в холле здания банка, в который опустил монету и набрал номер помещения для трансфертов. По телефону он представился Майклом Хансеном, служащим Международного Отдела банка.

- Привет, это Майк Хансен из международного, - сказал он молодой женщине, которая подняла трубку. Она запросила офисный номер. Эта была стандартная процедура, и он был к ней готов: "286" ответил он.
- ОК, ваш код?
- 4789, - ответил Рифкин. Затем он дал инструкции для перевода: "ровно 10 миллионов 200 тысяч долларов" для Компании Ирвин-Траст в Нью-Йорке в качестве кредита в Банк Wozchod Handels в Цюрихе, Швейцария, в котором у него уже был открыт счёт.
- ОК, готово. Сейчас мне нужен внутриофисный номер, - ответила девушка
Рифкин не ожидал этого вопроса, но он решил оставаться в роли, действуя как будто всё было нормально, и спокойно ответил: "Дай проверить, я перезвоню тебе позже".
Он позвонил в другое отделение банка, представившись работником из помещения для трансфертов. Он получил нужный номер и опять позвонил девушке.
- Спасибо, - ответила девушка.
​

Несколькими днями позже Рифкин прилетел в Швейцарию, забрал свои деньги и обменял более $8 миллионов на горстку алмазов. Затем он улетел обратно, прошёл через таможню США, спрятав алмазы в поясе для денег.
Стенли Рифкин использовал искусство обмана - навыки и технику, которая сегодня зовётся социальной инженерией. Скрупулёзный план и хорошо подвешенный язык - всё, что для этого нужно.

 

[SEBLOG]

Истории из книг про социальную инженерию

@AboutSE

​

Cкрытая ценность информации
Кажущаяся безвредной информация ценна для социального инженера, потому что может сыграть существенную роль в его попытке казаться правдоподобным.

Уязвимость финансовой индустрии​

В странах с развитой банковской системой почти кто угодно может зайти в банк и легко открыть расчётный счёт. Но банки не будут открывать счёт для кого-нибудь, кто может иметь за собой ситуации с неоплаченными счетами – это всё равно, что соглашаться на грабёж. Поэтому для многих банков стала стандартной практика быстрой оценки перспектив нового клиента.

Социальный инженер в действии​

Пусть одной из компаний, которые предоставляют банкам такую информацию, будет вымышленная PayBillChex. Они предоставляют своим клиентам ценную услугу, но, как и многие компании, также могут, не подозревая об этом, стать источником информации для социальных инженеров.

Первый звонок: Ким Эндрюс

- Национальный Банк, это Ким. Вы хотели открыть сегодня счёт?
- Привет, Ким. У меня есть к вам вопрос. Вы пользуетесь PayBillChex?
- Да.
- Когда вы звоните в PayBillChex, номер, который вы им даёте – это «Chex ID»?
Пауза. Она взвешивала вопрос, удивляясь, к чему это всё, и следует ли ей отвечать. Звонивший быстро продолжил, не теряя времени:
- Потому что, Ким, я работаю над книгой. Это касается частных исследований.
- Да, - сказала она, отвечая на вопрос под воздействием новых обстоятельств, польщённая тем, что помогает писателю.
- Итак, это называется Chex ID, правильно?
- Эээ, ага.
- ОК, отлично. Я хотел убедиться, что примечание в книге правильно. Спасибо за помощь. До свидания, Ким.
​

Второй звонок: Крис Тэлберт

- Национальный банк, новые счета, это Крис.
- Привет, Крис. Это Алекс. Я из отдела обслуживания клиентов PayBillChex. Мы делаем обзор по улучшению нашей службы. У вас есть для меня пара минут?
Она была рада помочь, и звонивший продолжил:
- ОК, в какие часы ваш отдел открыт? - Она ответила и продолжала отвечать на его список вопросов.
- Сколько служащих в вашем отделении пользуются нашей службой? Как часто вы звоните нам с запросами? Какой из наших номеров 800- вы используете для звонков? Наши представители всегда были вежливы? Сколько времени занимает наш ответ? Как давно вы работаете в банке? Какой Chex ID вы сейчас используете? Вы когда-нибудь обнаруживали неточности в информации, которую мы вам предоставляем? Есть ли у вас советы по улучшению нашей службы?
И:
- Вы не могли бы заполнить наши периодические анкеты с вопросами, которые мы пришлём в ваш отдел?
Она согласилась, они ещё немного поболтали, незнакомец повесил трубку, и Крис вернулась к работе.
​

Третий звонок: Генри МакКинси

- PayBillChex, это Генри МакКинси, чем могу вам помочь?
Звонивший сказал, что он из Национального Банка. Он назвал текущий Chex ID, имя и номер социального страхования человека, о котором он искал информацию. Генри спросил дату рождения и звонивший сказал её тоже. Через несколько секунд Генри прочитал список с экрана компьютера.
- Уэллс Фарго - есть сообщения о NSF однажды в 1998-м, в $2 066.
- Что-нибудь ещё после этого?
- Ничего.
- Были ли ещё какие-нибудь запросы?
- Сейчас посмотрю. Да, два, оба в прошлом месяце. Третий Объединённый Кредитный Союз Чикаго. - Он наткнулся на следующее имя, Взаимные Инвестиции Шенектеди. - Это в штате Нью-Йорк, - добавил он.
​

Частный сыщик​

Все три из этих звонков были сделаны одним человеком – частным сыщиком, которого мы будем называть Оскар Грейс. У Грейса появился новый клиент, один из первых. Ещё несколько месяцев назад он был полицейским. Он обнаружил, что кое-что в его новой работе добывалось обычным путём, но некоторая часть бросала вызов его ресурсами и изобретательности.
Новым клиентом Грейса была леди, которая заявила, что хочет сказать своему мужу о том, что хочет развода, но есть «только одна маленькая проблема». Кажется, её муженёк был на шаг впереди. Он уже снял все наличные с их сберегательного счёта и даже гораздо большую сумму с их брокерского счёта. Она хотела знать, куда подевались их активы, и сказала, что её адвокат по разводу не смог вообще ничем помочь.

Помощь Грейса​

• Шаг первый: разузнать о терминологии и выяснить, как сделать запрос так, чтобы он звучал, как будто вы знаете, о чём говорите. Ким в банке была настроена подозрительно, когда был задан вопрос, как клиенты идентифицируют себя, звоня в PayBillChex. Она колебалась, но когда её обманули, сказав, что проводится исследование для книги, это уменьшило её подозрения. Скажите, что вы писатель или сценарист и вам любой откроется.
• Шаг второй: следующий звонок свёл сыщика с Крис. Тактика заключалась в том, чтобы спрятать важные вопросы среди несущественных, которые служат, чтобы вызвать чувство доверия. Прежде чем были заданы вопросы о номере Chex ID в PayBillChex, был проведен небольшой тест, заданы личные вопрос о том, как долго она работает в банке. Есть одна вещь, о которой знают частные сыщики: никогда не заканчивать разговор сразу после получения нужной информации. Ещё два-три вопроса, немного болтовни и только тогда можно прощаться. Позже, если жертва вспомнит о чём вы спрашивали, это скорее всего будет пара последних вопросов. Остальные обычно забываются. Итак, Крис дала свой номер Chex ID и телефонный номер, по которому они делают запросы.
• Шаг третий: теперь сыщик мог в любое время позвонить в PayBillChex и получить необходимую информацию. При таком повороте событий служащий PayBillChex был счастлив поделиться точной информацией касающихся двух мест, в которых муж клиентки недавно открыл счета.

