Фишинг

Прошу не судить строго - ролик записывался на эмоциях, под влиянием разбудившего меня сегодня звонка от друга, чья семья попала более чем на 1 000 000 рублей кредита (его видимо придется отдавать), и которым я, как выяснилось, несмотря на место работы, вряд ли чем-то смогу помочь. Немного позже выяснилось, что потерпевших от это схемы "вам звонит служба безопасности банка", уже казалось бы закрепившейся в анекдотах и мелькающей на демотиваторах в соцсетях, только в среде моих знакомых несколько - и опять, это только те, кто не стыдится рассказать об этом. Схема проста: звонок -> установка трояна -> получение кредита -> вывод денег через банкомат руками самого держателя банковской карты -> пересылка на "защищенный счет".

Если вы считаете, что вы, ваши родители и близкие, на 100% защищены от данной схемы, дальше можно не смотреть.

Стенограмма.

Небольшое вступление.

Я работаю в должности исполнительного директора, в крупном банке, но в данном ролике не будет никаких инсайдерских вещей - только мой личный опыт и опыт моих друзей и знакомых. И да, точка зрения, которую я высказываю, может не совпадать в официальной позицией банка, и местами может не понравиться кому-то из руководителей.

Так случилось, что сегодня мне позвонил друг, и рассказал, что его жену обманули мошенники, и она перевела им целый миллион рублей. Но факт в том, что у нее не было этого миллиона, и через мобильный банк на нее оформили кредит, про который она не знала фактически до момента, когда стало уже поздно.

Внезапно оказалось, что обманутых в моем окружении немного больше чем я думал, в том числе люди моего возраста. И на них тоже в одночасье через мобильный банк был вот так вот взят кредит, который теперь предстоит выплачивать еще долго.

Нельзя сказать, что люди, которые подверглись такому обману - полные дураки. Да, как правило, это женщины, причем не склонные транжирить деньги, дарить их первому встречному - и эти деньги достаются им тяжелым трудом, они крайне боятся их потерять - и как раз на этом страхе играют мошенники в стиле нет времени объяснять, действуй, спасай свои кровные, я щас расскажу как именно, слушай сюда.

Давайте же разберемся, почему так происходит, кто виноват, и что с этим можно было бы сделать - и рассуждать об этом я могу, разумеется, через призму своего опыта.

Начнем с того, что нарушение закона в западном капиталистическом обществе несколько романтизируются, и что отличает ее от нашего общества - там против этого есть некое противоядие в виде непоправимых последствий, клейма судимости.
Оно фактически ставит крест на устройстве на достойную работу, и информация даже об условном сроке - повод для шантажа, причем шантажом профессионально занимаются специальные агентства, которые при каждом переезде или переводе на новую работу грозят рассказать всем соседям и коллегам с каким подонком им предстоит работать.

Я даже не говорю о том, что можно легально застрелить человека, перешагнувшего границу твоего участка или порог твоего дома.

Видимо, поэтому в западном кино образ обаятельного преступника зачастую привлекает людей - ведь они все поставили на карту, а обычных людей от такого поведения давно уже отучили.

Что касается нас, после смены строя на капиталистический, большое количество осужденных или ловко избежавших наказания преступников оказались в выигрыше, поскольку в нужный момент завладели капиталом, и оказались не обременены необходимостью работать, чтобы прокормиться. Ну и сейчас они уважаемые люди, роде того, как корсар Френсис Дрейк получил удостоверение ее величества и стал уважаемым человеком - разница лишь в том, что те состояния были нажиты очень давно, а у нас 90е годы закончились только что, а кое-где еще и продолжаются.

Но допустим, разгул именно бандитизма худо-бедно остановлен, киберпреступность имеет намного лучший имидж, поскольку 1) имеет ореол интеллектуального занятия и 2) позволяет легче избегать наказания, поскольку преступление совершается дистанционно.

Учась в школе, я был фанатом фильма Хакера, Пароль рыба меч и всякого такого. Выписывал журнал Хакер, и внимательно изучал все статьи про взлом. В основном, там описывался так называемый скам - когда воруют данные кредиток, покупают товар, пересылают его за рубеж, потом клиент опротестовывает транзакцию - и эмитент несет убыток, а его покрывает страховая - это такая веселая история про Робина Гуда, который грабит богатых, но мы же все знаем что у них полно денег. Но, в общем-то, первый же случай взлома, произошедший в нашем городе, существенно отличался от романтических историй, показанных в фильме - а узнал я о нем от местного ФСБшника, который не очень понимал, что там случилось, и как действовать в данной ситуации, а звездочку, наверное, хотелось. Ключевой момент данного взлома, что потерпевшей стороной было частное лицо, и в общем-то, там был не столько взлом, сколько мошенничество на доверии с карточками доступа к интернету - и похоже, с тех пор мало что изменилось. Но тот случай заставил задуматься - оказывается, т.н. хакерами намного легче обкрадывать не организации, а частных лиц - а так как я считаю, что с людьми надо поступать строго так как хочешь чтоб поступили с тобой, выступать на стороне этих ребят мне стало крайне брезгливо.

Забегая вперед, в целом быть на той стороне, то есть не создавать, а ломать информационные системы и программные продукты - крайне неэффективно, этих ребят с большой вероятностью ловят, и лезть во все это для обогащения я бы не советовал.

Потом я закончил университет, пытался защитить диссертацию по обнаружении атак на информационные системы. Смысл там был такой, чтоб существуют определенные сигнатуры, паттерны попыток взлома - сканирование портов, переполнения буфера, исполнение так называемого шелл-кода, установка троянов (рут китов), и для обнаружения всего этого, предполагалось использовать нейро-сеть.

Диссертация, к сожалению, была заброшена. После переезда в Москву я немного консультировал ФСБшников по правонарушениям, связанным с ИТ, но в целом моя текущая работа от всего этого довольно далека, и вообще, я считаю, что сфера безопасности в целом довольно скучна (без обид), и на первый взгляд она как будто не видна - вплоть до того момента, как случится громкий провал, после чего ответственных поувольняют к чертовой матери, или удастся ловко отмазаться в стиле ну мы же говорили, что надо все выключить и закрыть на амбарный замок, а нас никто не слушал.

Со вступлением закончили, и можно поговорить непосредственно о технологиях списания денег и навешивании крупных кредитов на ни в чем не повинных граждан.

Основной аспект, который мне во всем этом не нравится, это то, что при установке мобильного банка, народ совершенно не беспокоит, что нарушается ключевой принцип двухфакторной авторизации - у вас и коды подтверждения операций, и сами операции на одном устройстве. Существует такая вещь, как повышение привилегий. Многие наверное слышали про так называемые рутованные телефоны - на которых можно делать больше того, чем разрешено на обычных, например, раньше это решало законодательную программу с записью разговора (это запрещено в США, поэтому такие программы блокировались). Так вот, операционные системы на мобильных имеют уязвимости, через которых и активируются рут-режимы, и теория программного обеспечения говорит о том, что ошибки в программах будут всегда - то есть некая вероятность того, что устройство взломают вплоть до рут прав, всегда останется.

В этом случае, считайте, что вы просто подарили человеку свой телефон, со всеми паролями и доступом к мобильному банку, чужому человеку, и он может делать с ним что угодно. А так как на него же приходят и смски подтверждения, со всеми деньгами можете попрощаться.

Исходя из вышеперечисленного, я категорически не ставлю на телефон мобильный банк, и запретил делать это жене. Впрочем, некоторые женщины не выпускают телефон из рук, поэтому у них их по две штуки, чтоб один можно было поставить на зарядку. Тогда на один можно поставить, а коды подтверждения пусть приходят на другой.

Но чего я не понимал ранее, это того, что замечательные мобильные банки за несколько минут позволяют оформить крупный кредит, получить его на карточный счет, и списать даже его. У меня был тяжелый период в жизни, когда я был нагружен кредитами, и на грани просрочки платежей, и когда мне предложили перекредитоваться под меньший процент, это был просто как глоток свежего воздуха - и за это Сберу спасибо огромное.

