Перейти к публикации
  • worldcup
    worldcup

    Оружие массового заблуждения. Разбираем 10 простых рецептов социальной инженерии.

    Социальная инженерия обычно считается частью таргетированной атаки, но что, если применять подобные схемы массово? Я разработал и протестировал десять таких сценариев, чтобы понять, как люди будут на них реагировать и какие могут быть последствия.

    Я часто слышу, что среди всех видов атак на организации социальная инженерия считается якобы самым разрушительным и опасным. Но почему же тогда на каждой конференции по информационной безопасности этому вопросу не отводится отдельный блок?

    При этом большинство кейсов в русскоговорящем сегменте интернета приводится из иностранных источников и историй Кевина Митника. Я не утверждаю, что в Рунете таких случаев мало, просто о них почему-то не говорят. Я решил разобраться в том, насколько в реальности опасна социальная инженерия, и прикинуть, какими могут быть последствия ее массового применения.

    Социальная инженерия в ИБ и пентестинге обычно ассоциируется с точечной атакой на конкретную организацию. В этой подборке кейсов я хочу рассмотреть несколько способов применения социальной инженерии, когда «атаки» производились массово (без разбора) или массово-таргетированно (по организациям определенной сферы).

    Давай определимся с понятиями, чтобы было ясно, что я имею в виду. Я буду использовать термин «социальная инженерия» в следующем значении: «совокупность методов достижения цели, основанная на использовании слабостей человека». Не всегда это что-то криминальное, но это определенно имеет негативный окрас и ассоциируется с обманом, мошенничеством, манипулированием и тому подобными вещами. А вот всякие психологические штучки по выбиванию скидки в магазине — это не социальная инженерия.

    Сразу скажу, в данной сфере я выступал лишь как исследователь, никаких вредоносных сайтов и файлов я не создавал. Если кому-то приходило письмо от меня со ссылкой на сайт, то этот сайт был безопасен. Самое страшное, что там могло быть, — это отслеживание пользователя счетчиком «Яндекс.Метрики».

    Наверняка ты слышал про спам с «актами выполненных работ» или договорами, в которые вшиты трояны. Такой рассылкой бухгалтеров уже не удивишь. Или всплывающие окна с «рекомендациями» скачать плагин для просмотра видео — это уже скучно. Я разработал несколько менее очевидных сценариев и представляю их здесь в качестве пищи для размышлений. Надеюсь, что они не станут руководством к действию, а, наоборот, помогут сделать Рунет безопаснее.

    Что проще хакнуть — софт или человека?

    • Софт. Его можно изучать хоть побитно, не вызывая подозрений, и самому найти новые уязвимости.
    • Человека. Эксплоиты быстро устаревают, а у людей есть стандартные уязвимые поведенческие модели.
    • Гибридная атака эффективнее. Берём популярный софт и думаем, как с его помощью сыграть на человеческих слабостях.

     «Фейковая подписка на рассылку»

    Вот совсем уж простой способ заставить человека перейти на сайт по ссылке в письме. Пишем текст: «Спасибо, что подписались на нашу рассылку! Ежедневно вы будете получать прайс-лист железобетонной продукции. С уважением, …». Дальше добавляем ссылку «Отписаться от рассылки», которая будет вести на наш сайт. Конечно, никто на эту рассылку не подписывался, но ты удивишься, узнав число спешно отписывающихся.

    Кто чаще всего становится жертвой таргетированного фишинга?

    • Рядовые сотрудники. Они не разбираются в ИТ (65%)
    • Служба безопасности. Они считают себя умнее хакеров и нарушают собственные правила (21%)
    • Руководители. Их аккаунты открывают доступ к коммерческой тайне (14%)

     «Майнинг имейлов»

    Чтобы составить свою базу, необязательно даже писать собственный краулер и обходить сайты в поисках плохо лежащих адресов. Достаточно списка всех русскоязычных доменов, которых сейчас насчитывается около пяти миллионов. Добавляем к ним [email protected], проверяем получившиеся адреса и в итоге имеем где-то 500 тысяч рабочих почт. Точно так же можно приписывать director, dir, admin, buhgalter, bg, hr и так далее. Под каждый из этих отделов готовим письмо, рассылаем и получаем от сотен до тысяч ответов от сотрудников определенной сферы деятельности.

