Поиск сообщества

Телефон порой творит чудеса, вот наш опыт датированный аж 2005 годом, который мы недавно рассекретили ссылка на youtube-канал

автор Игорь Нежданов Что такое социальная инженерия «Социальная инженерия — это метод несанкционированного доступа к информации или системам хранения информации без использования технических средств. Метод основан на использовании слабостей человеческого фактора и считается очень разрушительным. Злоумышленник получает информацию, например, путем сбора информации о служащих объекта атаки, с помощью обычного телефонного звонка или путем проникновения в организацию под видом ее служащего» Wikipedia. Рекомендую почитать – в этой статье есть много интересного. Социальная инженерия эксплуатирует разные слабости человека – его уязвимости. Проще и понятнее рассмотреть их на примере хакерских техник. Наиболее распространенные техники приведены ниже. Фишинг Это техника эксплуатирует доверчивость людей – так называемую слабую тревожность и направлена на жульническое получение конфиденциальной информации. Чаще на получения логина и пароля от ресурсов жертвы (почта, кошельки, аккаунты, админки…). Обычно это выглядит в виде e-mail, подделанного под официальное письмо — от почтовой службы, социальной сети, форума, от банка или платёжной системы — требующее якобы «проверки» какой то информации, или совершения определённых действий в связи, например, с попыткой взлома вашего аккаунта. Такое письмо содержит ссылку на поддельную веб-страницу, в точности имитирующую официальную, и содержащую форму, для ввода конфиденциальной информации. Это может быть и логин-пароль, и домашний адрес, и пин-код банковской карты. После ввода данные пересылаются злоумышленнику. Троянский конь Пожалуй наиболее известная техника (в силу своего названия), которая эксплуатирует любопытство, либо алчность мишени. Злоумышленник отправляет послание (e-mail, сообщение Skype, ICQ или другого средства коммуникаций вплоть до личного сообщения на форуме), содержащий во вложении нечто, что должно заинтересовать жертву, — «клёвый» или «сексуальный» скрин-сейвер, важный апгрейд антивируса, или даже свежий компромат на сотрудника. Эта техника остаётся эффективной, пока юзеры будут слепо кликать по любым вложениям. Дорожное яблоко Эта техника представляет собой разновидность троянского коня, и заключается в использовании физических носителей информации (CD, DVD, флэшка, HDD). Злоумышленник может подбросить такой носитель в месте, где его может быть легко найден (туалет, лифт, парковка, вход, коридор…). Такое «яблоко» подделывается под официальный носитель, и сопровождается подписью, призванной вызвать любопытство, либо, в самом простом случае, никак не маркируется – просто некий носитель. После запуска на компьютере жертвы отрабатывается заложенный на носителе алгоритм (от простого деструктивного, до сложного – например рассылающего от имени жертвы письма с этим же зловредом). Кви про кво И вновь эксплуатируется доверчивость, особенно к «компетентным структурам». Злоумышленник может позвонить по случайному номеру в компанию, и представиться сотрудником техподдержки, опрашивающим, есть ли какие-либо технические проблемы. В случае, если они есть, в процессе их «решения» цель вводит команды, которые позволяют хакеру запустить вредоносное программное обеспечение. Либо злоумышленник, звоня в компанию, представляется сотрудником некой организации, в компетенции которой находиться интересующая его информация. После чего получает требуемое. Особенно распространен следующий метод. Первый звонок на общий телефон (Call-центр или службу поддержки) с вопросом, на который они точно не смогут ответить, но который в компетенции компании. После чего оператор предложит переключить на специалиста. Далее нужно попросить номер этого специалиста дабы не мучить оператора следующими своими звонками. После этого можно позвонить секретарю приемной (к примеру) и попросить соеденить с полученным внутренним номером – теперь жертве звонят с внутреннего номера (а не из-вне), а значит тревожность жертвы снижается. Обратная социальная инженерия Задачей обратной социальной инженерии является заставить жертву саму обратиться к злоумышленнику (за «помощью», за консультацией, за советом…), которую тот и окажет, попутно осуществив задумку. С этой целью злоумышленник может применить следующие техники: - Диверсия — создание обратимой неполадки на компьютере жертвы, на рабочем месте, в офисе…. - Реклама — злоумышленник подсовывает жертве объявление, ссылающегося на его заранее подготовленный контакт, например такого вида «Если возникли проблемы с компьютером, позвоните по такому-то номеру». Для внешнего исполнителя такое объявление должно быть с явно низкой ценой, либо с другой «изюминкой» ориентированной на привлечение внимания жертвы.