Но уже тогда, когда приехала менеджер и попросила потыкать пальцами в планшет, а я спустя сколько-то минут на карту упали деньги, я понял, что уж больно все просто - и если бы у меня на телефоне стоял мобильный банк, то я, или кто-то под моей личиной, мог моментально взвалить на меня неподъемную ношу - в том числе такую, за которую мне никогда в жизни не рассчитаться - подтвердив согласие на слишком большой процент. Это, например, равнозначно тому, чтоб переписать на кого-то квартиру, а для этого действия неспроста нужно находиться в трезвом уме, и желательно чтоб на тебя посмотрел нотариус - не под дулом ли пистолета ты это делаешь, не держат ли родственников в заложниках и так далее.

Возможно (возможно), есть обратная сторона медали - кому-то не удобно ходить в отделение, и даже не удобно встречаться с менеджером у себя на работе, как это сделал я. Кому-то в целом процесс рассмотрения кредита кажется унизительным, и им проще общаться с машиной - которая сразу ответит да/нет.

Но я твердо убежден, что для большинства населения, может быть, для 90 или более процентов, категорически неправильно выдавать кредиты по кнопке, пусть даже банки потеряют на этом часть прибыли.

Потому что люди считают, что их риск взаимодействия с банком ограничен суммой на счете - и в самом худшем случае они только ее и потеряют.

И так и должно было оставаться - а мои знакомые (не отрицая их вины), потеряли в десятки раз больше, и так быть не должно - банк либо должен их защитить от всего этого (например, блокируя работу при установке троянов), либо взять на себя часть ответственности.

Совершенно понятно, что обманутых людей гораздо больше чем кажется - чувство гордости не позволяет многим признаться. И говоря о психологическом аспекте мошеннических схем, многие мои знакомые похваляются тем, что уж они-то точно никогда не поведутся на такие способы. Но про некоторых из них я достоверно знаю, что они отправляли небольшие суммы денег, когда в интернете видели всплывающее окно Вы выиграли приз, перейдите по ссылке! - то есть такое, что вообще за гранью.. То есть данная похвальба - ни что иное, как самоуверенность, которая сейчас слишком дорого обходится.

Поэтому зарекаться от такого не следует. Возможно, именно вам позвонят в тот момент, когда вы будете максимально не готовы к этому - в запарке, спросоня, в состоянии опьянения, или просто в расслабленном состоянии, когда критическое мышление не работает.

И еще пару советов. Взаимодействуя с телефоном, ведите себя так, как будто его уже взломали или украли, или это случится через 5 минут. То есть, обязательно должен быть пароль, СМС при заблокированном телефоне отображаться не должны - сим карту неплохо бы тоже запаролить. Но! При наличии скана паспорта, в сговоре с салоном сотового оператора, симку можно перевыпустить - оригинальная при этом перестанет работать. Уведомляйте банк при первых проблемах со связью.

Со слов работников телекома, подделать можно любой номер, с которого вам звонят. НЕЛЬЗЯ верить ни единому слову тех, кто позвонил вам. Если очень хочется поверить, спросите фамилию, или добавочный, и перезвоните но основной номер, куда вы перезваниваете, должен точно принадлежать организации (он написан на банковской карточке).

Отключите к чертовой матери переводы смсками, как это сделал я в тот день, как узнал, что они существуют, да еще и подключены по умолчанию.

Как только у вас списались деньги - звоните в банк (по номеру на карте и требуйте отменить операцию, чем дольше медлите, тем меньше шансов что это произойдет).

Хочу сказать, чем дольше я занимаюсь информационными технологиями, тем меньше у меня к ним доверия, но как сотруднику банка, грустно слышать упреки - вы же программисты, защитите нас. Мы-то может и защитили бы - но как только деньги из банка ушли, дальше никто для вас ничего сделать не сможет. И программист врядли сможет защитить вас от того, чтобы вы передавали коды злоумышленникам, а в большинстве случаев вы это делаете сами. Не говоря о том, что когда звонят настоящие работники банка и пытаются сообщить клиенту, что его понесло куда-то не туда, особо одаренные посылают их - мол, мне говорили, что мошенники будут звонить и отговаривать от перевода на защищенный счет, но вы не поддавайтесь. В каких-то случаях гораздо дешевле было сидеть и смотреть как списываются деньги с карты (а там лимит на переводы, и снятия), чем суетиться, и в результате переслать миллион кредитных денег на защищенный счет мошенникам.

Пару слов о том, что дескать и милиция тоже ничего не делает. Делает, но не все в ее силах. Дело в том, что все эти сложные схемы с организованными группами, организуются (простите за тавтологию) совсем не для того, чтобы украсть деньги, и сидеть с ними на счете, ожидая когда за тобой придут и посадят, а деньги вернут потерпевшему.

Весь смысл в том, чтобы в середину подставить того, кто не боится ответственности - алкоголика, наркомана, бомжа и т.д., и вывести деньги из зоны досягаемости полиции.

В этой связи хотелось бы передать привет любителям криптовалют, про которых у меня уже был ролик, и многие из которых обиделись. А ведь именно это ответ на тот вопрос, который всегда ставит вас в тупик - для чего вообще нужны криптовалюты. Вот для этого - чтобы избежать наказания за мошенничество, вымогательства, продажу наркотиков, и прочее. Какие-то напуганные женщины под жестким психологическим прессом перевели деньги, их мгновенно сняли с карточки наркомана, и купили криптовалюту, а ее прогнали через миксер, и обналичили за рубежом. Все, никакие полицейские ничего не сделают, они бы заявили в интерпол получателя денег, если бы это была обычная трансграничная свифтовка, или вестерн юнион.

Вот именно это результат работы замечательных информационных технологий, про которые кричат сегодня на каждом углу - и те, кто участвует в криптовалютных аферах обслуживают именно эти преступные схемы, где важна анонимность международных транзакций - других плюсов у криптовалют просто нет, сколько не пытайся натянуть сову на глобус. И без вас, дорогие майнеры, и самодеятельные менялы биткоинов на рубли и обратно (популярный криптовалютный стартап), подобным мошенничеством с мобильными банками было бы заниматься чуть сложнее - если не верите, почитайте например Золотого Теленка, как украв миллион, герой не смог ни потратить его, ни вывезти из страны. Уже во время, когда писали эту книгу, было ясно, как все работает, какой ход мыслей и какие основные движения у мошенников. Все максимально примитивное - украсть и убежать, ну а сейчас еще добавилась возможность сидеть за границей, а на тебя пусть работают неудачники - обманывают, лгут, да пусть за это и сидят - а деньги будут поступать к тебе за кордон.

Поэтому, криптобесы несут часть вины за то, что каким-то легко верным людям придется потратить годы жизнь, чтобы компенсировать украденные средства. И если так совпало, что ты криптобес - любитель криптовалюты и ее пропагандист, и думаешь, что это не про тебя, что ты не причем - постарайся не врать хотя бы себе - ты такой же участник всего этого шабаша, как и все остальные - и свобода от гнета государства, о которой вы так любите рассказывать, тут не причем - она кончилась там, где началась свобода другого гражданина -то есть где обманули первого потерпевшего, и выгнали деньги за рубеж через твой разлюбимый биткоин или эфир.

На этом все. Берегите себя и своих близких.

За время пандемии хакеры стали находить больше эксплойтов во всех видах программного обеспечения? Сегодня мы снова хотим поделиться интересными фактами и данными из нашего исследования Acronis Cyber Threats Report 2020 и рассказать о тех направлениях активности, в которых киберпреступники особенно преуспели. Речь пойдет об уязвимостях в различных приложениях, которые были обнаружены на протяжении коронавирусного локдауна. Также мы расскажем популярности разных типов вредоносного ПО, тенденциях в области кражи данных и затратах на содержание инфраструктуры для обеспечения работы сотрудников в удаленном режиме.

Содержание:

Атак на компании становится больше

Эксплойты Windows

Уязвимости в прикладных приложениях

Одноразовое вредоносное ПО

Тренд на кражу данных

Расходы на ИТ выросли

Согласно статистике, собранной Cyber Protection Operation Center (CPOC) центром безопасности Acronis в Сингапуре, за последние месяцы компании по всему миру испытывали самые разные атаки. И если к высокому уровню DDoS-агрессии привыкли уже многие, 2020 год запомнится большим уровнем фишинга, а также атак на системы видеоконференции.