    «Мультилендинг»

    К этому способу нужно будет подготовиться. Создаем сайт-одностраничник, оформляем под новостной ресурс. Ставим скрипт, который меняет текст на сайте в зависимости от того, по какой ссылке человек перешел.

    Делаем рассылку по базе, состоящей из адресов и названий компаний. В каждом письме — уникальная ссылка на наш новостной ресурс, например news.ru/?1234. Параметр 1234 привязывается к определенному названию компании. Скрипт на сайте определяет, по какой ссылке пришел посетитель, и показывает в тексте название компании, соответствующее почте из базы.

    Зайдя на сайт, сотрудник увидит заголовок «Компания … (название компании жертвы) снова бесчинствует». Далее идет короткая новость с какими-нибудь небылицами, а в ней — ссылка на архив с разоблачительными материалами (трояном).

    Выводы

    Понятно, что в атаках на крупные организации массовая рассылка не поможет, — там нужен индивидуальный подход. А вот малый бизнес, где слыхом не слыхивали ни про какую социальную инженерию, легко может пострадать от таких атак.




  • Заходи сюда! кошельки, связки, карты! оптом и в розницу!

    У НАС САМЫЕ ПРИЯТНЫЕ ЦЕНЫ! НА ОПТОВЫЕ ЗАКАЗЫ ЦЕНА ВСЕГДА ОБСУЖДАЕМА! WebMoney Формальный аттестат + проверенные документы - 500 руб. Начальный аттестат на Ваши/Наши данные - 2099 т.р. Персональный аттестат - 19999 т.р. Связка вебмани начальный/формальный + Киви + Яндекс ( все на одни данные ) - 3999 т.р.   QIWI Частично идентифицированный кошелек + сканы - 300 рублей. Идентифицированный кошелек на Ваши/Наши данные - 999 рублей. (Идентификация от 10 ш

    InkognitoXXX
    InkognitoXXX
    Продажа карт 23

    Оборудование для скимминга

    Оборудование для скимминга: готовые комплекты для установки на Wincor, Diebold, Ncr Скиммеры, вставки, щелевики, шиммеры Возможна продажа чертежей, адаптированных для печати на 3D принтерах. Есть в продаже отдельно аудио электроника с шифрованием, частотой дискретизации в 22.000 гц. Гарантия качества, сделки исключительно через Гарант Форума Доставка по всем странам, в том числе России и СНГ Наш сервис предоставляет услуги по расшифровке с аудио оборудования. Расшифровываем с

    rus123
    rus123
    Скиммеры 26

    Посылка с DARKNET | Техника

    Добро пожаловать! В нашем магазине для вас представлены: Любая техника за 40% от цены Amazon.com и Ebay.com Apple    Samsung    Sony    NVidia    Huawei    Xiaomi и т. п. IPhone | MacBook | IPad IPhone 11                   64гб - 370$ | 256гб - 455$ | IPhone 11  Pro           64гб - 555$ | 256гб - 640$ | 512гб - 750$ IPhone 11  Pro  Max  64гб - 615$ | 256гб - 700$ | 512гб - 810$ IPhone XS max           64гб - 475$ | 256гб - 530$ | 512гб - 570$ IPhon

    NFS
    NFS
    Прочие товары и услуги 60

    Продам онлайн схему заработка с доходом от 50 тыс.руб/мес.

    Приветствую вас, форумчане! Представляю вашему вниманию онлайн схему заработка, которая позволит вам зарабатывать от 50 т.р. в месяц! Это авторская схема (цвет абсолютно белый), которая включает мануал и маленькие консультации и первоначальные подсказки, которые имеют также важное значении. Я уверен, что более 99.99% участников форума не сталкивались с этой сферой и общей информацией изложенной в моём труде. Это не бизнес план, это схема заработка. В чём суть:  Мы создаём циф

    SovetskiSoyouz
    SovetskiSoyouz
    Схемы заработка 10

    Паспорт РФ под Ваши данные

    Наш сервис растёт и развивается! Работаем на площадках с 2014 года (оффлайн с 2008 года). Мы рады предложить Вам документы высокого качества, а именно: Паспорт старого образца с 1997 года по 2007 год включительно Паспорт нового образца с конца 2007 года по наши дни, все модификации. Документы имеют все необходимые степени защиты, в том числе делаем текст "Паспорт гражданина РФ" читабельным тактильно. Делаем полностью под необходимые Вам данные. Серия и номер так же такти

