.cСоциальная инженерия

шуточные программы из главы 3, чтобы подбрасывать знакомым в виде исполняе- мого файла через e-mail-сообщения.

Итак, давайте рассмотрим некоторые способы, которыми пользуются хакеры. Это поможет вам распознавать их уловки и выделять попытки психологического воздействия от простого общения с людьми. Помните, что социальная инженерия максимально сильна в Интернете, когда вы не можете воочию оценить намерения своего собеседника.

5.3.1. Как он хорош

Мы уже говорили про e-mail-рассылку, в которой нас просят запустить файл во вложении. Я также предупреждал, что этого делать нельзя. Никто не будет посылать картинки через Интернет, как правило, это хорошо замаскированные исполняемые файлы.

Буквально недавно просочилась информация, что в ОС Windows есть ошибка при обработке BMP-файлов, а вчера я услышал об уязвимости JPEG-формата. К файлу картинки может быть прикреплен код, который при определенных условиях в некоторых программах (к ним относится и Internet Explorer) может быть выполнен. Конечно же, этот баг быстро исправили, и если пользователь обновляет свою ОС, то он в безопасности.

Когда вы просматриваете почту, то нужно без сомнений удалять любые письма, содержащие прикрепленные файлы с расширением scr, bmp, jpg, exe, com, pif и т. д.

Особое внимание нужно уделять файлам с заголовком "Mail Delivery". Такие уведомления приходят, когда ваше письмо не дошло до адресата, а вложением является файл с текстом вашего сообщения. Некоторые пользователи открывают это вложение, чтобы увидеть текст и определить, какое письмо не дошло. Это ошибка, потому что в последнее время вирусы стали маскироваться под сообщения в стиле Mail Delivery. Просто просмотрите тело письма, в котором должен быть указан e- mail получателя. Если вы отправляли письмо на этот адрес, то запросите подтверждение о получении вашего сообщения. Если оно не дошло, повторите посылку.

Я вижу много писем, в которых предлагается обновить Windows или какую-либо программу. Корпорация Microsoft и другие производители не занимаются такими рассылками по e-mail. Для обновления всегда нужно скачивать файлы с официальных сайтов, а не брать их из вложения к письму.

Когда мы путешествуем по сети, то на сайтах можно обнаружить яркие и красочные призывы щелкнуть по какой-либо ссылке. В ответ на это у нас просят разрешение на установку программы, без которой невозможно увидеть популярную звезду кино или шоу-бизнеса в обнаженном виде. Соблазн лицезреть это заставляет некоторых дать согласие, и в результате вы получаете вирус.

Помните, за яркими ссылками и настоятельными призывами что-то запустить или установить в 90% случаев прячется зловредный код. В последнее время я стал за-

личество рекламы. Возможно, что вирусы оказываются там без злого умысла, а из-

за халатности администраторов сайта. Дилетантские ресурсы Интернета и обслуживаются любителями, поэтому могут содержать, что угодно.

5.3.2. Смена пароля

В последнее время снова начинает набирать ход метод взлома через смену пароля. Я стал больше получать писем с просьбой обновить свои реквизиты на странице банка, и при этом ссылка указывает совершенно на другой сайт, где введенные пользователем данные попадают в руки хакеру.

Недавно мне пришло письмо, в котором использовался очень старый и давно забытый способ социальной инженерии. Письмо имело примерно следующее содержание:

Здравствуйте.

Я администратор хостинговой компании ХХХХХ. Наша база была подвержена атаке со стороны хакера, и мы боимся, что некоторые данные были изменены.

Просьба просмотреть следующую информацию, и если что-то неверно, то сообщите мне, я восстановлю данные в базе.

После этого следовало перечисление данных обо мне, которые легко получить с помощью сервиса Whois. На любом сайте регистрации доменов есть такая служба, позволяющая определять имя владельца домена. Хакер воспользовался этим сервисом и указал в письме всю найденную информацию, чтобы попытаться завоевать доверие. Помимо этого он указал еще два параметра — имя пользователя и пароль. Конечно же, эти данные хакер не мог знать, поэтому здесь были неверные значения. Большинство пользователей в этот момент теряются, и, волнуясь за свой сайт, естественно, пишут ответное письмо, в котором сообщают лже-администратору (а точнее, хакеру) свои параметры доступа к веб-страницам.

В качестве разновидности такого взлома можно привести классический случай со службой поддержки. Допустим, что вам нужно взломать все тот же хостинг. Вы звоните или пишете e-mail-письмо в службу поддержки с вопросом: "Почему я с такого-то аккаунта не могу зайти в Интернет или на сервер?" При этом нужно указать правильный логин (имя) и любой пароль. Работники службы поддержки обязаны помогать. Увидев ошибку, они поправят вас или вышлют правильный пароль по e-mail.

Если вы используете для общения со службой поддержки электронную почту, то тут главное — подделать e-mail пользователя, аккаунт которого вы хотите вскрыть. Служба поддержки не проверяет адрес отправителя, который фальсифицируется очень легко. Просто SMTP (Simple Mail Transfer Protocol, простой протокол электронной почты) может работать без авторизации, и в качестве отправителя позволяет указывать все, что угодно. Нужно только иметь SMTP-сервер, который не контролирует отправку почты.