Кстати, опасность фишинга остается особенно актуальной, потому что по данным нашего предыдущего исследования Acronis Cyber Readiness Report, только 2% предпринимателей уделяет внимание такому методу защиты, как фильтрация URL. Благодаря этому злоумышленники успешно проводят как атаки широкого спектра, так и целенаправленные атаки на конкретные корпорации.

Что касается атак на системы видеосвязи и коллективной работы, их рост стал результатом обнаружения большого количества уязвимостей в 2020 году. И это не удивительно, ведь облачные платформы и программы, которыми стали пользоваться в десятки или даже сотни раз больше людей, вызывали пристальное внимание хакеров.

Однако результаты нашего исследования показали, что в уходящем году также было обнаружено множество уязвимостей для операционных систем и другого прикладного. ПО. Например, компания VulnDB (специалист по управлению ИТ-рисками) сообщила о том, что в только в первом полугодии 2020 была раскрыта 11 121 уязвимость.

Данные Microsoft подтверждают эту информацию сентябрьский патч вендора закрывается 129 уязвимостей безопасности, 23 из которых могли быть использованы вредоносным ПО для получения полного контроля над компьютерами с ОС Windows при минимальном вмешательстве пользователей или вообще без такового. Это неприятный показатель, учитывая, что в 2020 году Microsoft семь месяцев подряд выпускала патчи, содержащие исправления более чем для 100 уязвимостей.

Впрочем, даже своевременный выпуск патчей не гарантирует безопасности, потому что многие пользователи так и не устанавливают их. Например, уязвимость CVE-2020-0796 (SMBGhost), считалась настолько опасной, что получила самый высокий рейтинг системы оценки уязвимости (CVSS): 10 из 10. И хотя компания Microsoft выпустила срочный внеочередной патч буквально через несколько дней, наши центры Acronis CPOC до сих пор регистрируют использование этой уязвимости.

Из числа интересных уязвимостей 2020 года CVE-2020-1425 и CVE-2020-1457, позволяют выполнить удаленный код (RCE) на машине пользователя. Они получили рейтинг критическая и важная соответственно и обе связаны с библиотекой Microsoft Windows Codecs Library, которая обрабатывает объекты в памяти. И хотя обеим уязвимостям в рейтинге Microsoft Exploitability Index присвоена категория использование маловероятно, наличие подобных брешей создает дополнительные возможности для злоумышленников.

Уязвимости CVE-2020-1020 и CVE-2020-0938, наоборот, используются активно. 23 марта, когда информация по этим брешам была опубликована, компания Microsoft подтвердила отсутствие исправлений Windows, а также факт активной эксплуатации уязвимостей злоумышленниками. Пользователи Windows 10, так и не установившие патчи Microsoft фактически позволяют злоумышленникам устанавливать программы, просматривать или изменять данные, а также создать новые учетные записи на своей машине.

CVE-2020-1464 представитель еще одного интересного вида уязвимостей. Она позволяет нарушить процесс валидации сигнатуры файлов Windows. При эксплуатации этой уязвимости можно провести запуск файла с поддельной сигнатурой, а операционная система не сможет распознать его вредоносную природу. Кстати, эта уязвимость затрагивает все поддерживаемые версии Windows и представляет собой серьезную проблему.

Приложения тоже уязвимы

В 2020 году высокий уровень уязвимостей показали также прикладные приложения. Одним из рекордсменов по количеству опубликованных патчей стала компания Adobe, которая выпустила в июле экстренное обновление безопасности для Photoshop, Prelude и Bridge. Всего через неделю после выхода стандартного ежемесячного обновления безопасности Adobe опубликовала рекомендации по безопасности, выявив в общей сложности 13 уязвимостей, 12 из которых оказались критическими, так как позволяют выполнить произвольный код на машине жертвы.

В августе Adobe выпустила патчи для устранения 26 уязвимостей в Adobe Acrobat и Adobe Reader, включая 11 критических уязвимостей, позволяющих обойти системы контроля безопасности. Девять из них также позволяли удаленно выполнить произвольный код.

Кроме этого, учитывая тенденции удаленной работы, киберпреступники все чаще стали обращать внимание на уязвимости виртуальных частных сетей (VPN). Например, в устройствах Citrix VPN была обнаружена уязвимость выполнения произвольного кода, известная как CVE-2019-19781. А на серверах Pulse Secure VPN по прежнему встречается уязвимость CVE-2019-11510, открывающая возможность чтения произвольного файла.

Вредоносное ПО становится одноразовым?

В III квартале 2020 года независимая лаборатория анализа вредоносного ПО AV-Test регистрировала 400 000 новых образцов вредоносного ПО каждый день. Это подтверждает автоматизацию создания вредоносного кода под конкретные задачи. В этом же периоде наши CPOC обнаружили, что 19% образцов были замечены в реальных условиях только один раз. При этом средний срок жизни современной версии вредоносного ПО в среднем составляет 3,4 дня. Вместо того, чтобы использовать свежие вирусы, трояны, программы-вымогатели повторно, авторы предпочитают сгенерировать новый код.

Если говорит о популярности разных типов ПО, перед вами диаграмма с 10 крупнейшими семейств вредоносных программ, которые мы наблюдали и отслеживали в 2020 году:

Кража данных становится трендом

При этом список возглавляют разновидности ПО, направленные на кражу данных. Вообще компрометация информации стала трендом уходящего года даже программы-вымогатели теперь все чаще не только шифруют, но и воруют данные. Например, авторы новой программы-вымогателя-как-услуги (RaaS) Conti, ставшей преемницей Ryuk, открыли сайт для публикации украденных данных. Conti используется уже несколько месяцев, но, видимо, шантаж шифрованием оказался не слишком эффективен. Осенью 2020 был открыт новый сайт Conti.News, на котором приведен список из 112 жертв, включая весьма крупные и известные компании.

Судя по всему, этот тренд становится нормой для киберпреступных группировок. Свои страницы для публикации украденных данных в сети Tor создали около 20 различных групп. В сети уже были опубликованы данные более 700 компаний 37% из них были украдены в результате заражения программой-вымогателем Maze (о ней подробнее читайте в предыдущем посте), 15% Conti, а 12% Sodinokibi.

Ситуация сложная, потому что утечки могут привести к потере деловой репутации, к дальнейшим атакам с использованием новых учетных данных, а также к различным штрафам. Если в ходе утечки будут скомпрометированы данные о клиентах, наказание согласно нормативным актам, такими как GDPR или CCPA, может оказаться очень ощутимым. Но уплата выкупа для многих компаний тоже не вариант, потому что является правонарушением в соответствии с правилами американского Управления по контролю за иностранными активами (OFAC).

Затраты на содержание ИТ растут

В завершение этого поста отметим, что большинство компаний в текущих условиях вынуждены были увеличить затраты на ИТ в том числе на безопасность. И только 1 из 5 компаний удалось сохранить затраты на прежнем уровне или немного сократить их.

Введение

По статистике за 2020 год до 45% сотрудников организаций открывают фишинговые письма, 20-30% переходят по нежелательным ссылкам в таких письмах, а от 10 до 15% вводят свои учетные данные на фишинговых ресурсах. Данные процентные соотношения взяты с учетом следующих факторов:

• фишинговые письма обходят все спам-фильтры и доставлены до целей (жертв)

• письма содержат актуальную информацию для сотрудников той или иной организации в определенный промежуток времени.

Поэтому в целях предотвращения утечки данных сотрудников может проводиться заблаговременное социотехническое тестирование. Представленный цикл статей будет посвящен рассмотрению основных этапов в рамках проведения такого вида тестирования.

Первая часть данного цикла посвящена подготовительному этапу при проведении тестирования методами социальной инженерии. Так, будет рассмотрено, как правильно сконфигурировать smtp-сервер с rDNS записью для отправки фишинговых писем, какие DNS-записи необходимо настроить для дальнейшего обхода спам-фильтров, а также как добавить авторизацию на почтовом сервере.