Анализ обмана​

Весь этот фокус основывался на единственной фундаментальной тактике социальной инженерии: получение доступа к информации, которую работники компании считают безвредной, когда на самом деле она опасна.
Первая банковская служащая подтвердила термин для описания номера идентификации, используемого для звонков в PayBillChex: Chex ID. Вторая выдала телефонный номер для звонков в PayBillChex и самый важный кусок информации: номер Chex ID банка. Вся эта информация казалась клерку безвредной. В конце концов, ведь банковская служащая думала, что она говорит с кем-то из PayBillChex – так что плохого было в раскрытии номера?
Всё это было положено в основу для третьего звонка. У Грейса было всё необходимое, чтобы позвонить в PayBillChex. Он представился служащим одного из банков-клиентов, - Национального банка, - и просто спросил всё, что нужно.
Ошибку первого служащего, касающуюся подтверждения терминологии номера ID PayBillChex, практически невозможно предотвратить. Эта информация столь широко известна в банковской индустрии, что кажется незначительной – хорошая модель безвредной информации. Но второй служащей, Крис, не следовало отвечать на вопросы без проверки, действительно ли звонивший был тем, кем назвался. По крайней мере, ей следовало спросить у него имя и номер, чтобы перезвонить. В этом случае атакующему было бы намного труднее замаскироваться под представителя PayBillChex.

Ещё больше историй на канале

Пожалуйста, Вход или Регистрация для просмотра содержимого URL-адресов!

 

[SEBLOG]

Истории из книг про социальную инженерию​

@AboutSE

​

Многие атаки социальной инженерии являются сложными, включая в себя тщательно планируемый ряд шагов, сочетая манипуляцию и технологические знания. Но искусный социальный инженер может достичь своей цели с помощью прямой атаки – надо только просто попросить информацию.

Номер, пожалуйста​

Атакующий позвонил по неофициальному номеру телефонной компании, в механизированный центр назначения линий. Женщине, поднявшей трубку, он сказал:

- Это Пол Энтони, кабельный монтер. Послушайте, здесь загорелась распределительная коробка. Полицейские считают, кто-то пытался поджечь собственный дом, чтобы получить страховку. Я остался здесь заново монтировать целый терминал из двухсот пар. Мне сейчас очень нужна помощь. Какое оборудование должно работать по адресу Парк Авеню, 3447?​

В других подразделениях компании знают, что подобные сведения предоставляются только уполномоченным лицам. Предполагается, что о центре известно только служащим компании. И если информация никогда не оглашалась, кто мог отказать в помощи сотруднику компании, выполняющему тяжелую работу? Она сочувствовала ему и она немного нарушила правила, чтобы помочь коллеге с решением проблемы. Она сообщила ему действующий номер и адрес для каждой из кабельных пар.

В бегах​

Фрэнк был в бегах долгие годы, находясь в федеральном розыске за участие в подпольной антивоенной группировке в 1960-х гг.
В некоторый момент времени Фрэнк остановился в городе и быстро нашел высокооплачиваемое, постоянное место работы рядом со своим домом. Но работодатель требовал от соискателя предоставить копию криминальной характеристики, которую он должен был принести из полиции штата. Пачка документов включала в себя бланк с местом для отпечатков пальцев. Даже если требовался только отпечаток правого указательного пальца, его могли сверить с отпечатком из базы данных ФБР. С другой стороны, возможно, образцы отпечатков пальцев не отправлялись из штата в ФБР. Как это выяснить?

Звонок в патруль штата

- Привет. Мы выполняем исследование для министерства юстиции. Мы изучаем требования к новой системе идентификации отпечатков пальцев. Могу я поговорить с кем-нибудь, кто действительно разбирается в этом, и мог бы нам помочь?
Когда к телефону подошел местный специалист, Фрэнк задал ряд вопросов:
- Какие системы вы используете?
- Какие возможности исследования и хранения отпечатков пальцев вы используете?
- Были ли у вас проблемы с оборудованием?
- Связаны ли вы с картотекой отпечатков национального информационного центра или работаете в пределах штата?
- Является ли оборудование достаточно простым для всех, кто обучается его использованию?​

Ответ был музыкой для его ушей: они не связаны с национальным центром, они только сверяются по криминальной базе данных штата.

Афера Стива​

Телефонные компании не допускают свободного распространения книг с тщательно скрываемыми тестовыми номерами, предназначенными для, например, тестирования магистрали. Поэтому фрикерам приходится быть особенно изобретательными.

Звонок в офис телефонной компании

Стив, звонит в центральный офис небольшой телефонной компании, здание, от которого отходят телефонные линии ко всем домам и фирмам в зоне обслуживания. Когда дежурный электромонтер отвечает на звонок, Стив говорит:

- Я из подразделения компании, которое издает и распространяет печатные материалы. У нас есть новый справочник тестовых номеров, - говорит он. – Но из соображений безопасности мы не можем отдать ваш экземпляр, пока не получим старый. Посыльный будет позже. Если вы хотите, оставьте ваш экземпляр прямо за дверью, он может заехать, забрать его и положить новый.​

Ничего не подозревающему электромонтеру это кажется разумным. Он делает так, как его попросили, кладет на пороге здания свой справочник, на обложке которого ясно написано большими красными буквами:
«СЕКРЕТНЫЙ ДОКУМЕНТ КОМПАНИИ. В СЛУЧАЕ НЕНАДОБНОСТИ УНИЧТОЖИТЬ».

Стив приезжает, небрежно берет справочник и уезжает.

Ещё больше историй на канале

Пожалуйста, Вход или Регистрация для просмотра содержимого URL-адресов!

 

[SEBLOG]

Истории из книг про социальную инженерию

@AboutSE

​

Почему атака социальной инженерией так успешна? Просто люди полностью уязвимы перед обманом, поскольку могут изменить доверие, если манипулировать определенным образом.
Социальный инженер ожидает подозрение и недоверие, и он всегда подготавливается, чтобы недоверие превратить в доверие. Одна из основных техник - создание чувства доверия со стороны жертвы.

Внушая доверие​

Чем естественней социальный инженер общается с жертвой, тем больше он ослабляет подозрение. Когда у людей нет причины для подозрений, социальному инженеру становится легко приобрести доверие жертвы и взять ту информацию, которую он хочет.

