Социальная инженерия – практические советы. #2

Продолжение к прошлой статье : Социальная инженерия – практические советы. #1

Атака администратора системы.

В том случае, если пароль заполучить неудастся, злоумышленнику ничего не останется, как прибегнуть к атаке на технические средства (т.е. непосредственно на компьютеры). Однако правильно сконфигурированную и хорошо защищенную систему ломать в лоб практически бесполезно. Вот если бы в ней была дыра… Один из не технических способов пробивания дыр выглядит приблизительно так: злоумышленник звонит администратору и сообщает, что из достоверных источников ему стало известно о готовящейся (или уже совершенной) атаке. Никаких деталей звонящий, естественно, не сообщает (он ведь не взломщик, а знакомый взломщика), но приблизительное местонахождение дырки все же указывает.

Существует ненулевая вероятность того, что администратор, пытаясь повысить безопасность своей системы, допустит несколько ошибок, упрощающих атаку. (И эта вероятность тем больше, чем сильнее волнуется администратор). Для отвлечения внимания злоумышленники часто прибегают к имитации атаки, выполняя различные бессмысленные, но целенаправленные действия. Автору этой статьи известно несколько случаев, когда в ответ на мусор, направленный в 80-ый порт, администраторы просто срубали WEB сервисы, поскольку, будучи предупрежденными об атаке, считали: лучше на время остаться без WEBа, чем позволить хакерам проникнуть в локальную сеть и похитить конфиденциальную информацию. Естественно, простой WEB серверов обернулся внушительными убытками, хотя никакой опасности на самом деле и не было. Так что не стоит шарахаться от каждой тени и любое непонятное действие расценивать как вторжение в систему.

Развивая идею дальше, злоумышленники догадались, что выдавать себя за знакомого злоумышленника, согласного за определенное вознаграждение быть осведомителем, гораздо выгоднее, чем атаковать систему. К тому же, осведомителя чрезвычайно трудно привлечь к ответственности, поскольку факт обмана практически недоказуем, а имитация атаки, не влекущая несанкционированного доступа к системе (блокирования системы), вообще не наказуема. Причем, для такой атаки злоумышленнику не требуется практически никакой квалификации, и стать хакером может буквально любой! Поэтому, не спешите оплачивать услуги осведомителя, даже если он согласен работать почти задаром сначала убедитесь, что это действительно осведомитель, и что вас действительно атакуют, а не создают лишь видимость атаки! Но не забывайте, что упускать из рук настоящего осведомителя (а такие – не редкость среди хакеров) очень глупо.

Уход от ответственности.

Успешно выполнить атаку – означает решить лишь половину задачи. Злоумышленнику еще предстоит замести за собой следы – уйти от ответственности и не попасться. А это, кстати, намного сложнее! Поэтому, матерые мошенники, похитив энную сумму денег, без тени жалости переводят большую ее часть на счет одного из сотрудников фирмы, который в принципе подходит на роль похитителя. Причем, это должен быть жадный, азартный и умственно недалекий человек, который, обнаружив на своем счете лишние деньги, с высокой степенью вероятности рискнет прикарманить добро, само идущее к нему в руки, а не побежит в милицию. Затем следует анонимный звонок (письмо) директору фирмы с со общением: где следует искать пропавшие деньги и… жертве будет чрезвычайно трудно доказать, что она тут ни при чем, и убедить остальных, что ее подставили. Конечно, путь денег (кто именно перевел их жертве) проследить вполне возможно (особенно, если это крупная сумма), но, во первых, злоумышленник может пере водить деньги через подставное лицо.

А, во вторых, даже будучи пойманным, он сможет заявить, что он не главарь, а пешка и вообще не знал, что деньги ворованные. При условии, что злоумышленник оставит себе меньшую часть награбленного, такая легенда будет звучать весьма убедительно. Поэтому, при разборе полетов ни в коем случае не хватайте первого попавшегося под руку обвиняемого – в боль шинстве случаев он действительно ни в чем не виновен. Другой способ перевода стрелок заключается в психологической обработке лиц, помешанных на подражательстве хакерам, но хакерами не являющимися. Сначала их убеждают, что пребывание в тюрьме – явление вполне нормальное для хакера, затем демонстрируют целую серию эффективных взломов, чем вызывают глубокое уважение к себе.

Наконец, когда клиент готов, мошенник предлагает ему стать своим учеником, после чего руками ученика осуществляет реальный взлом. В случае раскрытия преступления ученик может и не выдать своего наставника (а при правильной психологической обработке и не выдаст, хоть режь его на куски). А, если даже и выдаст, следствию будет не так то легко уличить злоумышленника, ведь все предыдущие атаки – фикция! Наставник без больших трудов сможет представить все это невинной игрой. Он де, просто забавлялся, не причиняя никому никакого вреда. А о том, кто руководил учеником в настоящей атаке, – не имеет ни малейшего представления. Впрочем, заставить ученика молчать можно и другими способами, тем же шантажом, скажем, но об этом позже.

Маска, я тебя знаю или как злоумышленники выдают себя за другое лицо.