Перед тем как начать

В процессе проведения тестирования методами социальной инженерии мы использовали услуги VPS в основном из-за наличия белого IP.

Весь процесс настройки будет производиться на Ubuntu 18.04.5 LTS c использованием:

• Postfix 3.3.0-1

• OpenDKIM 2.11.0

• Dovecot 2.2.33.2

• Certbot 0.27.0

В качестве примера будет использоваться доменное имя "example.com" и сеть 192.168.10.0/24.

Настройка smtp-сервера

Для отправки почтовых писем будет использоваться smtp-сервер Postfix. Установка smtp-сервера Postfix производится командой:

apt-get install postfix

Для упрощения процесса конфигурирования во время установки Postfix в пользовательском интерфейсе в списке типов конфигурации сервера необходимо выбрать Internet Site для автоматической генерации файла конфигурации main.cf

После установки Postfix производим его базовую настройку. Для этого в терминале прописываем команды по изменению доменного имени и сети, из которой будет отправляться почта.

postconf e 'myhostname=example.com'postconf e 'mynetworks=192.168.10.0/24'

Настройка OpenDKIM

Теперь, когда базовая конфигурация Postfix закончена, необходимо провести дальнейшие настройки, чтобы уменьшить вероятность попадания в спам писем, отправляемых с нашего smtp-сервера.

Начнем с настройки DKIM для Postfix. Это цифровая подпись, которая подтверждает подлинность отправителя и гарантирует целостность доставленного письма. Для ее настройки нам понадобится OpenDKIM - открытая реализация системы аутентификации отправителя по DKIM. Установка OpenDKIM производится командой:

apt-get install opendkim opendkim-tools -y 

Cоздаем директорию /etc/opendkim/example.comи генерируем приватный и публичный ключ RSA.

openssl genrsa -out dkimprivate.key 1024openssl rsa -pubout -in dkimprivate.key -out dkimpublic.key

Примечание: для генерации ключей использовался более стабильный openssl, т.к. ключи, которые получались с помощью opendkim-genkey, не проходили проверки на сервисах тестирования записи DKIM.

Далее создаем файл доверенных узлов /etc/opendkim/TrustedHostsи делаем в нем запись следующего вида:

localhost#имя необходимого домена*.example.com

В файле /etc/opendkim/signingtable, который будет содержать список подписей, применяемых к сообщениям согласно адресу, указанному в поле заголовка From, создаем запись следующего вида:

*@example.com  mail._domainkey.example.com

Файл /etc/opendkim/keytable, который будет содержать таблицу ключей, приводим к следующему виду:

mail._domainkey.example.com example.com:mail:/etc/opendkim/example.com/dkimprivate.key

Далее открываем конфигурационный файл/etc/opendkim.conf и приводим его к следующему виду:

UMask                   002Domain                  example.comKeyFile                 /etc/opendkim/example.com/dkimprivate.keySelector                mailUserID                  opendkim:opendkimSyslogSuccess         YesLogWhy                  YesBackground              YesCanonicalization        relaxed/relaxedExternalIgnoreList      refile:/etc/opendkim/TrustedHostsInternalHosts           refile:/etc/opendkim/TrustedHostsKeyTable                refile:/etc/opendkim/keys/keytableSigningTable            refile:/etc/opendkim/keys/signingtableMode                    svPidFile                 /var/run/opendkim/opendkim.pidSignatureAlgorithm      rsa-sha256Socket                  inet:8891@localhost

Немного поподробнее про поля, которые были прописаны в файле выше:

• Domain: параметр, определяющий имя используемого домена

• KeyFile: параметр, описывающий путь до приватного ключа RSA, полученного с помощью openssl

• UserID: параметр, который определяет под каким пользователем должен работать процесс OpenDKIM

• ExternalIgnoreList: параметр, определяющий внешние хосты, которые могут отправлять почту через сервер в качестве одного из доменов подписания без полномочий.

• InternalHosts: параметр, который определяет перечень внутренних хостов, чьи письма не должны быть проверены, но должны быть подписаны

• KeyTable: таблица с параметрами подписи

• SigningTable: список подписей, чтобы применить к сообщению на основе адреса, указанному в поле "От:" заголовка

• PidFile: путь к PID файлу, который содержит идентификационный номер процесса

• SignatureAlgorithm: алгоритм создания подписи

• Socket: определяет параметры сервера OpenDKIM. Postfix будет отправлять сообщения на проверки и подпись через указанный в этом параметре сокет

Для взаимодействия Postfix и OpenDKIM в терминале прописываем следующие команды:

echo 'SOCKET="inet:8891@localhost"' >> /etc/default/opendkimpostconf -e milter_default_action=acceptpostconf -e milter_protocol=2postconf -e smtpd_milters = inet:localhost:8891postconf -e non_smtpd_milters = $smtpd_milters

После настройки Postfix и OpenDKIM проверяем отсутствие ошибок в конфигурационных файлах. Делаем это с помощью команд:

postfix check opendkim -n

Если в ходе проверок не было обнаружено ошибок, то перезапускаем сервисы Postfix и OpenDKIM и проверяем их статусы:

systemctl restart postfix systemctl restart opendkimsystemctl status postfix systemctl status opendkim

*Примечание

Если в ходе проверки статуса OpenDKIM возникает ошибка, связанная с отсутствием pid-файлаopendkim.pid, то переходим в/lib/systemd/system/opendkim.serviceи комментируем следующую строку:

#PIDFile=/var/run/opendkim/opendkim.pid

После чего еще раз перезапускаем OpenDKIM.

Настройка DNS-записей

После настройки OpenDKIM и создания приватных и публичных ключей переходим к настройке DNS-записей. Подробнее про них можно прочитать на данном ресурсе.

Для SPF создаем DNS-запись следующего вида:

В приведенной записи:

• v - версия, всегда устанавливается как SPF1

• ip4 - добавляет IP-адрес сервера, имеющего разрешение отправлять письма

• a - позволяет отправлять письма с адреса, который указан в записи А на домене

• mx - позволяет отправлять письма с адреса, который указан в записи MX на домене

• ~all - определяет, что всем остальным ip-адресам присвоить режим мягкого возврата (попадание в папку спам).

Для DKIM создаем следующую DNS-запись:

В приведенной записи:

• v - версия, всегда устанавливается как DKIM1

• k тип ключа, всегда указывается как RSA

• p - сам открытый ключ

Примечание: процесс создания открытого ключа RSA был описан в предыдущем разделе. Ключ находится/etc/opendkim/<имя используемого домена>/dkimpublic.key

Далее для DMARC подписи создаем следующую DNS-запись:

В приведенной записи:

• v - версия, всегда устанавливается как DMARC1

• p - правило для домена, none - означает "не делает ничего, кроме подготовки отчетов"

• aspf - проверка соответствия записей, r - означает, что проверка осуществляется в мягком режиме

• sp - правило для субдомена, none - означает "не делает ничего, кроме подготовки отчетов"

После добавления всех описанных записей можно сделать проверку, что они действительны. Сделать это можно на известном сервисеMxtoolbox.

