Как можно подключить социальную инженерию к расследованию?

Этот пост будет посвящён IPLogger'ам и другим мелким уловкам, с помощью которых вы сможете получить такие данные как, геолокацию цели вашего поиска, IP, номер, почту. Многие OSINT'ы считают что IPLogger и социальная инженерия, это не этично и вообще не по осинтерски. Я считаю, что социальная инженерия правда не имеет не какого отношения к OSINT и такое программное обеспечение как IPLogger релевантно использовать в таких случаях, когда вы просто не можете не чего найти. Но уверяю, эта статья будет полезна для вас и еще пригодится.

IPLogger, CanaryTokens и схожие сервисы.

Да, IPLogger это достаточно банально, про этот сервис знают даже те кто совсем не разбирается в расследованиях в интернете. Этот сервис действительно обладает поражающим функционалом. Сервис умеет маскировать свои ловушки в форматах ссылок, видео, торрентов, фото, word, exel, iso, exe, pdf, zip итд. А также, с помощью iplogger.com, можно вычислить местоположение человека с погрешностью в 10 метров используя geologger. Функционал geologger, очень похож на Seeker и TrackUrl, они оба работают используя HTML5 Geo API. Для того чтобы получить местоположение человека, необходимо чтобы объект вашего поиска предоставил доступ к данным о вашем местоположении сайту. После того как он примет запрос, вы получите его местоположении.

Кроме этого есть более продвинутый, как я считаю сервис под названием canarytokens. Это такой же логгер который можно маскировать под QR кода, SQL сервера итп. Как по мне, одна из самых интересных называется, "unique email adress", при отправке письма на адрес "номер вашего токена@canarytokens.org", вы увидите IP адрес отравителя. А если подключить свой домен к canarytokens, то не кто и не подумает о том что вы пытаетесь его идентифицировать. Это можно сделать используя готовый образ для Doker. Вам нужно будет отредактировать файлы frontend.env и switchboard.env, таким образом:

# Домен(ы) которые будут использовать для генерации адресов триггеров 
# они должны указывать на IP-адрес сервера где запущен Docker. На эти же домены нужно будет выпускать SSL-сертификат. 
CANARY_DOMAINS=example1.com,example2.com 
# Этот домен нужен только если вы собираетесь использовать триггер в виде PDF-файла 
# в этом случае NS-записи для этого домена должны указывать на домен в предыдущем пункте. 
# Иначе говоря example3.com должен быть делегирован на example1.com и example2.com CANARY_NXDOMAINS=example3.com

Хотел бы еще вам рассказать о малоизвестном telegram-боте расположенным по адресу @Infosec_Find_bot, который имитирует новостной ресурс, после перехода по ссылке, вы увидите такую красивую анимацию.

Кстати, из ботов еще бы посоветовал вам @FakeSMI_bot, это бот от Евгения Антипова который создаст смешную новость (Вы ее сами напишите.) на известных площадках как Meduza или Комерсантъ со встроенным логгером. Увы, на данный момент создание новостей приостановлено со связью с ситуацией.
Но кроме того как публиковать новости, бот умеет создавать фейковую ссылку на запрос Яндекса, при переходе по этой ссылке, атакующий увидит юзерагент и IP того кто перешел. А при отправке фото боту, он зальет фото на хостинг и при переходе, мы увидим тот же IP и юзерагент.

Так же хотел бы упомянуть утилиту под называнием Trape, название говорит само за себя, так как Trape с английского переводится как ловушка. После перехода по ссылке которую сгенерировал Trape, мы увидим IP, местоположение и главная фишка этой утилиты в том что, мы увидим клиентские сеансы пользователя в браузере. Trape умеет обнаруживать открытые вкладки с ниже перечисленными сервисами.

➜ Amazon ➜ Dropbox ➜ Facebook ➜ Instagram ➜ Gmail ➜ Tumblr ➜ Reddit ➜ Tumblr ➜ Reddit

И это только малая часть этих сервисов.

Боты-ловушки.

C IPLogger мы плавно перешли к ботам-ловушкам. Концепция этих telegram-ботов в том чтобы обманным образом заставить пользователя отправить номер своего телефона, или перейти по ссылки передав свой ip, кинуть боту геометку. После того как вы передадите боту данные, атакующий увидит ваш IP-адрес. @addprivategroup_bot ,@protestchat_bot ,@TgDeanonymizer_bot, это пример таких ботов, конечно их гораздо больше, но это одни из таких "ботов ловушек". Для того чтобы просмотреть базу данных этих ботов, вам надо будет отправить TgID вашей цели и узнать номер цели. А для того чтобы сделать такого же бота, только под себя, можно воспользоваться Dnnme2. Эта утилита, которая способна создать такого же бота, только со своим уникальным именем и описанием.

