![DWH-Форум по обмену приватной информацией [VPN+]](https://dwh.su/styles/prisma/prisma/logotip_2.png)
c0dpro
Способ 1: используем троян
Довольно распространенным способом заполучения доступа к чужому ящику является рассылка электронных писем со встроенными вирусами. Точнее вирус встраивается не в само письмо, а письмо лишь содержит ссылку на вирус. Обычно содержание письма должно чем-то «зацепить» пользователя. Оно должно быть таким, на которое пользователь не сможет не отреагировать.
Примеры троянов — DarkComet RAT, SpyEye, Carberp. О DarkComet RAT мы уже писали, о Carberp было написано на Хабре. А SpyEye — это наш отечественный троян, разработанный Александром Паниным, который даже засветился в сводках ФБР.
Мы использовали модифицированную версию трояна ZeuS. На момент создания (29.10.15) нашу версию не обнаруживал ни один антивирус , к тому же в нем была функция отключения процессов, среди которых есть Dr.Web. Однако на компьютере жертвы был установлен Comodo — так даже лучше.
В качестве жертвы мы выбрали бухгалтера нашей управляющей компании Юлию. Ради чистоты эксперимента она ничего не подозревала о том, что мы собираемся сделать. Думаю, об этом не стоило даже и говорить.
Итак, у нас есть модифицированный ZeuS, но как заставить Юлию запустить его? Если просто отправить ей ссылку, понятно дело, она переходить по ней не будет. Обещать золотые горы в письме — тоже прошлый век, на такое пользователи уже не реагируют.
Тогда мы решили отправить письмо якобы от имени Федеральной Налоговой службы. Мы выбрали то, что «зацепит» жертву.
Чтобы поле From содержало внушительное название, а не [email protected], нами были подделаны заголовки письма. Это делается довольно просто, а как именно будет показано в способе 5. Пока не будем на это отвлекаться.
Как мы и рассчитывали, Юлия скачала программу и запустила инсталлятор обновления формы отчетности. Инсталлятор сделан с помощью Inno Setup за 5 минут. Именно он установит и запустит наш троян.
После этого мы можем полностью контролировать компьютер жертвы.
Что мы можем? Мы можем ради интереса просмотреть список процессов компьютера, в котором, ясное дело, не будет нашего трояна. Мы можем просмотреть файловую систему.
Конечно, самое главное, ради чего все это затевалось — список паролей, сохраненных в браузере.
Письмо и инсталлятор далеки от идеала, поскольку все делалось на скорую руку. Однако наша затея увенчалась успехом. Для достижения своей цели мы объединили целых два способа — социальный инженеринг и «поддельное» письмо. Оба эти способа будут рассмотрены далее.
Эффективность: средняя
Сложность: средняя
Стоимость: низкая
Способ 2: взлом по номеру телефона
Суть этого способа заключается в следующем. Злоумышленнику нужно знать номер телефона жертвы, указанный при регистрации почтового ящика. При сбросе пароля почтовая служба требует ввести последние символы номера телефона (или выбрать номер телефона из списка). На этот номер будет отправлено SMS с кодом подтверждения сброса пароля. Затем злоумышленник отправляет второе SMS с требованием указать код из предыдущего SMS.
Пользователь, ничего не подозревая, отправляет код из первой SMS. Самый большой недостаток этого способа в том, что первая SMS придет от Google, а вторая — с неизвестного номера. Успех этого способа зависит от сообразительности жертвы. Посмотрим на этот способ на практике.
Первым делом попытаемся просто сбросить пароль, после чего Google попросит ввести тот пароль, который мы помним. Понятное дело, пароль мы не помним, поэтому нажимаем кнопку Затрудняюсь ответить.
Далее если у вашей жертвы был привязан к аккаунту Android-телефон, то Google предложит отправить оповещение. Примечательно, но смартфон не издал ни единого звука, а просто отобразил оповещение. Если он не будет перед глазами у пользователя, есть вероятность, что он его не заметит. Если же пользователь нажмет Нет, то не отчаивайтесь — повторите данный процесс несколько раз — позже поймете зачем.
После нажатия кнопки Отправить оповещение откроется страница, Перейдите по ссылке Сбросьте пароль другим способом. Откроется классическая страница сброса пароля через SMS-код (рис. 12). Эта же страница откроется, если к аккаунту не привязан Android-телефон.
Настал кульминационный момент. Жертва получает код подтверждения Google
Далее вы должны с другого телефона сразу же отправить примерно такое сообщение:
Предотвращена попытка входа в аккаунт Google. Перешлите код подтверждения Google для разблокировки аккаунта.
С одной стороны, пользователь может обратить внимание на неизвестный номер. С другой стороны, поставьте себя на место среднестатистического пользователя. Сначала он получает уведомление о сбросе пароля, потом SMS с кодом подтверждения, а после — сообщение о том, что замечена подозрительная активность. Конечно, можно все немного усложнить и завести короткий номер, с которого и будет отправлена SMS. Получить короткий номер с названием службы, например, Google Security, не проблема. Это только повысит вероятность успеха.
В нашем случае все получилось и без короткого номера. Мы получили код активации, который потом был указан на странице восстановления пароля. Таким образом, нам получилось сбросить пароль аккаунта и заполучить доступ к почтовому ящику.
Получение доступа к почтовому ящику — это еще не все. Чтобы жертва не догадалась, что ее ящик увели, после сброса пароля нужно создать временный пароль и отправить его по SMS, а самим тем временем сделать переадресацию на «хакерский» ящик. Так можно получить контроль над ящиком, не вызвав особых подозрений.
