Социальная инженерия для кардера

Головин Виталий Vint@townnet.ru

Спецвыпуск Xakep, номер #036, стр. 036-066-1

Этот раздел кардерского искусства очень важен. Большинство взломов происходит не без помощи социальной инженерии, и именно она подчас определяет провал или успех операции. Собственно, для некоторых операций социальная инженерия – единственное, что нужно для их осуществления.

Что за змей СИ

Социальная инженерия (Social Engineering) - это наука, с помощью которой происходит управление людьми против их воли и желания. Она была изобретена фрикерами уже довольно давно: лет двадцать - тридцать назад. Кстати, очень известными специалистами СИ были Кевин Митник и Росско.

В этой статье будет использоваться толкование, относящееся исключительно к компьютерной безопасности. То есть сейчас СИ - это способ нелегального доступа к секретной или личной информации путем обмана людей. Неброско, зато ясно. Обычно цель атаки СИ одна - получить пароль, необходимый для доступа к какой-либо секретной базе данных, в последнее время целью СИ часто является номер кредитки незадачливого юзера.

Простейшая СИ атака делится на 3 фазы: диверсия, реклама, помощь. С диверсией все просто, кардер-хакер просто нарушает работу компьютера жертвы любым способом. Это может быть как банальный вирус на дискете или в письме, так и хорошая атака на хост из Сети. После того, как комп загнулся, наступает второй этап взлома: реклама. Здесь кардер информирует жертву всеми доступными средствами (бумажные объявления, общие друзья, ICQ, спам), что именно он сможет вернуть к жизни безвременно скончавшуюся ОС. И только следующим шагом становится непосредственно помощь. Под "помощью" кардеры понимают восстановление компьютера, в ходе которого происходит незаметное для юзера выманивание из него необходимой инфы. О способах помощи мы поговорим чуть ниже, а сейчас рассмотрим места, где обычно проводятся атаки класса СИ.

Знал бы, где упадешь...

Излюбленные орудия и способы кардеров, проводящих такие атаки, широко известны: телефоны, как обычные, так и сотовые, личные встречи с жертвой, письмо - обычное бумажное или послание по мылу, различные чаты в сети (ICQ, IRC, банальный web-chat). Дальше я постараюсь изложить основные тонкости каждого.

Телефон - средство кардера

Начнем, пожалуй, с самого старого, но и сейчас активно используемого способа: общение с жертвой по телефону.

Вот основные плюсы такого метода:

1. Достаточно высокая анонимность, особенно при использовании левой линии с антиАОНом или звонка с таксофона.

2. Высокая эффективность, которая объясняется возможностью представиться любым человеком, и, при наличии навыков, атакуемый не заметит подвоха.

3. Быстрые результаты - кардеру не нужно ждать, пока дойдет письмо или вернется инет, упавший из-за грозы. При использовании мобильника мы получаем полную свободу, что немаловажно в трудовые будни. На этом плюсы социальной инженерии с использованием телефона заканчиваются и начинаются отрицательные стороны.

Самая большая проблема – это твой голос, особенно если человек на другом конце провода хорошо знает того, за кого себя выдает взломщик (к примеру, менеджера банка Х). Встает необходимость смены голоса любыми способами. Если не получается подобрать тон, то атакующий часто пытается сослаться на болезнь (хотя я сомневаюсь, что здоровый еще час назад человек может вдруг заболеть ларингитом с полной потерей голоса). Дальше стоит проблема фона - в любой организации добиться абсолютной тишины невозможно, а особенно в банках (я так часто говорю про банки потому, что кардеры чаще выдают себя за высокопоставленных служащих банка атакуемого). И значит, если некто позвонит в разгар рабочего дня и в его "офисе" будет стоять гробовая тишина, то кардеру не поверят или заподозрят неладное. Значит, необходимо применить одну из следующих уловок: телефонный аппарат, генерирующий шум офиса, запись из реального рабочего офиса или трансляция посредством радиожучков из другой организации (выбирается предельно тщательно). С технической стороной этого способа мы познакомились, переходим к самому радикальному и опасному - личная встреча.