СИ

[Луис]

Давно хотелось написать на сию тему, да как-то настроения не было...

Думаю, все знают, что такое СИ, или же Социальная Инженерия. Для тех, кто не знаком с этим термином, объясняю популярно: СИ - это способ получить от человека его личную информацию для достижения собственных целей, причём так, что бы 1. человек об этом не догадался (или догадался, но не сразу) 2. желательно, что бы человек САМ предоставил эту информацию.

"Побочные" эффекты СИ самые разные - от взлома вашего почтового ящика в сети, до снятия денег с банковской карты и подделки паспорта. И самое интересное, - это работает, и будет работать, пока в сети "гуляют" миллионы и миллиарды юзеров, которые считают, что Java - это марка кофе и реестр путают с регистром Но, это уже лишнее. Никто не может знать всё, и этим-то и пользуются практиканты СИ.

Си бывает разная. Например, в последнее время наибольшее распространение получили фейки (позволю себе отнести их к одному из проявлений СИ) в социальной сети ВК (В Контакте) - вам приходит сообщение якобы от вашего друга/подруги (якобы - потому, что этот человек действительно ваш друг, от имени которого и пришло чужое сообщение) с ссылкой по которой, опять же якобы, расположена ваша фотография, страничка общего знакомого, или другой не менее интересный сетевой ресурс. Вы переходите по ссылке (не зря бдительные админы предупреждают заранее ) и ваш логин и пароль становятся подарочком для одного или нескольких хакеров.

Похожая ситуация с почтовыми мессенджерами - QIP, JIMM, ICQ и т.д., хотя, сообщениями вроде "Мне твой номер дали знакомые. Ты мне очень нравишься. Давай общаться. Вот здесь моё фото..." или "Ваш номер будет заблокирован из-за рассылки спама. Для подтверждения своего аккаунта отправьте..." сейчас вряд ли кого удивишь, но некоторые и на такое "клюют".

Ещё один вид СИ, по принципу 2. Хочешь взломать ПК или e-mail? Ничего нет проще узнать ОС, антивирус и привычки своей "жертвы": конкурс рабочих столов! Выкладываем фотки и...Пожалуйста! Всё как на ладони! + ярлычки тоже о многом поведать могут. Ну, или же, втереться в доверие и, ненавязчиво в разговоре о домашних любимцах, родителях, еде, узнать ответы на стандартные вопросы для забывших пароль к своему ящику.

Намного сложнее (но и намного удачнее!) дело обстоит с авторизацией на сайтах. Здесь весьма важен тот факт, что для реализации подобной СИ, во-первых, необходимо отзеркалить реальный сайт с последующей переадресацией пользователя, и, во-вторых, иметь на руках листинг пользователей соответствуещего хоста, но последнее не столь важно.

Пример. Представим, что вы являетесь клиентом банка Х, имеющего в сети сайт, предоставляющий клиентам возможность управлять своими счетами. Вероятнее всего, злоумышленик, задумавший фишинг клиентов этого ресурса, так же пользуется услугами банка Х, или же знаком с принципами его работы и организации ресурсов. Как поступает фишер? Есть несколько вариантов. Имея форму электронного письма банка, он составляет своё письмо "клиенту от банка Х", в котором указывает, что всвязи с окончанием действия аккаунта/ проверкой подлинности счёта и прочее, необходимо отправить вашу анкету (ФИО, № счёта, код доступа и прочее...) банку, добавляет к письму соответствующий код и, после отправки вами данных на его почтовый ящик/сервер (надо же! а вы думали, что [email protected] - это почта банка! в реале так и есть, но не забывайте, что заголовки и адреса можно ловко "подправить" для личных нужд), вас автоматически переадресуют на реальный сайт банка Х.

Вариант №2: фишер зеркалит сайт банка Х (создаёт свой сайт, идентичный настоящему. Иногда это можно заметить в браузере: www.bankX.com и www.bankX.ru (иногда www.bank.X.com - точка после bank) отличаются ненамного, но всё же эта два разных сайта!), опять же, рассылает клиентам соответствующие письма с ссылкой (не обязательно), и вот, когда вы заходите на поддельный сайт, вам предлагают зарегестрироваться/проверить счёт (или ничего не предлагают! а зачем вы тогда, собственно пришли? ), вы вводите свои логин и пароль, номер счёта и... соответствующие данные перенаправляются на настоящий сайт, где вас регестрируют, в итоге - ваши данные у фишера, и никаких проблем с аккаунтом, или же,... отзеркаленный сайт выдаёт ошибку во введённых данных (спасибо за информацию! заходите ещё! ) и переадресует вас на страницу настоящего сайта, где вы повторно и вполне удачно заходите в свой аккаунт.

Манипуляции с переадресацией и пересылкой данных на настоящий сервер выполняются настолько быстро, что вы вообще вряд ли что-то заметите или заподозрите, естественно, до того момента, как ваши наличные "утекут" на странный счёт в Бразилии или Италии (ничего! оттуда их будет очень легко достать, вот только не вам ).

Только не нужно впадать в паранойю и кидаться с топором на каждого, кто спрашивает вас о любимом блюде или книге, и уж тем более, креститься перед каждой интернет-ссылкой . Есть множество способов избежать угона ящика и утечки информации. Укажу лишь самые основные. Во-первых, выбирайте сложные, неподбираемые пароли. Запишите в блокнотик, если боитесь забыть. Во-вторых, проверяйте ссылки в поисковых системах - очень часто так можно узнать о зараженных страничках (есть так же неплохие он-лайн сервисы для подобных проверок, например - safeweb.norton.com/). В третьих - используйте антивирус. Ну и иногда заглядывайте на сайты и форумы по IT-безопасности

@темы: Hack It!

Comments

[Snegir.]

*удалил свою информацию вконтакте с цивильной страницы удалил фоты закрыл ото всех страницу*
пасиба за такой пост)) я канешн максимально себя обезопасил давно уже, но что-то новое отсюда подчерпнул))

[Луис]

Да не за что) Кстати, сети, подобные ВК могут служить неплохой базой данных для спецслужб) Зачем такие формальности, как оформление пропусков на получение сведений, когда человек сам о себе всё добровольно выложил

[Луис]

Добавляйтесь ко мне в ВК, если есть желание) Ссылку кину в личку дневника, если интересно...

[Луис]

Последний пост был для пользователя Snegir. Хотя, если другим будет о чём поговорить со мной, я тоже не против добавить.

[Snegir.]

Вот-вот)

Давайте ссыль)