Первый звонок: Андреа Лопес

Андреа Лопес ответила на телефонный звонок в видео-прокат. Голос в трубке сказал:
- У меня осталось очень хорошее впечатление о сервисе видео-проката, мне хочется послать менеджеру письмо, и сообщить об этом. Скажите имя менеджера и его почтовый адрес.
Андреа сообщила ему, что менеджера зовут Томми Элисон, и дала адрес. Когда звонивший хотел положить трубку, у него появилась другая идея:
- Я б мог написать в офис вашей компании, тоже. Какой номер вашего магазина?
Девушка также дала ему и эту информацию. Он поблагодарил и попрощался.
​

Второй звонок: Джинни

- Спасибо за звонок в Видео Студию. Это - Джинни, чем могу Вам помочь?
- Привет, Джинни. Это - Томми Элисон, менеджер магазин 863 в Форест Парке. У нас есть клиент здесь, что хочет арендовать Рокки 5, но у нас нет ни одного экземпляра. Вы можете проверить, есть ли у вас?
Она вернулась на линию через несколько секунд и сказала: "Да, у нас есть три копии".
- Хорошо, я спрошу, хочет ли он подъехать к вам. Спасибо. Если Вам когда-либо будет нужна любая помощь нашего магазина, просто позвоните и попросите Томми. Я буду рад сделать для Вас все, что смогу.
Три или четыре раза на протяжении следующих нескольких недель, Джинни получала звонки от Томми для помощи в том или ином деле. Однажды Томми позвонил и спросил:
- У вас есть проблемы с компьютерами?
- Нет,- ответила Джинни,- А почему должны быть?
- Кто-то разбил автомобиль о телефонный столб, и телефонная компания заявляет, что целая часть города останется без связи и Интернета до тех пор, пока как они все исправят.
- О нет! Были человеческие жертвы?
- Они увезли его в скорой помощи. Как бы то ни было, мне нужна небольшая помощь. Здесь ваш клиент, он хочет арендовать Крестного Отца II, и у него нет с собой его карты. Ты не могла бы проверить его информацию для меня?
- Да, конечно.
Томми дал имя клиента и адрес, и Джинни нашла его в компьютере. Она дала Томми учетный номер.
- Никаких поздних возвращений или долга? - Спросил Томми.
- Ничего не вижу.
- Хорошо, прекрасно. Я подпишу его вручную для счета и внесу в нашу базу данных позже, когда компьютеры снова заработают нормально. Он хочет оплатить счет карточкой Visa, которую он использует в вашем магазине, а у него нет с собой карты. Какой номер карты и дата истечения срока?
Она дала ему номер, вместе с датой истечения срока.
Томми сказал: "Спасибо за помощь. Поговорим позже", и положил трубку.
​

История Долли Лоннеган​

Лоннеган – бывший сборщик долгов в азартных играх. В этом случае, ему предлагали значительную сумму наличных за несколько телефонных звонков в видеомагазин.
Люди не выписывают чеки, чтобы покрыть долги, когда им не везет или они поступают глупо за игрой в покер. Каждый знает это. Проигравший не имел при себе денег, так что победители взяли чек. Но они не подвели его к ATM, чтобы он обналичил его, и чек оказался фальшивым.
Лоннеган не очень спешил. Четыре телефонных звонка к менеджеру магазина, и затем, бинго - у него есть номер карты Visa мошенника.

Ещё больше историй на канале

Пожалуйста, Вход или Регистрация для просмотра содержимого URL-адресов!

 

[SEBLOG]

Истории из книг про социальную инженерию

@AboutSE

​

Мы все благодарны, когда кто-нибудь со знанием, опытом и желанием помочь приходит и предлагает помочь с проблемами. Социальный инженер понимает это, и знает, как извлечь из этого выгоду.
Он также знает как создать вам проблему, а потом сделать вас благодарными, когда он решит проблему. Поиграв на вашем чувстве благодарности, извлечет из вас информацию или попросит оказать небольшую услугу, которая оставит вас в гораздо более плохом состоянии после встречи. И вы можете даже не узнать, что вы потеряли что-то ценное.

Первый звонок: Том ДиЛэй

- Том ДиЛэй, бухгалтерия.
- Здравствуй, Том, это Эдди Мартин, отдел техпомощи, мы пытаемся найти причины неисправности компьютерной сети. Были ли у кого-либо в вашей группе проблемы с подключением?
- Нет, я не в курсе.
- А у тебя?
- Нет, все вроде в порядке.
- Окей, это хорошо. Мы звоним людям, на кого это может повлиять, потому что важно всех проинформировать заранее, если будут внезапные отключения.
- Это звучит нехорошо. Вы думаете, это может случиться?
- Надеюсь, что нет, но если что случится, позвонишь?
- Можешь не сомневаться.
- Похоже, отсутствие связи будет для тебя проблемой.
- Бесспорно.
- Так что пока мы над этим работаем, я дам тебе свой сотовый. Тогда ты сможешь мне все сообщить при первой необходимости.
- Отлично, говори.
- Номер 555 867 5309.
- 555 867 5309. Записал. Спасибо. А как тебя зовут?
- Эдди. И последнее. Мне надо знать, к какому порту подключен твой компьютер. Посмотри, там где-то есть наклейка с надписью - Порт N...
- Сейчас... Нет, не вижу ничего подобного.
- Ладно, тогда сзади компьютера. Ты узнаешь сетевой провод?
- Да.
- Тогда посмотри, где он подключен. Там должна быть табличка.
- Подожди секунду. Сейчас. Мне придется туда пролезть, чтобы ее увидеть. Вот. На ней написано Порт 6-47.
- Отлично, как раз как записано про тебя. Просто проверяю.

​

Второй звонок: Человек из техобслуживания

Через пару дней поступил звонок в отдел локальной сети.

- Здравствуй, это Боб, я в офисе Тома ДиЛэя из бухгалтерии. Мы пытаемся найти неисправность в кабеле. Надо отключить порт 6-47.
​

Человек из техобслуживания сказал, что это будет сделано за несколько минут, и попросил перезвонить, когда потребуется включить порт.

Третий звонок: Помощь от врага.

Примерно через час, человек, представившийся как Эдди Мартин, ходил по магазинам в Circuit City, и вдруг зазвенел телефон. Он посмотрел номер звонящего, узнал, что он из кораблестроительной компании поспешил в спокойное, тихое место, прежде чем ответить.

- Отдел техпомощи, Эдди.
- О, здравствуй, Эдди. Проблемы со связью. Ты где?
- Я, э, в кабельной комнате. Кто это?
- Это Том ДиЛэй. Я рад, что нашел тебя. Может, помнишь, ты мне звонил недавно? Мое соединение не работает, как ты и говорил, и я немножко паникую.
- Да, у нас сейчас отключена куча людей. Но мы все поправим к концу дня. Сойдет?
- НЕТ! Черт, я серьезно отстану, если я буду отключен столько времени. Никак нельзя побыстрее?
- Насколько это важно?
- Пока я могу заняться другими делами. Может, ты все поправишь за полчаса?
- ПОЛЧАСА? Ну ладно, я брошу то, чем я занимаюсь, и попытаюсь сделать что-нибудь для тебя.
- Я очень благодарен, Эдди!
​

Четвертый звонок: Попался!

Через 45 минут...

- Том? Это Эдди. Проверь свое подключение.
Через несколько минут:
- Отлично, оно работает. Великолепно.
- Хорошо, что я смог тебе помочь.
- Да, спасибо большое.
- Слушай, если ты хочешь быть уверен, что твое подключение больше не прервется, надо поставить одну программку.
- Сейчас не лучшее время.
- Я понимаю... Но зато не будет проблем в следующий раз, когда произойдет сбой сети.
- Ну... только если это займет несколько минут.
- Вот что надо сделать...​

Эдди рассказал Тому, как скачать маленькое приложение с одного сайта. После того, как программа скачалась, Эдди сказал запустить ее двойным щелчком мыши. Он попробовал и сказал:

- Не работает. Она ничего не делает- .
- Ужас. Наверно, что-то не так с программой. Давай от нее избавимся, и попробуем еще раз в другое время.
​

Он рассказал Тому, как безвозвратно удалить программу.

