Социальная инженерия. Как «взломать» человека

Узнаем ответ на секретный вопрос

Вопросы на почтовых серверах, как правило, достаточно однотипные:

• Девичья фамилия матери;
• Любимое блюдо;
• Кличка домашнего питомца;
• Номер паспорта;
• Личный вопрос (имя первого учителя; индекс; любимый фильм; любимый исполнитель).

На такие, как «Любимое блюдо» или «Кличка собаки», ответ можно подобрать самостоятельно, имея хорошую интуицию. Если же интуиция – не главный твой конек, или вопрос подразумевает более конкретные знания, тогда придется потрудиться. Для начала собираем как можно больше информации о владельце ящика. Очень желательно номер ICQ или страницу «Вконтакте». Потом добавляемся к жертве в контакт-лист, знакомимся под любым предлогом (тут нам пригодится вся собранная информация) и начинаем «атаку» по выведыванию нужного нам ответа на секретный вопрос. На этом этапе главное – не торопись, все должно быть последовательно и естественно, так, чтобы у жертвы не закралось никаких подозрений.

Какие схемы срабатывают? Девичья фамилия матери – заводи тему о генеалогическом дереве или о том, какая забавная была фамилия у твоей мамы до брака. Любимое блюдо – тут все понятно. Кличка животного – разговор о питомцах: прошлых, настоящих и будущих, так как кодовым словом может быть кличка первого подаренного хомячка. С номером паспорта будет сложнее. Тут можно соблазнить на покупку недорогого дефицитного товара, например, который доставляют с оплатой по факту, но для оформления заказа нужны паспортные данные и идентификационный код. Имя первого учителя можно узнать у одноклассников жертвы, или поговорить с ней непосредственно о любимых учителях; индекс проще получить, скачав базы города, а у жертвы просто узнать, в каком районе она живет. Тут главное – смекалка, фантазия и терпение.

Есть один небольшой, но важный нюанс. Иногда при вопросе «Любимое блюдо» ответом может быть, например, номер телефона, то есть, полное несоответствие вопроса и ответа. Здесь тебе придется заводить разговор о нелепых сочетаниях и бессмысленности секретных вопросов, а потом начинать все заново, желательно уже под другим аккаунтом.

Обращение в Службу поддержки

Этот способ более трудоемкий и стремный, но нужен в том случае, если жертва никак не хочет «колоться», или если ящик «мертвый», то есть хозяин давно на него не заходит. Для этого иди на страницу службы поддержки нужного почтового сервиса и пиши письмо с просьбой восстановить украденный пароль. С тебя, скорее всего, потребуют имя, фамилию (или те данные, которые были указаны при регистрации), дату рождения, приблизительную дату регистрации ящика (хотя бы год). Поэтому постарайся узнать о жертве и ее ящике как можно больше сведений. В этом тебе помогут поисковые системы, социальные сети и блоги.

Фишинг

Один из самых эффективных способов получения пароля, причем хозяин об этом даже не узнает. Жертве предлагается ссылка, по которой нужно перейти и ввести свой логин и пароль. Эти данные отправляются в файл отчета, базу данных (если угон массовый) или на почту. Основная премудрость состоит в том, чтобы заставить жертву перейти по этой ссылке. Форма может быть какой угодно:

• Сообщение «от администрации» (читай: с почтового сервиса с подменой адреса) о спаме с данного ящика. Пример: «Уважаемый пользователь, (имя пользователя)! На Ваш аккаунт поступили жалобы на спам, в связи с чем администрация имеет право временно приостановить или заблокировать его работу. Вполне возможно, что к нему получили доступ злоумышленники. Чтобы подтвердить принадлежность аккаунта, пройдите повторную авторизацию по этой ссылке (гиперссылка на фейк). Если в течение 5 дней подтверждения не будет, почтовый аккаунт будет заблокирован. С уважением, служба поддержки (название почтового сервиса)». Игра на страхе потери ящика.
• Зная об увлечениях жертвы, можно взять на интерес. Например, письмо с интересующей темой, в которой освещена только часть информации, все остальное – при переходе по ссылке. Ссылка ведет на псевдостраницу авторизации, и прочитать остальную информацию можно только залогинившись.

Пример: «Только 15-17 августа 2010 года в (город жертвы) проходит практический тренинг по 100% эффективному построению межполовых отношений! Впервые откроются безотказные секреты сексуальности и привлекательности, часть из которых Вы можете увидеть здесь (гиперссылка). Остальное – на тренинге. И не забывайте, что теория – это всего лишь теория. Научиться всему вы сможете на практике. Проводит тренинг автор Егор Асин (гиперссылка). Для тех, кто зарегистрируется до 10 августа – первое занятие бесплатно. Для регистрации заполните эту форму (гиперссылка)».