Эффективность: средняя
Сложность: низкая
Стоимость: низкая
Довольно распространенным способом заполучения доступа к чужому ящику является рассылка электронных писем со встроенными вирусами. Точнее вирус встраивается не в само письмо, а письмо лишь содержит ссылку на вирус. Обычно содержание письма должно чем-то «зацепить» пользователя. Оно должно быть таким, на которое пользователь не сможет не отреагировать.
Примеры троянов — DarkComet RAT, SpyEye, Carberp. О DarkComet RAT мы уже писали, о Carberp было написано на Хабре. А SpyEye — это наш отечественный троян, разработанный Александром Паниным, который даже засветился в сводках ФБР.
Мы использовали модифицированную версию трояна ZeuS. На момент создания (29.10.15) нашу версию не обнаруживал ни один антивирус , к тому же в нем была функция отключения процессов, среди которых есть Dr.Web. Однако на компьютере жертвы был установлен Comodo — так даже лучше.
В качестве жертвы мы выбрали бухгалтера нашей управляющей компании Юлию. Ради чистоты эксперимента она ничего не подозревала о том, что мы собираемся сделать. Думаю, об этом не стоило даже и говорить.
Итак, у нас есть модифицированный ZeuS, но как заставить Юлию запустить его? Если просто отправить ей ссылку, понятно дело, она переходить по ней не будет. Обещать золотые горы в письме — тоже прошлый век, на такое пользователи уже не реагируют.
Тогда мы решили отправить письмо якобы от имени Федеральной Налоговой службы. Мы выбрали то, что «зацепит» жертву.
Чтобы поле From содержало внушительное название, а не [email protected], нами были подделаны заголовки письма. Это делается довольно просто, а как именно будет показано в способе 5. Пока не будем на это отвлекаться.
Как мы и рассчитывали, Юлия скачала программу и запустила инсталлятор обновления формы отчетности. Инсталлятор сделан с помощью Inno Setup за 5 минут. Именно он установит и запустит наш троян.
После этого мы можем полностью контролировать компьютер жертвы.
Что мы можем? Мы можем ради интереса просмотреть список процессов компьютера, в котором, ясное дело, не будет нашего трояна. Мы можем просмотреть файловую систему.
Конечно, самое главное, ради чего все это затевалось — список паролей, сохраненных в браузере.
Письмо и инсталлятор далеки от идеала, поскольку все делалось на скорую руку. Однако наша затея увенчалась успехом. Для достижения своей цели мы объединили целых два способа — социальный инженеринг и «поддельное» письмо. Оба эти способа будут рассмотрены далее.
Эффективность: средняя
Сложность: средняя
Стоимость: низкая
Способ 2: взлом по номеру телефона
Суть этого способа заключается в следующем. Злоумышленнику нужно знать номер телефона жертвы, указанный при регистрации почтового ящика. При сбросе пароля почтовая служба требует ввести последние символы номера телефона (или выбрать номер телефона из списка). На этот номер будет отправлено SMS с кодом подтверждения сброса пароля. Затем злоумышленник отправляет второе SMS с требованием указать код из предыдущего SMS.
Пользователь, ничего не подозревая, отправляет код из первой SMS. Самый большой недостаток этого способа в том, что первая SMS придет от Google, а вторая — с неизвестного номера. Успех этого способа зависит от сообразительности жертвы. Посмотрим на этот способ на практике.
Первым делом попытаемся просто сбросить пароль, после чего Google попросит ввести тот пароль, который мы помним. Понятное дело, пароль мы не помним, поэтому нажимаем кнопку Затрудняюсь ответить.
Далее если у вашей жертвы был привязан к аккаунту Android-телефон, то Google предложит отправить оповещение. Примечательно, но смартфон не издал ни единого звука, а просто отобразил оповещение. Если он не будет перед глазами у пользователя, есть вероятность, что он его не заметит. Если же пользователь нажмет Нет, то не отчаивайтесь — повторите данный процесс несколько раз — позже поймете зачем.
После нажатия кнопки Отправить оповещение откроется страница, Перейдите по ссылке Сбросьте пароль другим способом. Откроется классическая страница сброса пароля через SMS-код (рис. 12). Эта же страница откроется, если к аккаунту не привязан Android-телефон.
Настал кульминационный момент. Жертва получает код подтверждения Google
Далее вы должны с другого телефона сразу же отправить примерно такое сообщение:
Предотвращена попытка входа в аккаунт Google. Перешлите код подтверждения Google для разблокировки аккаунта.
С одной стороны, пользователь может обратить внимание на неизвестный номер. С другой стороны, поставьте себя на место среднестатистического пользователя. Сначала он получает уведомление о сбросе пароля, потом SMS с кодом подтверждения, а после — сообщение о том, что замечена подозрительная активность. Конечно, можно все немного усложнить и завести короткий номер, с которого и будет отправлена SMS. Получить короткий номер с названием службы, например, Google Security, не проблема. Это только повысит вероятность успеха.
В нашем случае все получилось и без короткого номера. Мы получили код активации, который потом был указан на странице восстановления пароля. Таким образом, нам получилось сбросить пароль аккаунта и заполучить доступ к почтовому ящику.
Получение доступа к почтовому ящику — это еще не все. Чтобы жертва не догадалась, что ее ящик увели, после сброса пароля нужно создать временный пароль и отправить его по SMS, а самим тем временем сделать переадресацию на «хакерский» ящик. Так можно получить контроль над ящиком, не вызвав особых подозрений.
Эффективность: средняя
Сложность: низкая
Стоимость: низкая