История атакующего​

Бобби Уоллас считал, что это смешно, когда он находил хорошее задание, вроде этого, и его клиент увиливал от неприкрытого, но очевидного вопроса - зачем ему нужна эта информация. В данном случае он мог предположить, что могут быть только две причины. Возможно, они были заинтересованы в покупке кораблестроительной компании Starboard, и хотели узнать, как у них обстоят дела с финансами - особенно все то, что компания может скрывать от потенциального покупателя. Или они были представителями инвесторов, которые думали, что есть что-то подозрительное в том, что делается с деньгами, и хотели узнать, не вмешаны ли их исполнители во что-либо.
А возможно, клиент не хотел говорить Бобби истинную причину потому, что если он узнает, насколько ценна информация, он, скорее всего, попросит больше денег.

Как это было​

Существует множество способов взломать самые секретные файлы компании. Бобби провел несколько дней, обдумывая различные варианты и выполняя небольшую проверку перед тем, как он наметил план. Он остановился на том, в котором применялся его любимый подход, где все подстроено так, что жертва просит атакующего о помощи.
Для начала, Бобби купил сотовый телефон за $39.95 в продуктовом магазине. Он позвонил мужчине, которого он выбрал в качестве цели, представился сотрудником техподдержки компании, и устроил все так, чтобы мужчина позвонил Бобби на сотовый, если возникнет проблема с сетью.
Он сделал паузу в несколько дней, чтобы все не было слишком очевидно, и позвонил в центр сетевых операций (ЦСО) той компании. Он утверждал, что устраняет проблему для Тома, его жертвы, и попросил отключить сеть Тому. Бобби знал, что это была самая коварная часть плана - во многих компаниях люди из техпомощи тесно общались с ЦСО; на самом деле, он знал, что техпомощь обычно является частью IT отдела организации. Но равнодушный парень из ЦСО, с которым он говорил, принял звонок как рутину, и даже не спросил имя человека из техпомощи, который теоретически работал над проблемой в сети, и согласился отключить сетевой порт - цели- . Когда все будет сделано, Том будет полностью изолирован от локальной сети компании, не сможет работать с файлами с сервера, обмениваться информацией с сотрудниками, скачивать почту, и даже отправлять страницы на принтер. В сегодняшнем мире, это все равно, что жить в пещере.
Как Бобби и ожидал, вскоре зазвенел его сотовый. Конечно, он старался звучать так, будто он жаждет помочь своему товарищу-сотруднику в беде. Тогда он позвонил в ЦСО и вновь включил сетевое соединение мужчины. Наконец, он позвонил мужчине и снова использовал его, на этот раз, заставив его почувствовать вину, сказав нет после того, как Бобби оказал ему услугу. Том согласился выполнить просьбу и скачал программу на свой компьютер.
Конечно, то, с чем он согласился, не было тем же, чем казалось. Программа, которая, как было сказано Тому, должна была предотвращать отключение его соединения, на самом деле была троянским конем - программным приложением, которое сделало с компьютером Тома то же, что первоначально сделали с Троянцами: она была внесена противником в лагерь. Том отчитался, что ничего не произошло, когда он 2 раза кликнул по ярлыку; на самом деле, было задумано, чтобы он не мог видеть, как что-то происходит, даже не смотря на то, что приложение установило секретную программу, которая позволит взломщику получать скрытый доступ к компьютеру Тома.
С работающей программой, Бобби получал полный контроль над компьютером Тома. Когда Бобби подключился к ПК Тома, он смог посмотреть все бухгалтерские файлы, которые могут оказаться интересными, и скопировать их. Затем, в свое удовольствие, он проверил файлы на наличие информации, которая даст клиентам то, что они ищут.

Ещё больше историй на канале

Пожалуйста, Вход или Регистрация для просмотра содержимого URL-адресов!

 

[SEBLOG]

Истории из книг про социальную инженерию​

@AboutSE

​

Социальный инженер использует психологию влияния в достижении своей цели и исполнения просьб. Опытные социальные инженеры очень сведущи в развитии уловок, симулирующих эмоции, такие как страх, возбуждение или вина. Они делают это, используя психологические рычаги - автоматические механизмы, которые ведут людей к исполнению требований без всякой доступной им информации.

СОЧУВСТВИЕ​

Визит в студию

Вы когда-нибудь замечали, как некоторые люди проходят через охрану на танцевальный вечер в отеле, приватную вечеринку, или презентацию книги без всякого билета или приглашения?
В большинстве случаев, социальный инженер может добиться прохода в такие места, о которых вы и не думали, что это возможно. В этом вы убедитесь на примере следующей истории об индустрии создания фильмов.

Телефонный звонок

- Офис Рона Хилларда. Это Дороти.
- Привет Дороти. Меня зовут Кайл Беллами. Я только что приступил к работе в отделе Анимации в компании Брайана Глассмана. Вы, ребята, занимаетесь совсем другой деятельностью.
- Я понимаю. Я мало работала над другими фильмами, поэтому не являюсь знатоком. Что я могу для вас сделать?
- Честно говоря, я чувствую себя довольно тупо. В послеобеденное время ко мне должен прийти писатель, но я даже не знаю, с кем буду говорить и как помочь ему влиться в компанию. Люди из офиса Брайана очень милые, но я не хочу лишний раз надоедать им, как мне сделать это, как мне сделать то. Это как будто я только перешел в старшие классы и не могу найти дорогу в уборную. Вы понимаете о чем я?
- Вам следует поговорить с отделом безопасности. Наберите 7, а потом 6138. Если попадете на Лорен, то скажите, что Дороти просит помочь вам.
- Спасибо, Дороти. И если я не найду уборную, я позвоню вам!
​

Они посмеялись над этой фразой и завершили телефонный разговор.

История Дэвида Гарольда

Я люблю фильмы, и когда я переехал в Лос-Анджелес, думал, что повстречаю много людей, работающих в киноиндустрии и они проведут меня на вечеринки в студиях. Я был там где-то год и самое лучшее, чего я достиг - это тур по студии Юниверсал. Все подошло к тому, что если бы они не пригласили меня, то я сам сделал бы это. Собственно говоря, так и получилось.
Я купил экземпляр Лос-Анджелес Таймс и читал колонку развлечений на ближайшие пару дней, записывая имена продюсеров различных студий. Я решил попробовать пробиться на одну из больших студий. Так, я позвонил на коммутатор и спросил номер офиса продюсера, о котором я прочитал в газете. Голос Дороти звучал по-матерински, так что мне удавалось добиться удачи. Если бы на ее месте была молоденькая девушка, она бы не стала тратить на меня время.
Когда в тот полдень я подъехал к воротам, у них не только было мое имя в списке посетителей, но и место на стоянке для меня. У меня был небольшой ланч с интендантом и мне бы хотелось большего до конца дня. Я даже пробрался на пару сцен и посмотрел, как снимают фильмы. Я был там до 7 часов. Это был мой самый интересный день.

Анализ обмана

Все когда-то были вновь пришедшими служащими. Все мы помним, что было в первый день, особенно когда мы были молодыми и неопытными. Так что, когда новичок просит о помощи, он может ожидать, что много людей вспомнят о своих первых шагах на этом поприще и протянут ему руку помощи. Социальный инженер знает это и понимает, что может использовать данное знание, чтобы сыграть на симпатиях своей жертвы.
Мы слишком просто позволяем чужакам пробраться в наши компании и офисы. Даже с охранниками на входе и входными процедурами для не служащих компании, какая-нибудь из разнообразных уловок, использующихся в этой истории позволит злоумышленнику получить бэйджик посетителя и пройти вовнутрь. А если ваша компания предоставляет сопровождающих для таких посетителей? Это хорошее правило, но оно эффективно лишь в том случае, если ваши работники добросовестно останавливают всех с или без бэйджика посетителя, разгуливающего в одиночку. И если он не скажет ничего вразумительного, его стоит передать службе безопасности.