Установка и настройка Dovecot и Certbot

Заключительной настройкой на подготовительной этапе будет конфигурирование Dovecot и Certbot. Dovecot в нашем случаи необходим, чтобы настроить авторизацию на smtp-сервере. Certbot же позволит управлять SSL-сертификатами от Let's Encrypt. Для установки Dovecot и Certbot используем следующую команду:

apt-get install dovecot-imapd dovecot-pop3d certbot

Для создания сертификатов Let's Encrypt прописываем в терминале следующую команду:

certbot certonly --standalone -d example.com

После завершения процесса сертификаты будут храниться в/etc/letsencrypt/live/examle.com

Далее производим дополнительную настройку Postfix. Для этого в терминале прописываем следующие команды:

postconf -e smtpd_tls_cert_file = /etc/letsencrypt/live/example.com/fullchain.pempostconf -e smtpd_tls_key_file = /etc/letsencrypt/live/example.com/privkey.pempostconf -e smtp_tls_security_level = maypostconf -e smtpd_tls_security_level = maypostconf -e smtp_tls_note_starttls_offer = yespostconf -e smtpd_tls_loglevel = 1postconf -e smtpd_tls_received_header = yespostconf -e smtpd_use_tls=yespostconf -e smtpd_sasl_type = dovecotpostconf -e smtpd_sasl_path = private/authpostconf -e smtpd_sasl_local_domain = example.compostconf -e smtpd_sasl_security_options = noanonymouspostconf -e broken_sasl_auth_clients = yespostconf -e smtpd_sasl_auth_enable = yespostconf -e smtpd_recipient_restrictions = permit_sasl_authenticated, permit_mynetworks, reject_unauth_destination

Следует немного прояснить, что обозначают некоторые параметры в приведенных выше командах:

• smtpd_tls_cert_file - параметр, отвечающий за местонахождение сертификата сервера

• smtpd_tls_key_file - параметр, отвечающий за местонахождение закрытого ключа сервера

• smtp_sasl_auth_enable - параметр, который отвечает за включение поддержки sasl для проверки подлинности почтовых серверов

• smtpd_sasl_path - параметр, который определяет путь до плагина аутентификации по механизму SASL

• smtp_sasl_security_options - параметр безопасности, запрещающий механизмы, которые выполняют анонимную проверку подлинности. noplaintext - обозначает не использовать механизмы, которые передают незашифрованное имя пользователя и пароль

• smtp_sasl_type - тип плагина sasl, используемый для проверки подлинности

• smtpd_recipient_restrictions - параметр, отвечающий за список ограничений

Подробно с каждым параметром также можно ознакомиться в документации Postfix.

Также можно создать список виртуальных имен. Для этого прописываем следующие строки вконфигурационном файле /etc/postfix/main.cf:

virtualaliasdomains = $mydomainvirtualaliasmaps = hash:/etc/postfix/virtual

Далее открываем файл/etc/postfix/virtualи приводим его к следующему виду:

admin@example.com rootinfo@example.com root

Также в/etc/postfix/master.cfраскомментируем данные строки:

-o smtpdtlswrappermode=yes-o smtpdsaslauthenable=yes-o smtpdmilters=inet:localhost:8891

Переходим к настройке Dovecot. Открываем файл/etc/dovecot/conf.d/10-auth.confи прописываем следующие строки:

disableplaintextauth = yesauthmechanisms = plain login

Далее открываем файл/etc/dovecot/conf.d/10-mail.confи приводим его к следующему виду:

maillocation = maildir: ~ / Maildir

В файле/etc/dovecot/conf.d/10-master.conf находим селекторservice authи прописываем следующие строки:

service auth {   # Postfix smtp-auth  unixlistener / var / spool / postfix / private / auth {       mode = 0660       user = postfix       group = postfix }

Файл/etc/dovecot/conf.d/10-ssl.confприводим к следующему виду:

ssl = requiredsslcert = </etc/letsencrypt/live/example.com/fullchain.pemsslkey = </etc/letsencrypt/live/example.com/privkey.pemsslprotocols = !SSLv3 !TLSv1.1 TLSv1.2sslcipherlist = ALL:!LOW:!SSLv2:!EXP:!aNULL

Проверяем правильность конфигураций Postfix и Dovecot, после чего перезапускаем данные сервисы и проверяем их статусы:

postfix check dovecot -nsystemctl restart postfix systemctl restart dovecotsystemctl status postfix systemctl status dovecot

*Примечание: пути до ключей указываем те, что создались в процессе генерацию сертификатов с помощью Certbot выше.

Для проверки корректной настройки Postfix, Opendkim, Dovecot можно использовать сервис Mail-Tester, который позволит протестировать, попадают ли в дальнейшем письма, отправляемые с нашего почтового сервера, в спам.

echo "Test mail" | mail test-c69hzynjz@srv1.mail-tester.com -s "Hello" -a "MIME-Version: 1.0" -a "Content-Type: text/plain"

На этом подготовительный этап закончен. В следующей части цикла исследуем процесс разработки тематик фишинговых писем для более эффективных результатов, процесс формирования целевых групп, а также рассмотрим, какие средства лучше всего подойдут для создания фишинговых веб-ресурсов и разных типов писем.

Последнее время кажется, что мошенники стали звонить даже чаще, чем друзья и знакомые. К якобы службе безопасности якобы Сбербанка, которая интересуется, делал ли я перевод Ивану И. из Новосибирска, я как-то даже привык. Но тут позвонили с новым для меня заходом: на этот раз про кредит. Возможно, кто-то из вас даже сталкивался с подобной схемой, но я лично первый раз.

Итак, в самый разгар рабочего дня раздался звонок. На том конце была девушка, которая представилась младшим специалистом Сбербанка (а где же служба безопасности?!). Она сообщила, что вчера я подал заявку на потребительский кредит.

Естественно, никакой реальной заявки от меня не было, и к чему ведет этот разговор стало очевидно сразу. Но я решил все-таки пообщаться с ней подольше: хотелось услышать, как именно меня попытаются обмануть. К тому же мелочь, а приятно пока я разговариваю с мошенницей, она не сможет позвонить кому-то еще.

Вошел в образ и беспокойно ответил, что никаких кредитов не оформлял и что нужно как-то отменить заявку. Мой ответ явно попал в скрипт операторов-разводил, и девушка начала зачитывать вопросы из списка, дабы заполучить мои персональные данные.

О чем со мной говорили мошенники

Настроение было хорошее, поэтому я решил исправно отвечать на вопросы мошенников и дать им возможность зацепиться хоть за что-нибудь:

Сколько у вас карт в нашем банке? Какой на них остаток? Какая была последняя операция?

Эмм карта одна, пользуюсь периодически, но, к сожалению, сумму не помню.

Есть ли у кого-то еще доступ к картам и счету?

Данные есть еще у жены и у мамы.

Есть ли накопительный счет или депозит?

Здесь решил дать волю фантазии и сказал, что на депозите у меня 3 млн руб. Ну, а почему бы и нет?

На том конце послышалась суетапосле чего девушка продолжила:

Есть ли счета в других банках?

Ответил, что есть счет во Внешэкономбанке. Название одной из крупнейших госкорпораций (ВЭБ) ее явно не смутило, и она зафиксировала эконом-банк.

Потом у меня уточнили год рождения. И, хотя девушка лет на 10 ошиблась, я подтвердил озвученный ей возраст.

Слово за слово, и мы разобрались, что мои персональные данные были скомпрометированы. Правда, как именно это произошло, девушка так и не уточнила: отдал карту жене и украли у нее, зашел на фишинговый сайт и вбил данные самДа какая разница.

Мне пообещали помочь и переключили на старшего специалиста.

Примерно через 10 секунд ожидания (вот бы в службе поддержки реального банка отвечали так же быстро!) мне ответил уже другой женский голос. В ее версии моя лжезаявка была оформлена не вчера, а сегодня. Но на такие мелочи никто внимания не обращает. Ну и я не обратил.

Мы продолжили разговор уже более предметный. Меня спросили адрес отделения, в котором обычно обсуживаюсь, и предложили пройти процедуру идентификации как клиента Себранка по номеру карты или договора.

Тут я, конечно, немного напрягся, так как эти цифры называть совсем не хотелось. Сказал, что номер договора не помню, а карту быстро не найду.

Заканчивать разговор на такой ноте не хотелось и я сказал, что должен позвонить своему менеджеру в банке, чтобы уточнить номер договора. Мою собеседницу это не смутило и она сообщила, что зафиксировала все данные, и дальше со мной должны связаться сотрудники правоохранительных органов для разрешения ситуации.

Что должно было быть дальше

В этот момент все встало на свои места об этой схеме я уже слышал. Ее особенность в том, что вы отдаете деньги мошенникам прямо в руки.

По планам злоумышленников, я должен был пойти в то самое ближайшее отделение банка и получить кредит. Сумму мне назвать так и не успели видимо, ее должны были рассчитать из 3 млн руб., которые лежат (на самом деле нет) у меня на счете.