    Nazar787
    Nazar787
    Купить паспорт РФ 13

    Карты под обнал

    Здравствуйте, по приглашению администрации форума создаю тему на площадке. Ищу активных, ответственных людей во всех регионах РФ и СНГ для обнала карт. Балансы 1000+$, карты не чекаю точных балансов не знаю, но меньше 1000 не было ни разу. В данный момент выслал карты для проверки по просьбе администрации, надеюсь потом получу статус доверенного. Со временем внесу залог, если будет работа именно на этом борде. Буду работать с людьми по рекомендации от доверенных лиц форума 50

    DropOBot
    DropOBot
    Продажа карт 97
  • Схема заработка - парикмахерская

    Прибыльность парикмахерского бизнеса, как любого бизнеса, направленного на удовлетворение естественных потребностей, зависит от качества услуг и их стоимости. Кроме того имеется целый ряд факторов, определяющих, насколько успешен будет проект. Не полный их перечень выглядит следующим образом: Расположение парикмахерского салона. Уровень потенциального спроса. Формат деятельности парикмахерской. Наличие конкурентов и их возможности. Финансовые и организационные

    олеся
    олеся
    Легальный бизнес 9

    Российские хакеры взламывают аккаунты предпринимателей в Telegram.

    Пользователи популярного мессенджера стали жертвами мошенников, которые получали доступ к аккаунтам посредством перехвата сообщений. Об этом сообщают эксперты по кибербезопасности компании Group-IB. Пользователи получали сообщение с кодом подтверждения входа в аккаунт, который не запрашивали. Оно приходило на смартфон и в сервисный канал Telegram. Через несколько секунд жертва взлома получала уведомление об авторизации с нового устройства. По словам специалистов, несанкционированный вх

    ChekTime
    ChekTime
    Ботнеты, кодинг, загрузки 2

    Зарабатываем на чат-ботах

    Предисловие В этой статье не будет сложных терминов и  километров программных кодов. Как не странно, для разработки своего чат-бота не требуется специальных навыков. Каждый из вас сможет постичь эту “науку” за несколько дней.  Инструмент интегрируется в любую компанию, возможно разработать бот даже для государственных услуг. Функционал бота ограничивается только вашей фантазией.  Данный способ заработка только набирает обороты. Многомиллионная аудитория, отсутствие конкуренции и

    tor
    tor
    Слив схем заработка

    Перестала радовать жизнь?

    Если твоя жизнь — тоска полная и ничего в ней не радует, то обязательно с этим нужно что-то делать. Разумеется, если ты героиновый наркоман или любой другой маргинал, то тебя ничего радовать и не должно, кроме сампонимаешь чего. Однако если ты в целом нормальный парень, вроде всё ничего, но, бывает, моментами начинается внезапная грусть, депрессия и апатия, то это случается не просто так, а в связи с некоторыми причинами. Ты пресытился   Или попросту зажрался. Это не т

    Novichok
    Novichok
    Курилка 1

    Заливы на карту Сбербанка без предоплаты – форум Hackatm

    Где сделать залив на карту Сбербанка?   Термин «залив» жаргонный и популярен в Сети. Суть в том, что некие люди предлагают кому-то пополнить его счет в банке или скинуть деньги на карту. Это и есть залив. Сумма зачастую немаленькая, иногда она исчисляется в сотнях тысяч рублей. Затем человек, получивший средства на карту, должен эти средства вывести и отправить на реквизиты, которые указываются отправителем. При этом получивший залив оставляет себе в награду заранее оговоренный процент

    Integra
    Integra
    Платёжные системы 3

    Даже СОРМ не нужен: как полиция и ФСБ получают любые данные пользователей

    На этой неделе в соцсетях разгорелся новый спор про персональные данные: сервис «Яндекс.Такси» по одному письму с указанием номера выдал полиции данные о поездках пользователя. Им оказался журналист Иван Голунов. Благодаря этой информации он в итоге и был задержан по сфабрикованному уголовному делу о наркотиках. Многих удивило, как просто компания рассталась с данными о своем пользователе, но для российских интернет-сервисов и соцсетей это нормальная практика. Рассказываем, как это работает, — н

    Verb
    Verb
    Новости


×
×
  • Создать...