ЗАПУГИВАНИЕ​

Популярная и высоко эффективная форма запугивания - популярна в больших масштабах, в силу простоты - основывается на влиянии на человеческое поведение, используя авторитет.
Даже просто имя помощника в офисе CEO может быть ценным. Частные сыщики делают это все время. Они позвонят оператору коммутатора и скажут, что хотят подсоединиться к офису CEO. Когда секретарь или главный помощник ответит, они скажут, что у них в наличии имеется документ или пакет для CEO, или если они отправят е-мэйл приложение, распечатает ли она его?
Или иначе, они спросят, какой номер факса? И, кстати, как вас зовут?
Затем они звонят следующему человеку и говорят, "Дженни из офиса мистера Бигса сказала, что вы мне можете помочь кое с чем".
Эту технику можно назвать "бросанием имени", и обычно она используется как метод быстрой установки связи путем влияния на человека, которое заключается в том, что цель начинает верить в связь атакующего с кем-то из крупных специалистов. Лучше всего, если цель оказывает услугу кому-либо, кто знаком с тем, кого знает используемый человек.
Если атакующий нацелился на довольно важную информацию, он может использовать такой вариант, как пробуждение нужных эмоций в жертве, таких как страх доставить неприятности кому-либо из вышестоящих. Рассмотрим следующий пример.

История Скотта

- Скотт, это Кристофер Далбридж. Я только что разговаривал по телефону с мистером Бигли, и надо сказать, что он больше, чем невесел. Он говорит, что десять дней назад передал вашим людям записку об исследовании степени интеграции рынка, которую они должны были откопировать и отправить нам для анализа. И мы ее не получали.
- Исследование степени интеграции рынка? Никто не говорил мне об этом. В каком вы ведомстве?
- Он нанял нашу консультационную фирму, и мы уже перед сдачей работы.
- Послушайте, я сейчас направляюсь на встречу. Скажите мне свой номер телефона и...
- Это то, что вы хотите, чтобы я сказал мистеру Бигли? Послушайте, завтра утром он ожидает итога работы наших аналитиков и нам придется работать над этим всю ночь. А теперь, вы хотите, чтобы я сказал ему, что мы не смогли выполнить работу из-за того, что не получили заметку от вас, или, быть может, вы сами хотите сказать ему об этом?
​

Анализ обмана

Уловка с использованием запугивания со ссылкой на авторитет работает особенно хорошо в том случае, если другой человек имеет достаточно низкий статус в компании. Использование важного человеческого имени помогает не только побороть нормальное чувство подозрения, но и делает человека более внимательным; врожденный инстинкт желания быть полезным увеличивается, когда вы думаете, что персона, которой вы помогаете, важна и влиятельна.
Социальный инженер также знает, что лучший путь использования данного трюка - использовать имя кого-то более вышестоящего, чем босс жертвы. И данный трюк довольно ненадежен, если использовать его внутри малой организации.

Ещё больше историй на канале

Пожалуйста, Вход или Регистрация для просмотра содержимого URL-адресов!

 

[SEBLOG]

Истории из книг про социальную инженерию

@AboutSE

​

Предложение чего-либо бесплатного является хорошей уловкой для получения больших доходов в законном («Но подождите, это еще не всё! Позвоните прямо сейчас, и вы получите бесплатный набор ножей!») и не совсем законном («Купите один акр заболоченных земель во Флориде, и второй Вы получите бесплатно!») бизнесе.

Это пришло в письме​

Скорее всего, вы каждый день получаете нежданные письма, которые содержат в себе рекламные объявления или предложения чего-либо, в чем вы не нуждаетесь, но и не хотите. Они обычно обещают советы по размещению капитала, скидки на компьютеры, телевидение, камеры, витамины или путешествия, предлагают кредитные карты, которые вам не нужны, устройство, которое позволит вам бесплатно смотреть платные каналы, пути улучшения вашего здоровья или сексуальной жизни и т.д.
Что бы ни предлагалось, вам придется скачать файл с товарами, которые это сообщение убеждает вас попробовать. Все эти действия – закачка программы, о которой вы узнали в рекламном письме, щелканье по ссылке, которая отправит вас на сайт, о котором вы раньше не слышали, запуск приложения от кого-то, кто вам незнаком – это своеобразное начало проблем.
Атакующий должен, прежде всего, убедить вас скачать приложение, чтобы атака удалась.

Наиболее опасными являются следующие типы вредоносных программ:

• Утилита удаленного администрирования – это троян, который дает взломщику полный контроль над вашим компьютером, как будто он сам сидит за вашей клавиатурой.
• Вредоносное программное обеспечение, которое добавляет на ваш компьютер программу, работающую без вашего ведома или согласия, или выполняющую задание без предупреждения.
• Программа, которая может отправлять взломщику каждое сказанное вами в микрофон слово, даже если вы думаете, что он выключен.
• Если у вас есть веб-камера, тогда взломщик может захватить все, что попадает в обзор напротив вашего терминала, даже если вы думаете, что камера не работает.

Несуществующая ссылка
​

Отставной страховой агент по имени Эдгар получил письмо от PayPal, компании, которая предоставляла быстрый и удобный путь совершения он-лайн покупок. Он был заинтересован в получении письма на выходных 2001 года, которое, казалось, было отправлено от кого-то PayPal, предлагающего ему награду за обновления своего PayPal счета. В письме было написано:

Сезонные поздравления нашим дорогим клиентам PayPal;
В честь прихода Нового Года PayPal желает добавить 5$ на ваш счет!
Все, что вам требуется, чтобы получить в подарок 5$ – обновить вашу информацию на защищенном сайте PayPal к 1 Января, 2002. Год приносит много изменений и, обновив вашу информацию, вы позволите нам продолжать предоставлять вам и другим дорогим клиентам сервис отличный сервис и, между тем, неуклонно придерживайтесь нашей инструкции!
Чтобы обновить вашу информацию прямо сейчас и получить 5$ на ваш PayPal аккаунт, щелкните по этой ссылке:

Пожалуйста, Вход или Регистрация для просмотра содержимого URL-адресов!

Благодарим вас за использование PayPal.com и помощь в дальнейшем развитии нашей компании!
От всего сердца желаем вам счастливого Нового Года!
Команда PayPal
​

Анализ обмана

Эдгар попался на трюк, в котором обманщики зарегистрировали веб-сайт с именем «paypal-secure.com» – который звучит так, будто бы это защищенная страница законного PayPal сайта, но это не так. Когда он ввел информацию на том сайте, взломщики получили то, что хотели.
Один трюк используется регулярно. Отправляется письмо с соблазнительной причиной посетить сайт и предоставляется прямая ссылка на него. Кроме этого, ссылка не доставляет вас на сайт, который вы ожидаете увидеть, потому что ссылка только имеет сходство со ссылкой на тот сайт. Вот вам другой пример, который начал использоваться в Интернете, снова злоупотребляя именем PayPal:

www.PayPai.com

В принципе, это выглядит так, будто речь идет о PayPal. Даже если жертва заметит, то может подумать, что это всего лишь незначительная ошибка в тексте, которая переделала "I" в "i". И кто заметит, что в адресе

www.PayPa1.com

используется цифра 1 вместо прописной "L"? Существует достаточно людей, которые допускают опечатки и другие неправильные указания и тем самым прибавляют популярности этой затее ворующих кредитки. Когда люди идут на фальшивый сайт, он выглядит так же, как и сайт, который они ожидают увидеть, и они жизнерадостно вводят информацию об их кредитке. Чтобы провернуть один из этих ужасов, взломщику всего лишь нужно зарегистрировать фальшивое доменное имя, разослать письма и ждать дураков, чтобы обмануть их.
Если вы замечаете в подобных письмах ошибки, это может быть сигналом к тому что письмо мошенническое.