Все гиперссылки ведут на фейковую страницу авторизации почтового сервера жертвы. Дальше — редирект на сайт с информацией.

Фарминг

Бывает и такое, что жертва достаточно умна (или пофигистична), чтобы не переходить по ссылкам. В этом случае тебе придется прибегнуть к помощи троянов/джойнеров/скриптов для манипуляции с файлом HOSTS, либо взломать DNS- или DHCP-сервер ее провайдера. При этом, когда юзер заходит на сайт, чтобы проверить e-mail, происходит перенаправление на точно такой же, только фишинговый. Ничего не подозревая, пользователь вводит свои данные и при помощи скрипта внутренней авторизации попадает в свою «родную» почту, а логин и пароль попадают к тебе на почту. Вся прелесть в том, что жертва даже не догадывается о произошедшем.

Как впарить троян

Всеми нами любимые программы-«лошадки», они так просты в создании и так результативны при получении доступа к чужому компьютеру. Минус в том, что сами они не распространяются. Их нужно «впаривать». Именно в этот момент многие хакеры начинают осознавать пользу социальной инженерии. Давай рассмотрим некоторые наиболее популярные способы.

1. Полезный софт.

Отлично идут письма с предложениями полезных программ, например, ускоритель браузера, позволяющий увеличить скорость в несколько раз, или крякер паролей («Просто введите адрес сайта, и через несколько минут Вы получите все пароли!»), или программа-перехватчик чужих SMS. Удобнее всего отправить письмо со ссылкой на скачивание, можно от имени друга жертвы (узнай предварительно его почту и воспользуйся формой для анонимной отправки). Чтобы повысить уровень доверия, можно сопровождать письмо скриншотами программы.

• Играем на любопытность + жадность.

2. Сайты знакомств.

Идеальное место для создания ботнетов, очень многие сейчас имеют аккаунты на подобных сайтах. Ты тоже обязательно заведи там профайл, знакомься, флиртуй (как показывает практика, на женские аккаунты клюют чаще). Рано или поздно жертва сама попросит тебя выслать фотографию, и тут ты, добрая душа, предложишь не одну, а целый самораспаковывающийся архив фотографий с расширением .exe или даже презентацию себя в 3D. Предварительно заинтригуй настолько, чтобы ему не терпелось поскорее открыть архив, не отвлекаясь на ненужные подозрения. Например: после того, как он попросит твое фото, напиши что-то типа «Только не удивляйся сильно, я достаточно нестандартно выгляжу. У меня есть одна деталь, которая очень нравится парням». Что конкретно ты «имела» в виду, пусть думает уже после того, как троянский конь вырвался на волю и пасется в его системе. Обязательно попроси фото взамен, чтобы у него не возникло сомнений (или ощущения невостребованности :)).

• Играем на интерес + сексуальное желание.

3. Красимся в блондинку.

Под видом симпатичной девушки-ламера идем в чат или на форум, и жалуемся, что ну никак не получается разобраться в новой программе, которую недавно скачал старший брат. Беда в том, что брат уехал в свадебное путешествие, а тебе так не хочется отвлекать его. Программа обязательно должна быть малоизвестной и интригующей. Пусть это будет генератор кодов пополнения мобильного или интернет-счета, например. Обязательно найдется куча умников, желающих помочь красивой и глупой девушке. После того, как архив скачан, распакован и обнаружено, что генератор кодов пополнения каким-то чудом оказался генератором паролей для брута аськи, извинись и поблагодари ребят. Ведь они тебе помогли намного больше, чем сами того хотели :).

• Играем на желание быть значимым и произвести впечатление.

4. Дорожное яблоко.

Подкидывание накопителей (флеш-карты, диски) работает почти безотказно, если сыграть на интересе. В зависимости от целевой аудитории, мотивировать к запуску на компьютере можно интригующими названиями: «Зарплата штата сотрудников (название конкурирующей компании)», «Мой первый лесби-опыт. Видео», «Узнай правду о своей жене/девушке» (подкинуть в почтовый ящик), «Мой дневник», «Секретная информация», «Для Лены. Остальным смотреть запрещается!»

• Играем на любопытство.

5. Тестирование бета-версии новой программы.

На джоб-сайтах вешаем объявление: «Набираются люди для тестирования новой программы (суть программы). За каждую найденную ошибку – оплата (сумма). Архив с программой (12 Мб) и инструкции по почте. О желании участвовать в тестировании пишите на e-mail: beta-testing@***.com». Желательно, чтобы ящик размещался не на бесплатном сервере – так солиднее.

• Играем на жадность.

Как обычно, статья исключительно для ознакомления

Спасибо, что с нами