Имя Джона Макафи, создателя антивируса McAfee, в последнее время привлекает к себе много внимания. Причина никак не связана с программным обеспечением, тем более что Джон давно отошёл от дел, продал акции за круглую сумму $50-100 млн и уехал в Белиз (Центральная Америка). Появление статей в прессе связано именно с приключениями экстравагантного миллионера, который неоднократно подвергался рэкету со стороны местных властей, так что в итоге был вынужден бежать из этой страны после обвинения в убийстве. Джон Макафи скрывался несколько недель, но потом его местоположение всё-таки вычислили по EXIF-информации с одной из фотографий, которую он по неосторожности или с умыслом разрешил опубликовать в интернете. Выяснилось, что Джон Макафи находится в соседней Гватемале. На следующий день его арестовали за незаконное пересечение границы и подготовили для экстрадиции на родину, то есть в США. Там Джон должен быть в относительной безопасности. По крайней мере, ему не грозит уголовное дело в Белизе. Недавно на своём персональном сайте Макафи опубликовал первую часть истории, как ему с девушкой удалось сбежать из Белиза, хотя беглеца искала вся полиция и о нём рассказывали по телевидению. Как оказалось, это была тщательно спланированная операция, которую ИТ-специалист начал готовить задолго до побега. Ключевым элементом стала подготовка «двойника» — внешне похожего человека, который за несколько лет до этого официально сменил своё имя на “John McAfee”. Человек был готов заранее на случай подобного ЧП. В нужный момент его подняли из «резерва» и указали поехать в Мексику, куда мог сбежать Макафи. Через несколько часов двойника поймали. Джон Макафи постарался, чтобы информация быстро распространилась в СМИ, друзья подтвердили факт поимки Макафи даже в его персональном блоге — и новость уже в течение часа сообщили по телевидению Белиза. Именно этот момент настоящий Джон Макафи запланировал для пересечения южной границы с Гватемалой. Это удалось сделать благодаря расслабленности полиции, которая была уверена в успехе операции и поимке беглеца в соседней стране. Впрочем, это всё равно был запасной план, в то время как основной план Макафи был основана на плохой погоде: он заметил, что во время дождя пограничники никого не останавливают для проверки, а сами прячутся внутри машины. Поэтому для пересечения границы выбрали день, когда синоптики обещали дождь с вероятностью 100%. Таким образом, Джон Макафи проявил определённые способности социального инженера, умело использовав в своих целях, в том числе, средства массовой информации. Он заранее предсказал, какая информация пойдёт в эфир, какой инфоповод нужно предоставить и какую пользу из этого можно будет извлечь впоследствии. Очевидно, здесь проявился опыт работы в индустрии информационной безопасности. «Взломать компьютерную систему безопасности электронным способом, например, может быть трудно, — говорит Джон Макафи, — Убедить секретаршу или сисадмина предоставить вам доступ — гораздо проще. Для этого требуется симпатичный парень или девушка, или грамотный ролевой сценарий, простой софт и немножко времени. Социальную инженерию можно применить для решения любой проблемы, не только для компьютерного взлома. Отвлекающие манёвры и приманки, например, столетиями использовались как примитивные инструменты социальной инженерии». _ttp://www.xakep.ru/post/59895/default.asp