Будьте бдительны​

Будучи отдельными пользователями Интернета, нам нужно быть бдительными, принимая сознательное решение, когда безопасно вводить персональную информацию, пароли, номера аккаунтов, пины и т.д.

Вирусы​

Сверх обычной инсталляции антивирусных программ на компьютеры, пользователям явно нужно подключать программное обеспечение (чего многие люди не очень любят делать, так как это замедляет некоторые функции компьютера). Следует настроить антивирусные программы таким образом, чтобы они автоматически обновлялись каждый день.

Ещё больше историй на канале

Пожалуйста, Вход или Регистрация для просмотра содержимого URL-адресов!

 

[SEBLOG]

Истории из книг про социальную инженерию

@AboutSE

​

Вы знаете, как социальные инженеры обманывают людей, предлагая им свою помощь. Другой излюбленный подход основан на обратном: социальный инженер делает вид, что нуждается в помощи другого человека.

Чужак​

Вы уже знаете, как атакующий может заставить служащего сообщить свой (табельный) номер. В этой истории применяется другой подход, чтобы добиться того же результата, и показывает, как атакующий может им воспользоваться.
Взломщик Брайан Аттерби знал, что почти всегда легче проникнуть в сеть в одном из отдаленных мест, где уровень безопасности компании должен быть ниже, чем в головном офисе. Он позвонил в офис в Чикаго и попросил соединить с мистером Джонсом.

Секретарь в приемной спросила, знает ли он имя мистера Джонса.
– Оно где то здесь, я ищу его. Сколько у вас работает Джонсов?
– Три. В каком он подразделении?
– Если вы зачитаете мне имена, может, я вспомню его.
– Барри, Джозеф и Гордон.
– Джо. Я вполне уверен, что это он. И… в каком он подразделении?
– Развития бизнеса
– Отлично. Соедините меня с ним, пожалуйста.
Она соединила его. Когда Джонс взял трубку, атакующий сказал:
«Мистер Джонс? Это Тони из отдела (начисления) заработной платы. Мы как раз выполняем ваш запрос о переводе ваших денег на кредитный счет».
– ЧТО?! Вас обманули. Я не делал таких запросов. У меня даже нет счета.
– Проклятие, я уже выполнил запрос.
– Я понимаю, что произошло. Изменения вносятся по номеру служащего. Какой у вас номер?
Джонс сообщил свой номер.
– Действительно, вы не делали запрос. Я внесу исправление прямо сейчас. Не беспокойтесь, вы получите вашу зарплату без проблем», – заверил парень.
​

Почти сразу после этого позвонили системному администратору в отдел сбыта в Остине, Техас.

– Это Джозеф Джонс. Я из отдела развития бизнеса. Я буду в отеле Дрискил через неделю. Мне нужна временная учетная запись, чтобы я мог получать электронную почту, не делая междугородных звонков.
– Повторите имя и сообщите мне свой номер.
Лже Джонс дал ему номер. И продолжил.
– У вас есть высокоскоростные номера?»
– Подожди, приятель. Я должен проверить тебя по базе данных.
Через некоторое время он сказал: «О.К., Джо. Скажи мне номер дома».
​

Атакующий тщательно подготовился и держал ответ наготове.

Анализ обмана

С помощью пары звонков и 15 минут атакующий получил доступ к глобальной сети компании.
Атакующий получил номер для удаленного доступа и учетную запись. Поэтому ему даже не надо было беспокоиться о проникновении через Интернет. Будучи внутри, он легко мог скомпрометировать большинство систем во внутренней сети.

Неосторожный руководитель​

Эта история рассказывает о том, как руководитель компьютерного центра – тот, кто является частью отдела информационных технологий компании – окажется жертвой явной игры социальной инженерии.
Социальный инженер Дэнни надеялся получить доступ к коду, который позволил бы ему узнать, как прослушивать разговоры правоохранительных органов и, возможно, использовать технологию так, чтобы даже самым влиятельным государственным органам было сложно отследить его разговоры с друзьями.
Он позвонил на завод, попросил соединить с машинным залом и связался с оператором, который представился как Роджер Ковальски.

Назвав имя настоящего служащего, Дэнни сказал:
– Это Боб Билингс. Я работаю в группе защищенной связи. Я сейчас дома и не могу приехать из за метели. Проблема в том, что мне нужен доступ к моему компьютеру и серверу из дома, а я оставил безопасный ID в столе. Не могли бы вы принести его? Или кто нибудь? А потом прочитать мой код, когда надо будет ввести его? Сроки выполнения у моей группы подходят к концу, и у меня нет другого способа закончить работу. И нет способа попасть в офис – дороги слишком опасны.
–Я не могу оставить вычислительный центр
– А у вас есть безопасный ID?
– В центре есть один. Мы храним один для операторов на случай крайней необходимости.
– Послушайте, Вы не могли бы оказать мне большую услугу? Можно позаимствовать ваш безопасный

Пожалуйста, Вход или Регистрация для просмотра содержимого URL-адресов!

, когда мне нужно будет войти в сеть? На время, пока опасно ездить по дорогам?
– Кто вы? Для кого вы делаете работу?
– Для Эда Трентона.
–Ах да, я знаю его.
– Я работаю на втором этаже, рядом с Роем Такером.
Это имя он тоже знал. Дэнни продолжил обрабатывать его.
«Будет проще подойти к моему столу и принести мой безопасный ID.»
Ковальски не хотел ни отказывать парню, нуждавшемуся в помощи, ни соглашаться и быть втянутым в проблему. Поэтому он отложил решение:
«Я должен позвонить моему боссу. Подождите».
Через несколько минут Ковальски снова взял трубку, сказал:
«Мой руководитель хочет поговорить с вами сам», и дал ему имя и номер сотового телефона.
Дэнни позвонил руководителю и повторил историю снова, подробно рассказав о проекте, над которым он работал, и почему его группа должна закончить работу в срок. «Проще будет кому нибудь подойти к моему столу и взять мою карту, – сказал он. – Я не думаю, что стол заперт, карта должна быть в левом верхнем ящике».
Хорошо, – сказал руководитель, – думаю, на выходные мы можем разрешить вам использовать безопасный ID из вычислительного центра. Я скажу дежурным, чтобы они считали случайный код, когда вы позвоните», и дал ему PIN код для использования.
​

Анализ обмана

Как и в предыдущей истории, уловка сработала только потому, что один из работников компании слишком охотно принял, что звонящий был действительно служащим, которым он представился.
Одна деталь в махинации Дэнни была восхитительной. Когда он просил кого нибудь принести жетон из своего стола, он настаивал на том, чтобы кто то «принес» его для него. «Принеси» – это команда, которую вы даете своей собаке. Никто не хочет, чтобы ему велели принести что нибудь. С помощью одного слова Дэнни сделал так, чтобы просьба была отклонена, было принято другое решение, именно то, которое хотелось ему.
Оператор вычислительного центра, Ковальски, был обманут Дэнни с помощью имен людей, которых он знал. Но почему руководитель Ковальски – IT руководитель, не меньше, – позволил чужаку проникнуть во внутреннюю сеть компании? Просто потому что звонок о помощи может быть мощным убедительным инструментом в арсенале социального инженера.
Предотвращение обмана

Хороший способ удостоверить личность человека, обратившегося с просьбой, позвонить по телефонному номеру, указанному в справочнике компании. Если человек, обратившийся с просьбой, действительно атакующий, проверочный звонок позволит поговорить с настоящим человеком по телефону, пока самозванец не положил трубку, или выйти на голосовую почту служащего, которая позволит сравнить его голос с голосом атакующего.