Дальше самое интересное: со мной должны были связаться лжепредставители правоохранительных органов. Для обнуления кредитной заявки мне требовалось передать им деньги, чтобы они... вернули их обратно в банк! Не знаю, как я должен был передать деньги: перевести на карту, счет или передать в пакете под покровом ночи на детской площадке. Последнее, говорят, тоже бывает.

Эксперимент я решил закончить словами: Могу ли я вызвать полицию для того, чтобы они поговорили с вашими правоохранителями?. Женщине данный вопрос не понравился, но она сдержалась и сказала, что, конечно, могу. После чего я ей предложил найти хорошую работу, где не нужно было бы обманывать людей. Ожидаемо, она повесила трубку.

Кстати, звонок был с номера +7-499-009-10-76.

Что я сделал после

Чтобы сразу понимать, кто звонит, я пользуюсь приложениями-определителями номера. Например, от Касперского или Яндекса. Они показывают не просто номер, а легенду абонента. Номера моих мошенников у них в базе не было, и я добавил его с хэштегом мошенничество.

Кажется, что этот развод очевиден и вы-то точно на него не попадетесь. Но некоторые схемы бывают весьма продуманными и хитрыми (ранее я уже рассказывал, как меня пытались кинуть продавцы на сервисах Avito и Юла).

Словом, не теряйте бдительность и будьте на чеку.

Почти каждый из нас слышал это страшное слово, но далеко не каждый понимает, что же это такое

Поводом к началу этого исследования послужил наш, можно так сказать, энтомологический интерес к активности мошенников, работающих по популярной схеме с фейковой курьерской доставкой товаров, заказанных через интернет. Евгений Иванов, руководитель группы по выявлению и реагированию на киберинциденты CERT-GIB, и Яков Кравцов, зам. руководителя отдела спецпроектов Департамента защиты от цифровых рисков Group-IB, рассказывают, как разоблачали схему Мамонт и как с ней бороться.

Первое массовое использование в России схемы Курьер, или Мамонт (мамонтом на сленге мошенников называют жертву), специалисты CERT-GIB и Group-IB Digital Risk Protection зафиксировали еще летом 2019 года после обращений обманутых пользователей. Однако пик мошеннической активности пришелся на 2020 год в связи с пандемией, переходом на удаленку и увеличением спроса на 30%-40% на онлайн-покупки и, соответственно, услуги курьерской доставки. Если летом прошлого года CERT-GIB заблокировал 280 фишинговых ресурсов, эксплуатирующих тему курьерской доставки товаров, то к декабрю их количество выросло в 10 раз до 3 000 сайтов.

В итоге расследование, длившееся несколько месяцев, вылилось в два отчета:первый с подробным описанием новой схемы, иерархией и теневой бухгалтерией участников преступных групп, ивторой о миграции скамеров в СНГ, Европу и США.

Сейчас против пользователей и брендов из Румынии, Болгарии, Франции, Польши, Чехии, США, Украины, Узбекистана, Киргизии и Казахстана работают не менее 20 крупных группировок, всего же их около 40. Ежегодный заработок всех преступных групп, использующих данную схему мошенничества, оценивается более чем $6,2 млн. и ущерб от курьерской схемы может только расти.

Начиналась же эта история апрельским вечером 2020 года, когда Евгений Иванов дежурил в CERT-GIB Центре реагирования на инциденты информационной безопасности Group-IB и разбирал заявки: жалобы пользователей на популярный курьерский сервис.

"Здравствуйте!

Вчера я стал жертвой мошенников. Якобы от имени курьерского сервиса мне пришло письмо на почту с подтверждением и оплатой доставки товара. Я перешёл на этот сайт, он был точь-в-точь как сайт сервиса, далее ввёл данные карты и даже не вводил смс-подтверждение, а деньги всё равно автоматически как-то списались".

А вот и еще одна жалоба, сестра-близнец первой:

"Хотел купить б/у экшн камеруопределённой марки. На популярной доске объявлений цены плюс минус одинаковые с небольшим разбегом. Однако, увидел предложение, которое в два раза ниже. Слишком уж подозрительно, но все же решил попробовать. Телефон недоступен, написал в техподдержку. Стандартные вопросы. После, продавец предлагает продолжить общение в ватсап. Вот тут и начинается веселье.Я предложил воспользоваться услугой доставки от самого сервиса. Продавец же предложил через другой популярный курьерский сервис. Типа услуга безопасной сделки. Через какое то время скидывает фото накладной с печатью похожей точь в точь как настоящая и ссылку на оплату. Вроде как товар в отделении и ждет оплаты для отправки. Почти повелся и чуть не оплатил. Однако, мне это показалось странным. Ведь у официального сервиса оплата при получении, а тут предлагает оплатить сразу. Решил внимательно посмотреть на сайт, что он скинул. Сайт копия официального сервиса, но ссылка отличается. Понял, что развод. К тому же, на сайте есть окно чата с оператором и на вопрос есть ли такая то накладная ответит, что есть и ждет оплаты. На настоящем сайте НЕТ ОКНА ЧАТА с оператором. А параллельно продавец не унимался и требовал оплаты и что он со мной теряет время. В итоге. После очередного требования оплатить иначе посылка не уйдет я ему сказал, что развод не удался.Заранее благодарю!"

Свалилась и третья жалоба. Получалось целое мошенническое семейство!

"Вчера я переписывался с продавцом по поводу объявления о продаже фотоаппарата. Мошенник предложил перейти для дальнейшего общения в Вотсап по номеру +7 903 ххх-хх-хх. Меня устроил фотоаппарат и я решил его приобрести. Мошенник предложил отправить товар доставкой через курьерский сервис, после чего мне пришло письмо на эл.почту от якобы компании с уведомлением о поступлении посылки на моё имя и предложением оплатить товар и доставку. Я перешёл на этот поддельный сайт с поддельной формой оплаты и произвёл оплату, не заподозрив подвоха. Только потом я понял, что сайт поддельный. Я имел неосторожность произвести 2 оплаты. Сначала с одной карты, затем с другой. Через несколько минут мне написал мошенник в Вотсап, что деньги получены в двойном размере, и стал писать чушь про то, что его задержали в отделении, и что камеру забрали и т.п., всю переписку прикладываю".

У всех этих фейковых ресурсов были схожие признаки:

• Они являлись копией официальных страниц ( именно копии на уровне кода, со всеми динамическими элементами).

• Страницы оплаты у разных фейковых сервисов были идентичными, за исключением логотипов.

• Мы нашли примеры ресурсов, на поддоменах которых располагались сразу несколько фишинговых страниц.

Мы решили копнуть глубже и наткнулись на одно из объявлений о наборе в скам-проект. Начав подробнее изучать этот конкретный тред на форуме, мы только и успевали занавеской пот утирать, настолько мы были удивлены масштабом новой схемы, наглостью и безнаказанностью скамеров этого теневого форума.

Однажды нам на круглосуточную линию CERT-GIB позвонила женщина, у которой вот такие же гады увели последние деньги.Что такое потерять 25 000- 50 000 руб. для обычного человека? Встречался ущерб и покрупнее - под 100 000 рублей.

В первой части нашего исследования мы подробно собирали и документировали всю информацию о схемах и ее участниках: треды, комментарии на форумах, скриншоты выплат и отзывы и открытые каналы в Telegram. Изучали на форумах профили "админов", "воркеров", выстраивали связи с помощью сетевого графа Group-IB. Кроме того, нам сильно помогли жалобы пользователей, которые предоставляли материалы переписок с мошенниками.

Итак, перейдем к тому, что удалось выяснить.

Часть 1. Этапы и описание мошенническои схемы Курьер" ("Мамонт")

Еще на заре скама интернет-мошенники действовали довольно топорно: создавали фейковое объявление на досках объявлений и методами социальной инженерии принуждали пользователя к покупке переводу денег на карту. Приемы использовались стандартные: низкая цена товара, скидки или подарки, ограничение времени на покупку, разговоры про очередь из желающих купить и так далее. Группы создавались и умирали, но неизменным оставалось одно: скамеры получали деньги, а пользователи не получали свои товары.