образом завоевывается расположение и доверие жертвы, и вероятность получить

пароль достаточно высока, если пользователь не знаком с таким принципом социальной инженерии. Это подтверждает множество знаменитых взломов в 80-х годах прошлого столетия. Опытные пользователи должны помнить о них, но для многих это новинка, которая может быть опасной.

В настоящее время администраторов (особенно хостинговой компании) обмануть таким способом сложно, но существует еще много других неопытных пользователей.

5.3.3. Я забыл

Не менее эффективным является метод забытого пароля. Есть мнение, что если пароль знают двое, то профессиональный хакер без труда добудет эту информацию. Так работали фрикеры.

Задача фрикера — позвонить по телефону, представиться другом, начальником, подчиненным или просто забывчивым пользователем и попросить напомнить пароль, сославшись на то, что компьютер сгорел, украли, сломался жесткий диск.

Таким образом один раз взломали сайт моих друзей. Над страничками работали несколько человек, живущих в разных уголках страны. Они общались только по e-mail и никогда не видели друг друга. Однажды один из членов команды получил письмо, в котором другой (администратор) просил сообщить пароль, якобы потерянный в связи с поломкой винчестера. Адрес отправителя был подделан, а для ответа предложены совершенно иные координаты. Но на это никто не обратил внимания, и злоумышленник получил пароль доступа к администраторскому разделу и уничтожил важную информацию.

В данном случае достоверный e-mail-адрес ослабил бдительность моего знакомого, и он сам отдал секретный пароль. Я прекрасно понимаю, что секретный пароль должен знать только один человек, иначе безопасность ослабевает. Но когда я участвовал в жизни сайта vr-online, то там все пароли администраторов были доступны всем.

5.3.4. Я свой

Для меня не составляет труда проникнуть в большинство зданий. Как-то я работал в фирме, которая имела четыре отдела безопасности для выполнения различных функций. На первый взгляд охрана была отличной, везде проход по пропускам, но эффект оказался минимальным.

Территориально фирма располагалась на двух площадках — офис в центре и производство за пределами города. Производственная база была обнесена колючей проволокой, на каждом углу охранник, камеры, собаки, за забором несколько метров ровного песка, на котором хорошо видны следы. Единственная проходная имела рамку металлоискателя, такую можно увидеть в любом аэропорту.

компакт-диски и большинство дискет содержат слишком мало материала, на кото-

рый сможет среагировать эта рамка. Даже меньше, чем в пуговице. Если настроить такую чувствительность, то металлоискатель будет реагировать на все и всех. Помимо этого, над проходной находился узел связи, где стоял факс. Во время приема документов рамка пищала, поэтому днем ее выключали.

Результат? Утром и вечером легко можно было проносить в карманах носители информации. Если нужно вынести предметы с металлическим покрытием, то это делали днем, когда металлоискатель не работал, а половина охраны находились на обеде.

На производственной площадке существовало очень много запретов. Например, нельзя было носить сотовые телефоны. Но я в течение двух месяцев таскал, и никто не заметил. Как? Очень просто. Сотовый лежал в моей сумке, на самом верху. Охранники досматривали скрытые места, а на то, что лежит на самом виду, просто не обращали внимания. Конечно, меня все же поймали, но сделал это новый сотрудник охраны, потому что он четко придерживался должностной инструкции.

В офисе было не менее весело. В четырнадцатиэтажном здании располагалось еще около 20 фирм. Внизу стоял охранник и проверял пропуска, внешний вид которых различался для каждой организации. Достаточно было только увидеть этот пропуск и распечатать на принтере что-нибудь похожее, и ни один охранник с расстояния 3—4 метра не обратит внимания на отличие.

Когда я только устраивался в фирму, мне пришлось несколько раз посещать офис, а пропуска не было. Чтобы не проходить долгую процедуру получения временного документа, я не стал ничего печатать, а нашел какой-то листик схожего размера и просто показывал его. Ленивая охрана пропускала меня. Пару раз я проходил мимо охраны, просто показывая проездной на автобус. По форме и цвету они были очень похожи.

Когда я уже работал в фирме, то в офисе появлялся редко (раз в полгода). Но когда я бывал там, то заметил, что не все показывают пропуска. Некоторые проходят просто так. После увольнения мне нужно было получить свои деньги. Чтобы не тратить время на получение временного разрешения, я просто сделал "каменное" лицо и пошел через проходную, как будто бываю здесь каждый день. Охрана или не обратила на меня внимания, или просто испугалась останавливать человека с таким наглым лицом.

Очень часто достаточно сделать вид, что вы здесь свой, как никто не будет проверять ваши документы. Милиция, охранники обращают внимание и проверяют только тех, кто ведет себя подозрительно или просто боится. Нахальство позволяет обойти 90% препятствий.

В компьютерной сфере тоже есть, где применить нахальство. Например, однажды у меня украли пароль на почтовый ящик. Даже не представляю, как это произошло, потому что пароль был сложный. Видимо имел место взлом провайдера. Чтобы вернуть свой пароль, я написал письмо в службу поддержки, но мне, конечно же,