Ещё больше историй на канале

Пожалуйста, Вход или Регистрация для просмотра содержимого URL-адресов!

 

[SEBLOG]

Истории из книг про социальную инженерию

@AboutSE

​

Когда Вы воруете деньги или вещи, кто-то замечает, что они пропали. Если Вы украли информацию, часто никто этого не заметит, так как информация по-прежнему остается у владельца.

Искусство дружелюбного убеждения

Социальный инженер имеет массу коммуникативных качеств, развитые способности для использования людей и манипулирования ими.
Эта история Винса Капели, сына уличного полицейского, которому удалось заглянуть в банковские счета парня по имени Джо Марковиц. Было подозрение, что он провернул темное дело с бывшим другом. Друг захотел узнать, достаточно ли богат Джо, чтобы в случае подачи иска получить с него некоторую сумму денег.

Звонок Анжеле

Висновски ответила на телефонный звонок человека, который должен был получить приличное наследство и интересовался различными вариантами накопительных вкладов.
Неожиданно он сказал:
— О, простите, мне нужно ответить на другой звонок. Когда я смогу закончить этот разговор и принять решение? Когда у Вас обед?
Она ответила ему 12:30, и он обещал позвонить до обеда или на следующий день.
​

Звонок Льюису

– Здравствуйте. Это Нэйл Вебстер. Я звоню из отделения 3182, это в Бостоне. Будьте добры Анжелу Висновски.
– Она обедает. Я могу помочь?
– Да, она оставила сообщение с просьбой прислать факсом информацию по одному из наших клиентов.
– Обычно этим занимается другой человек, который сейчас заболел. Я уже совсем замотался с этим, уже 4 часа, а у меня назначен прием у врача через полчаса. Кто-то принял ее звонок, номер факса записан неразборчиво… 213... что-то там… Что там дальше?
Льюис назвал номер и звонивший сказал:
– ОК, спасибо. Но перед тем, как послать Вам факс, я должен знать код B.
– Но это Вы мне позвонили.
– Наш начальник отделения просто параноик, когда дело касается подтверждения полномочий при отсылке чего-либо куда-либо. Но послушайте, если Вам не особо нужна эта информация, я могу ничего не посылать. И не надо ничего подтверждать.
– Слушайте. Анжела вернется примерно через полчаса. Я могу сказать ей Вам перезвонить.
– Ладно, я просто скажу ей, что не мог послать информацию сегодня, потому что Вы не подтвердили законность этого запроса кодом. Если я не заболею завтра, я ей позвоню…
– Хорошо. Минуту, мне нужно подойти к компьютеру. Какой Вам нужен код?
– В (читается «би»).
Он отложил трубку и вскоре взял ее снова. «3184»
– Это неправильный код.
– Нет, правильный: код B – 3184.
– Я не говорил B, я сказал «E» (читается «и»).
– Черт. Минуту…
– Е – 9697.
– 9697, да, все правильно. Я отправляю факс, ок?
– Да… конечно… спасибо.
​

Звонок Уолтеру

– Государственный индустриальный банк, это Уолтер.
– Привет, Уолтер, это Боб Грабовски, Студио Сити, 38-е отделение, мне нужно, чтобы Вы нашли образец подписи клиента (образец подписи содержит удостоверяющую информацию вроде номера социального страхования, даты рождения, девичьей фамилии матери, иногда даже номер водительского удостоверения).
– Да не вопрос. Какой код С?
– За моим компьютером сейчас другой сотрудник. Но я только что называл коды B и E, и помню их так. Спроси меня один из них?
– Ок, код Е?
– Е – 9697.
Через несколько минут Уолтер отправил по факсу образец подписи по запросу.
​

Звонок Донне Плейс

– Здравствуйте, это мистер Ансельмо.
– Чем я могу Вам помочь на этот раз?
– Какой номер на 800 мне надо набрать, когда я хочу проверить кредитован ли уже вклад?
– Вы клиент банка?
– Да, я долго не пользовался номером и теперь забыл, где он записан.
– Номер 800-555-8600.
​

Анализ обмана

Столкнувшись с подозрительностью Льюиса, Винс просто сгладил ее:

• вызывая симпатию («собирался к доктору»);
• используя давление («мне уже надоело всем этим заниматься, уже 4 часа»);
• манипулирование («cкажите ей, что не дали мне код»).

На самом деле, Винс не угрожал ему, он только подразумевал это: «Если Вы не дадите мне защитный код, я не вышлю информацию о клиенте, которую просил Ваш коллега, и я скажу ему, что собирался послать, но Вы не согласились сотрудничать».

Полицейские – жертва обмана​

Эрику Мантини необходимо было регулярно узнавать номер удостоверений и регистрационные номера транспортных средств. Он понимал, что бессмысленно раз за разом рисковать, звоня в Управление Транспорта. Эрик захотел выяснить, а нет ли способа упростить процесс.

Хитрость Эрика

Сначала Эрик позвонил в справочную и спросил номер телефона центрального офиса Управления Транспорта в столице штата. Ему дали номер 503-555-5000. Затем он позвонил в ближайший полицейский участок и спросил номер телетайпной. Позвонив в телетайпную, социальный инженер спросил номер телефона, по которому сотрудники должны звонить в управление транспорта.

– Вы кто? – спросил офицер из телетайпной.
– Это А1. Я набирал 503-555-5753.
В телетайпную не звонят «с улицы», а звонивший уже знал большую часть номера. Конечно, это был кто-то из сотрудников.
– Номер 503-555-6127, – сказал офицер.
​

Коммутатор​

Чтобы осуществить задуманное, Эрику нужно было получить доступ к телефонному коммутатору, который управлял телефонной связью между полицией и УТ. Он позвонил на телефонный узел и представился сотрудником компании Нортел, одного из наиболее распространенных коммерческих телефонных коммутаторов. Эрик спросил:
– Не могли бы Вы переключить меня на техника, который обслуживает DMS-100?
Технику он сказал, что из Центра Поддержки Технических Специалистов Нортела в Техасе, и объяснил, что они создают базу данных для обновления всех коммутаторов свежими версиями ПО. Но ему нужен входной номер дозвона на коммутатор, чтобы произвести обновление прямо из Центра Поддержки.
Техник дал Эрику номер.
Теперь он мог напрямую звонить на один из государственных телефонных коммутаторов. Эрику потребовалось подобрать пароль, с чем он успешно справился.
Для каждого входящего звонка коммутатор был запрограммирован перебирать 20 телефонных линий до нахождения первой незанятой.
Он выбрал восемнадцатую по счету линию в последовательности и ввел код, который подключал переадресацию вызова для нее. В качестве номера для переадресации он ввел номер своего нового, дешевого, заранее предоплаченного сотового телефона.
С подключенной переадресацией на восемнадцатой линии, как только отдел будет достаточно занят, обрабатывая 17 звонков, следующий пришедший звонок не прозвонит в отделе управления транспорта, а будет переброшен на сотовый Эрика. И он приготовился ждать.
​