Владельцы площадок ответили на это созданием на сайтах "гарантов" электронной системы безопасности онлайн-покупок, когда площадка "морозила" перевод до получения покупателем товара, и только после отсутствия претензий, деньги переводились продавцу. Кроме того, системы защиты самих площадок блокировали ссылки на фишинговые сайты, которые присылали скамеры.

В конце-концов мошенники нашли способ, как обойти защиту, использовать автоматизированные инструменты для генерации фишинга и довести практически до совершенства сам механизм обмана. Давайте рассмотрим подробно, как работает схема.

Создание "лота-приманки"

Злоумышленники, регистрируя новые или используя взломанные аккаунты на интернет-сервисах бесплатных объявлении, размещают лоты-приманки объявления о продаже по заниженным ценам товаров, рассчитанных на разные целевые аудитории: фотоаппараты, игровые приставки, ноутбуки, смартфоны, бензопилы, звуковые системы для авто, швейные машинки, коллекционные вещи, товары для рыбалки, спортпит и др.

Контакт с жертвой

После того, как пользователи сервисов выходят на контакт со злоумышленниками с помощью внутреннего чата на самои интернет-платформе, им предлагается уйти в мессенджеры Whatsapp или Viber для дальнеишего обсуждения вопроса покупки и доставки.

Подготовка к сделке

Уже в чатах мессенджеров злоумышленники запрашивают у жертвы ФИО, адрес и номер телефона якобы для заполнения формы доставки на ресурсах курьерскои службы.

Оплата на фишинговом ресурсе

Далее пользователям предоставляют ссылки на фишинговые ресурсы, которые полностью копируют официальные страницы популярных курьерских служб. По ссылке будут представлены указанные ранее данные жертвы, которые она якобы должна сверить и после этого там же оплатить.

Возврат, которого нет

Часть жертв обманывают повторно разводят на возврат. Через некоторое время после оплаты товара покупателю сообщают, что на почте произошло ЧП. Легенда может быть любой, например, сотрудник почты якобы пойман на краже, а заказанный товар конфисковала полиция, поэтому для компенсации перечисленной суммы необходимо оформить возврат средств. Понятно, что на деле, если с карты происходит повторное списание той же суммы.

Реверс-схема

Позже появился обновленный вариант мошеннической схемы, в котором мошенники выступают в роли покупателей, а не продавцов.

"Воркером" производится поиск объявлений о продаже каких-либо товаров на всё тех же досках бесплатных объявлений. Обязательное условие для объявления - продавец разрешил с собой связываться по мобильному телефону, выбрав опцию показывать свой номер телефона всем желающим, и товар доступен для покупки с доставкой.

Мошенник выходит на контакт с продавцом сразу через чаты сторонних популярных мессенджеров, минуя тем самым безопасные чаты интернет-площадок бесплатных объявлений, и проявляет желание приобрести выставленный товар, уточняет актуальность предложения продавца.

Далее мошенник утверждает, что сейчас же оформит "покупку с доставкой", тем временем генерируя с помощью автоматизированного телеграм-бота новую фишинговую страницу, используя реальное название, фото и цену лота.

Через минуту фишинговая страница готова и её можно пересылать жертве-продавцу в чат мессенджера, объясняя, что уже всё оплатил, и предлагая проверить, получить денежные средства. Для получения средств, понятное дело, необходимо будет вводить данные своей банковской карты.

Разнообразие скама: аренда недвижимости и поиск попутчиков

На сегодняшний день существует обширный выбор брендов курьерских сервисов, под которые мошенники создают фишинговые страницы. Однако, в последнее время их интересуют и сайты с объявлениями по продаже автомобилей и автозапчастей, магазины электроники, ресурсы аренды недвижимости и сервисы по перевозке пассажиров.

Мошеннику безразлично, чем занимается площадка арендой недвижимости или продажей велосипедов, для него важно, чтобы на ресурсе сервиса была возможность внутренней коммуникации среди пользователей и безопасные сделки внутри самого сайта, что позволяет подменить конечную ссылку на созвучном домене для перевода средств.

Только в ноябре 2020 годапоявилосьоколо десяти фейковых сайтов, мимикрирущих под популярную базу недвижимости. Злоумышленники использовали стандартные схемы обмана пользователей онлайн-досок объявлений, предлагая внести предоплату, которая в случае аренды жилья может быть достаточно высокой. Количество мошеннических доменов, содержащих названия известных сервисов в разных потребительских сегментах, во втором полугодии выросло больше чем вдвое.

В атаках на сервисы аренды квартир вовлечены те же группировки, которые создавали фейковые сайты популярных курьерских служб. Летом наблюдался рост атак на сайты бронирования отелей, когда в сезон отпусков люди имели возможность путешествовать только в пределах России, потом мошенники переключились на сервисы аренды квартир. Не стоит исключать внутреннюю конкуренцию у преступных групп, которая мотивирует их искать возможность заработать в новых сферах.

Часть 2. Преступные группы

Командои Group-IB были обнаружены многочисленные разрозненные группировки, специализирующиеся на этом виде мошенничества. Несколько фактов:

• 28 августа 2019 года опубликован первый пост о наборе на хакерских форумах.

• 95 тем, посвященных данному виду мошенничества, было обнаружено на форумах и в телеграм-каналах к концу 2020 года.

• 200 000 рублей достигает ежегодный оборот одной мошеннической группы.

Состав типичной преступной группы:

• ТС (Topic Starter) организатор группы, "админ". Отвечает за софт и работоспособность платежной системы, поддержку пользователеи и распределение денежных средств;

• Наемные работники ("воркеры", "спаммеры"), в задачи которых входит регистрация на сервисах бесплатных объявлении аккаунтов-однодневок, создание объявлении-приманок по заготовленным шаблонам, коммуникация с жертвами посредством чатов на площадках объявлении и/или в мессенджерах, доставка фишинговых ссылок до жертв;

• Так называемые "прозвонщики" или "возвратчики", выступающие в роли операторов службы поддержки курьерских сервисов. Входя в доверие граждан, предлагают жертвам оформить возврат, нередко предоставляя по сути тот же ресурс. При этом происходит повторное списание средств с карты потерпевших.

В ходе изучения форумов мы пришли к выводу, что количество подобных группировок исчисляется десятками. Абсолютно все преступные группы заинтересованы в масштабировании своего бизнеса и привлечении свежих сил.

Например, одна из крупных преступных групп, называющая себяDreamer Money Gang (DMG), нанимает воркеров через телеграм-бот и обещает обучение, лучшие домены на рынке и быстрые выплаты без скрытых процентов. Ежедневный оборот DMG превышает 200 000 рублей.

Выручка другой преступной группы стремительно росла в начале 2020 года: 784.600 рублей (январь), 3.5 млн руб (февраль), 6.2 млн рублей (март), 8.9 млн руб (апрель).

А вот как устроена мошенническая бухгалтерия.

Все сделки и транзакции воркеров отображаются в телеграм-боте: сумма, номер платежа и ник-нейм воркера.

В одном из чат-ботов фигурируют многочисленные переводы на суммы от 7 300 до 63 900 рублей сначала деньги падают на счета админа, затем он распределяет доходы на остальных участников группы.

Как правило, воркеры получают 70-80% от суммы транзакции в криптовалюте админы оперативно переводят деньги им на криптокошельки. Админы оставляют себе 20-30% от выручки.

Схему с возвратом отрабатывают так называемые прозвонщики или возвратчики, выступающие в роли операторов службы поддержки курьерских сервисов. Связавшись с жертвой по телефону или в мессенджерах, они предлагают оформить возврат, при этом происходит повторное списание средств с карты потерпевших.

Прозвонщик может получать как фиксированную сумму, так и процент от украденных денег от 5% до 20%. Крайне редко в роли прозвонщика выступают сами воркеры, поскольку прозвонщики узкопрофильные специалисты, обладающие хорошо прокаченным навыком социальной инженерии, четким поставленным голосом и готовностью с ходу ответить на самые неожиданные вопросы сомневающихся покупателей.