Трюк с google-документом.

Вы наверно слышали про все эти трюки с google id и про другие дырки гугла, но эта дырка крайне интересна, она позволяет вытащить почту и google id через ссылку на Google Drive, Google Docs ,Google Spreadsheets, Google Slides, Google Drawning, Google My Maps, Google Apps Script, Google Jamboard. Вы можете попросить атакуемого залить документ на google drive к примеру и отправить ссылку. После того как он отправит вам ссылку, вы сможете идентифицировать человека используя xeuldoc. После отправки ссылки на документ этому инструменту, вы узнаете почту и google ID атакуемого, дату создания документа и дату последнего редактирования документа.

Трюк с Яндексом.

Это интересная тема, можете попробовать сами зайти в яндекс, ввести любой запрос и посмотреть на значение lr= в вашей ссылке. Ведь в зависимости от региона значение разное. Вы можете найти свой регион в таблице регионов поиска. Но далеко не всегда вы найдете там свой регион. В случае, если вы не можете найти регион, воспользуйтесь таким хитрым запросом:
https://yandex.ru/search/?text=Погода&lr=код региона.

Используя это, вы сможете узнать регион вашей цели, к примеру попросить отправить поисковую выдачу.

Через звонок.

Это достаточно нетипичный способ ловушки, думаю он вам не пригодится, но знать его было бы не плохо. Суть в том чтобы пользователь набрал вам и звонок сохранился. Тогда вы сможете установить страницу в ВК или Whatsapp объекта вашего поиска. Для этого вам необходимо будет оформить сайт, и сделать так чтоб ваш объект захотел нажать на кнопку. HTML код кнопки будет выглядеть так:

ВКонтакте:
<a href="https://vk.com/call?id=Ваш ID">Текст кнопки</a>

WhatsApp:
<a href="https://wa.me/Ваш номер WhatsApp?text=Любой текст">Текст кнопки</a>

После нажатия атакуемого по кнопке, он совершит звонок, либо напишет сообщение в WhatsApp. Я не уверен в работоспособности этого метода.

Как маскировать логгеры?

Сначала я расскажу вам про telegraph, да, тот самый telegra.ph. Первая дыра в безопасности этого сервиса в том, что он не предупреждает о переходе по ссылкам. По этому, вы сможете замаскировать там IPLogger, выдавая логгер ссылку за безобидную ссылку.

И это еще не все дыры telegraph. Для того чтобы реализовать следующую дыру, вам будет необходимо создать невидимый логгер с расширением jpg ,или png, jpeg. Скопируйте ссылку и нажмите на значок для вставки кода "<>". После того как нажали, вставите ссылку и нажмите enter. После этого у вас образуется изображение 1x1, которое будет собирать все IP адреса которые перешли по ссылке на telegraph.

Есть еще способ замаскировать логгер под ссылку youtube используя websolver.
В создании логгера нету абсолютно ничего сложного. Вам просто на всего понадобится нажать кнопку "Generate" для создания собственного логгера с доменом yȯutube.com.

А чтобы найти IP пользователя социальной сети ВКонтакте вам необходимо будет обойти защиту away.php. Которая проверяет все ссылки перед переходом, по вредоносной или фишинговой ссылке перейти не получится.

А если мы отравим пользователю сразу ссылку, вместе с away.php, то проверка не будет производится. Такая ссылка будет выглядеть вот таким образом:
https://vk.com/away.php?to=itsnotalogger.xyz.
Такие же ссылки можно создать для других ресурсов, вот смотрите:

➜ https://www.google.com/url?q=itsnotalogger.xyz ➜ http://instagram.com.xsph.ru?u=itsnotalogger.xyz ➜ https://www.youtube.com/redirect?q=itsnotalogger.xyz

Итоги.

Конечно, это не все ловушки которые существуют, их больше. Но это самые базовые и интересные на мой взгляд. Спасибо за то что прочитали статью, надеюсь что вам было полезно и эти приемы вам пригодятся в дальнейших поисках. Обязательно подписывайтесь на мой канал, я ежедневно публикую новости в сфере OSINT,новые сервисы, утилиты и приемы.

Автор: @moonIighted

Канал: @osintkanal

👏 Спасибо Игорю Бедерову за помощь в написании статьи.
🔥 Спасибо за 500 подписчиков!