Звонок в управление

Поговорив по телефону несколько часов и получив дюжину кодов запрашивающего, Эрик позвонил на коммутатор и отключил переадресацию звонков.
Многие месяцы после этого он получал денежные отчисления от законных частных детективных агентств, которым было все равно, как он добывал информацию. При необходимости Эрик звонил на коммутатор, включал переадресацию и собирал очередную пачку удостоверений личности полицейских.
​

Предотвратить обман

Служащий должен записывать фамилию звонившего, телефон и название офиса или подразделения, прежде чем повесить трубку. А до того, как перезвонить, он должен убедиться, что в указанной организации действительно имеется сотрудник с такой фамилией и что телефон, по которому надо перезвонить действительно телефон этой организации. В большинстве случаев это простая тактика — практически все, что нужно, чтобы убедиться, что звонящий на самом деле тот, за кого себя выдает.

Ещё больше историй на канале

Пожалуйста, Вход или Регистрация для просмотра содержимого URL-адресов!

 

[SEBLOG]

Истории из книг про социальную инженерию

@AboutSE

​

Федеральные власти поймали одного из мошенников, Чарльза Гондорффа и посадили его в исправительную колонию рядом с Сан Диего. Его другу, Джонни Хукеру надо было как то связаться с Гондорффом.

Звонок в Ma Bell

Джонни начал со звонков в офис телефонной компании под видом сотрудника гособслуживания. Он сказал, что работает над заказом по покупке дополнительных услуг и хотел получить счета по всем используемым прямым линиям связи, включая рабочие номера и телефонную стоимость в тюрьме Сан Диего. Женщина была рада помочь.
Затем социальный инженер позвонил в офис коммерческий фирмы, сказал, что он из отдела ремонта и хотел узнать номер центра RCMAC, который обслуживал зону с названным им с кодом и префиксом, и он оказался тем же офисом, обслуживающим все линии тюрьмы.
Джонни позвонил в RCMAC, назвал «телефонное» имя и опять сказал, что он из отдела ремонта. Когда женщина ответила, он спросил:

— Установлен ли на номере deny terminate?
— Да
— Тогда это объясняет, почему клиент не может получать звонки… Слушай, окажи мне, пожалуйста, услугу. Надо изменить свойство линии или убрать запрет входящих, ладно?
— Этот номер должен запрещать входящие звонки. Нет приказа об изменении.
— Тогда это ошибка… Мы должны были передать приказ вчера, но представитель счета заболела, и забыла попросить кого либо отнести приказ за нее. Так что теперь клиентка бурно протестует по этому поводу.
— Ладно.
— У тебя есть еще пару минут, чтобы помочь мне?
— Да, что вам надо?
— У меня есть еще пару линий, принадлежащих той же клиентке, и на всех та же проблема. Я прочту вам номера, чтобы вы проверили, поставлен ли на них запрет входящих – хорошо?
Она согласилась. Через несколько минут, все линии были «починены» на прием входящих звонков.
​

Поиск Гондорффа

Он решил позвонить в тюрьму другого города.

– Майами:
— Привет. Это Томас из FDC, Нью Йорк. Наше подключение с центральным бюро не работает, не могли бы вы посмотреть расположение преступника для меня, мне кажется, он может быть в вашем учреждении.
— Нет, он не здесь. Он в исправительном центре в Сан Диего.
— Сан Диего! Его должны были переправить в Майами на судебном самолете на прошлой неделе! Мы говорил об одном человеке – какая у него дата рождения?
— 12/3/60
— Да, это тот парень. В каком отделении он находится?
— Он в Северном 10.
​

Сейчас у Джонни были телефоны, включенные на прием входящих, и он знал, в каком отделении находится Гондорфф. Теперь надо узнать, какой номер подключен к отделению Северное 10.
Джонни позвонил на один из номеров. Его четвертая попытка оказалась Северной 10. Теперь Джонни знал номер, соединенный с ООЗ в отделении Гондорффа.

Синхронизируй свои часы

Джонни позвонил в тюрьму, используя «официально – звучащий» голос, представился как сотрудник и попросил, чтобы его соединили с Северным 10. Звонок соединили.

— Это Томас из П&В. Я должен поговорить с заключенным Гондорффом. У нас есть некоторые его вещи, и он должен сообщит нам адрес, куда нам их лучше отправить. Не могли бы вы его позвать к телефону?
Джонни слышал, как охранник кричит через комнату. Через несколько нетерпеливых минут, он услышал знакомый голос на линии.

—Я тебе позвоню. Подними трубку. Если он начнет звонить в Офис Общественных Защитников, нажимай на сброс каждые 20 секунд. Не переставай пробовать, пока не услышишь меня на другом конце.
​

В час дня, когда Гондорфф поднял трубку, Джонни уже ждал его.

Словарь как орудие атаки

У юного хакера, Ивана Питерса есть цель – получить исходный код для новой электронной игры.
Ему нужно было подобрать пароль для входа в систему, для чего его он использовал различные программы.

• В качестве начального этапа Иван решил сделать подбор пароля, который покажет подробности о системе. Программа для подбора смогла определить несколько учетных записей, существовавших на сервере.
• Иван запустил программу для подбора паролей. Сначала он использовал простой список из 800 самых обычных паролей. Список включает secret , work и password . Программа также изменяла слова из списка и пробовала каждое с прибавленным числом или прибавляла численное значение текущего месяца. Программа попробовала каждый раз на всех найденных пользовательских аккаунтах. Никакого везения.
• Для следующей попытки Иван пошел на поисковую систему Google, ввел «wordlist dictionaries» и нашел тысячи сайтов с большими списками слов и словарями.
• На сайте
  Пожалуйста, Вход или Регистрация для просмотра содержимого URL-адресов!
  он скачал подборку файлов, включая фамилии, вторые имена, имена и слова членов конгресса, имена актеров, и слова и имена из Библии.
• Иван использовал другие сайты, предоставляющие списки слов. Например, сайт Оксфордского университета ftp://ftp.ox.ac.uk/pub/wordlists.
• Он также нашел списки с именами героев мультфильмов, слов, использованных у Шекспира, в Одиссее, у Толкина, в сериале Star Trek, а также в науке и религии и так далее.
• Атакующая программа может быть настроена на проверку анаграмм слов из словаря.
• Иван использовал утилиту под названием L0phtcrack3. Системные администраторы используют L0phtcrack3 для проверки «слабых» паролей. Атакующие используют его для взлома паролей. Функция брутфорса в LC3 пробует пароли с комбинациями букв, цифр, и большинства символов, включая !@#$% ^&. Она систематически перебирает каждую возможную комбинацию из большинства символов (Запомните, однако, что если используются непечатаемые символы, LC3 не сможет открыть пароль).

Взломщику удалось подобрать пароль и получить доступ к программам, которые он искал.
Предотвращение обмана

• Каждая просьба, не сделанная лично, никогда не должна быть выполнена без подтверждения личности просящего.
• Жизненно важная часть защиты организации – использование сложно угадываемых паролей в сочетании с мощными настройками безопасности в технике.

Ещё больше историй на канале

Пожалуйста, Вход или Регистрация для просмотра содержимого URL-адресов!