Электронная почта, конечно, штука хорошая, но слишком уж небезопасная. Неудивительно, что многие из нас предпочитают все более или менее важные дела решать по телефону (так, по крайне мере, слышен хотя бы голос собеседника). Злоумышленника, выдающего себя за другое лицо, могут серьезно озадачить просьбой оставить свой телефон. Конечно, можно просто подключиться к "лапше" на лестничной площадке или прибегнуть к помощи таксофона (многие таксофоны умеют принимать и входящие звонки). Однако существуют и более изощренные приемы. Рассмотрим два, наиболее популярных, из них

Захват телефона.

Допустим, злоумышленник выдает себя за сотрудника такой то компании. В телефонном справочнике он находит телефон секретаря этой компании и просит соединить его с охранником, а заодно – сообщить его телефонный номер (зачем – мошеннику придумать большого труда не составит). Если охранник действительно имеет телефон (а, что, встречаются охранники без телефона?), разыгрывается следующая комбинация. Дав жертве телефон секретаря фирмы, и, сообщив добавочный" охранника (но, умолчав, что это – охранник), злоумышленник под каким либо предлогом просит жертву позвонить ему в строго определенное время. Незадолго до назначенного срока злоумышленник заходит в фирму, где и встречается с охранником, сидящим у входа.

Рассказав какую нибудь душещипа тельную историю (типа по ошибке дал своему партеру по бизнесу ваш телефон), злоумышленник спрашивает: а вот сейчас, когда позвонят и попросят Васю, нельзя ли будет ему взять трубочку? Поскольку, с точки зрения охранника никакого криминала в этом нет, существует определенная вероятность того, что он исполнит эту просьбу (особенно, если злоумышленник – девушка привлекательной наружности). В результате, жертва будет считать, что злоумышленник действительно работает в этой фирме.

В качестве альтернативного варианта злоумышленник может попросить охранника сказать звонящему: Перезвоните Васе по такому!то телефону. Если охранник не будет вдаваться в подробности, жертва опять таки подумает, что, раз Васю знают, то он, несомненно, подлинный сотрудник этой фирмы. Конечно, охранник может запомнить внешность злоумышленника (и запомнит наверняка, если он профессионал), но внешность – это не паспортные данные и мошенника еще предстоит найти. К тому же, личная встреча с охранником абсолютно необязательна.

Злоумышленник может позвонить по любому телефону и попросить его владельца сообщить звонящему по какому телефону можно найти Васю. Практика показывает, что люди (особенно занятые) редко вдаются в подробности и вместо того, чтобы сказать: Ах, Вам Васю? А Вася здесь не работает! Он, знаете ли, наш телефон дал Вам по ошибке… ограничиваются кратким: Васю? Позвоните по та! кому!то телефону. Поэтому, ни в коем случае не стоит считать телефон надежным средством идентификации личности.

Место встречи изменить нельзя.

В некоторых случаях возможностей телефонных и компьютерных сетей оказывается недостаточно и злоумышленнику приходится прибегать к встречам в живую.

Как убедительно выдать себя за другое лицо, да так, чтобы у жертвы не возникло и тени сомнения? Ведь, в противном случае она запросто может попросить предъявить документы, а качественно подделать доку менты очень сложно (во всяком случае, для одиночки). Допустим, злоумышленник выдает себя за сотрудника некоторой фирмы и, чтобы вы окончательно поверили в это, договаривается встретиться с вами в здании фирмы. Чтобы не возиться с выписыванием пропусков, он предлагает подождать вас на проходной. Для усиления эффекта проходящие мимо сотрудники могут здороваться со злоумышленником и жать ему руку. Зима, кстати, лучший помощник злоумышленника. Сняв верхнюю одежду и спрятав ее, например, в припаркованной рядом машине, он окончательно развеет ваши сомнении относительно его личности.

Техника проникновения на охраняемый объект без использования отмычек.

Проникнуть на фирму, пускай у двери стоит хоть десяток охранников, зачастую проще простого. Предъявляем паспорт, говорим: кто мы такие и к кому идем. При чем, названное имя не обязательно должно совпадать с именем в паспорте. Объясняем: тот, к кому мы идем, знает нас под сетевым псевдонимом. Охранник звонит указанному лицу и сообщает, что его хочет видеть такая то личность. Получив добро (а добро очень часто дается без уточнения подробностей), охранник дает мошеннику зеленый свет. Разумеется, злоумышленнику вовсе не обязательно быть сетевым другом одного из сотрудников. Достаточно лишь знать имена его знакомых, выяснить которые не составит никакого труда. (Особенно, если сотрудник злоупотребляет ICQ или Интернет – форумами).

На первый взгляд, знание паспортных данных позволяет без труда найти злоумышленника. Это так, но не стоит обольщаться – доказать его причастность к грамотно спланированной атаке будет очень непросто! Ведь не компьютер же будет выносить в кармане злоумышленник! Вероятнее всего, он постарается подсмотреть набираемый пароль или, обнаружив в пустующем кабинете включенный компьютер, занесет туда шпиона. Для предотвращения подобных инцидентов следует сопровождать всех посторонних лиц от самого входа до места назначения, не позволяя им самостоятельно бродить по помещению.

SEBLOG v2.0 — Героический оплот честности и искренности от социальных инженеров. (Да, и такое бывает)

SEBLOG — Самая большая в мире энциклопедия статей по социальной инженерии, манипуляциям и НЛП.

Торговая площадка SEBLOG — Только проверенные временем товары и услуги.