Проанализировав сообщения о выплатах в чат-ботах, аналитики Group-IB выяснили, что 20 из 40 активных групп, ориентированы на зарубежные страны. В среднем они зарабатывают $ 60 752 в месяц, но доходы разных групп неоднородны. В целом, общий ежемесячный заработок 40 самых активных действующих преступных групп оценивается как минимум в $ 522 731 в месяц.

Часть 3. Автоматизация и масштабирование бизнеса

Кроме обмана с использованием техник социальной инженерии, мошенникам необходимо решать еще технические вопросы, например, регистрировать созвучные компаниям по доставке доменные имена и создавать фишинговые страницы, поддерживать сервисы оплаты от так называемой "ошибки 900", когда банк блокирует операцию или карту на которую пытаются перевести средства, регистрировать новые аккаунты и покупать новые телефонные номера. Плюс к этому надо решать вопросы с набором новых воркеров, созданием новых фишинг-ресурсов, техподдержкой и так далее.

Большую часть этих проблем решили боты в Telegram.С их появлением мошеннику уже не нужно создавать страницы для генерации фишинг-страниц, так называемые "админки". Теперь воркеру достаточно сбросить в чат-бот ссылку на нужный товар-приманку, после чего бот сам генерирует ему полный фишинг-комплект: ссылки на странички курьерских сервисов, оплату и возврат.

Кроме того, в Telegram присутствует своя полноценная служба поддержки 24/7, работают магазины по продаже всего необходимого для мошенничества: аккаунты на нужной доске объявлений, телефоны, электронные кошельки, таргетированные e-mail рассылки, продажа других скам-проектов и так далее, вплоть до предложения услуг адвокатов, которые в случае чего будут защищать мошенника в суде.

Сейчас в 40 самых активных чатах зарегистрированы более 5 000 уникальных пользователей-скамеров.

Существует более 10 разновидностей телеграм-ботов, создающих страницы под зарубежные бренды во Франции, Болгарии, Румынии, Польше и Чехии. Под каждый бренд и страну мошенники пишут инструкции-скрипты, помогающие новичкам-воркерам авторизоваться на зарубежных площадках и вести диалог с жертвой на местном языке.

В итоге качество и удобство создания фишинговых страниц, а также сервис поддержки скамеров довольно сильно выросли. Все это вызвало небывалый рост мошенничества на досках объявлений и огромное число желающих заниматься столь прибыльным и простым делом.

Перед вами примеры чат-ботов в Telegram:

Регистрация новичка-воркера осуществляется через Телеграм-бота, через подпольные форумы или напрямую через Админа (ТС). Бывают открытые и закрытые чаты группировок.

Рассмотрим закрытые. Чтобы попасть в мошеннический проект, необходимо пройти процедуру "найма" через телеграм-бота, где кандидату задают вопросы, связанные с опытом мошеннической деятельности в других проектах, откуда узнал про проект, есть ли профили на подпольных форумах. Просмотр профилей на форумах скорее всего связан с проверкой кандидата и его репутации, не был ли он замечен в "арбитраже" - процедура, в которой мошенники разбираются друг с другом в щекотливых ситуациях, например, Админ(ТС) не выплатил воркеру положенную сумму за обман "мамонта".

После того, как уже воркер прошёл процедуру регистрации, он получает доступ к трём чатам: информационный чат (справка о проекте, планах и мануалы), чат воркеров (мошенники общаются между собой, делятся опытом, обсуждают проекты) и финансовый чат (отчет о выплатах). Примечательно, что чаты с выплатами общедоступные, не исключено, что они используются в рекламных целях для привлечения новых кандидатов.

По выплатам воркеров ведется статистика, лучшие добавляются в общедоступный список топов по выплатам. Они получают доступ к вип-чату "топов", получают доступ к вип-скриптам, например, для работы в США или Европе, в то время как остальные мошенники доступа к этому чату не имеют.

Кроме того, существует отдельный чат прозвонщиков, в котором находятся мануалы по тому, как разговаривать с жертвами.

Часть 4. Миграция на запад

Активное противодействие мошенникам со стороны Group-IB, а также компаний, владеющих курьерскими сервисами и досками объявлений подстегнуло начавшуюся весной online-миграцию мошеннических групп из России в СНГ и страны Европы. Также злоумышленники принялись искать новые ниши, как, например, случилось с появлением фишинговых сайтов под популярные сайты аренды жилья и букмекерские конторы. Российская зона интернета в очередной раз стала тестовой площадкой, позволяя злоумышленникам масштабировать преступный бизнес на международную арену

До 2020 уже фиксировались атаки на зарубежные бренды программное обеспечение для генерации фишинговых страниц было доступно в закрытых сообществах для скамеров с опытом работы, но это были единичные случаи.

В середине февраля на форумах начинает появляться реклама телеграм-ботов со свободным доступом к использованию, где можно генерировать фишинговые формы под украинскую версию сайта бесплатных объявлений.

В апреле начали появляться предложения о новом виде скама под белорусский сайт бесплатных объявлений.

В мае 2020 года к скаму украинского сайта добавилась румынская версия площадки. Уже в начале августа в открытых телеграм-ботах появился скам болгарской и казахской версии.

Скамеры не остановились на отработке схемы в странах СНГ. Так в конце августа в популярных телеграм-ботах появился скам французского сайта бесплатных объявлений.

Следом в октябре появился скам польской версии сайта бесплатных объявлений.

Добавление западных брендов в телеграм-боты ведется очень активно. В конце ноября появились фишинговые формы для польской платформы электронной коммерции и чешского сайта бесплатных объявлений.

Стоит отметить, что скам европейских брендов более затруднительный, чем в СНГ. Мошенники сталкиваются с языковыми проблемами, трудностями при верификации аккаунтов на сайтах, что вынуждает покупать через форумы и сообщества краденые личные документы и телефонные номера. Для "админов" появляется проблема с привязкой валютных кредитных карт к телеграм-ботам. Решается это привлечением опытных дропов (подставных лиц для приема и вывода денег).

Под каждый бренд мошенниками-энтузиастами пишутся инструкции по скаму, помогающие новичкам авторизоваться на зарубежных площадках и вести диалог с жертвой.

Часть 5. Как бороться с "Мамонтом"?

Аналитики предупреждают, что отработанная в России схема быстро масштабируется на европейские и американские площадки, куда русскоязычные мошенники выходят с целью увеличения капитализации и снижения риска быть пойманными. Борьба со схемой требует дальнейшей консолидации усилий компаний, продвигающих услуги доставки товаров, бесплатных досок объявлений, и использования передовых технологий защиты цифровых рисков для оперативного детектирования и ликвидации преступных групп.

Рекомендации для брендов

В отличие от России, где курьерские сервисы, доски бесплатных объявлений и ресурсы по аренде недвижимости первыми приняли на себя удар Мамонта, подавляющее число пользователей и сотрудников служб безопасности международных компаний пока не готовы к противодействию этому типу мошенничества.

Для пресечения подобных продвинутых скам-схем классического мониторинга и блокировки уже недостаточно необходимо выявлять и блокировать инфраструктуру преступных групп, используя автоматизированную систему выявления и устранения цифровых рисков на основе искусственного интеллекта (подробноститут), база знаний которой регулярно подпитывается данными об инфраструктуре, тактике, инструментах и новых схемах мошенничества.

1. Использовать специализированные системы Digital Risk Protection, позволяющие проактивно выявлять появление поддельных доменов, мошеннической рекламы и фишинга.

2. Обеспечить непрерывный мониторинг андеграундных форумов на появление фактов, связанных с попытками использовать бренд в неправомерных целях.

3. Проводить анализ фишинговых атак, с целью атрибутировать преступную группу, раскрыть участников и привлечь к ответственности.

Если вы или ваша компания стали жертвой мошенников, незамедлительно обратитесь в полицию, сообщите об инциденте в техподдержку сервиса, предоставьте им переписку.Сообщить в CERT-GIB о мошенничестве можно по телефону круглосуточной линии +7 (495) 984-33-64 или на почтуresponse@cert-gib.com.

Рекомендации для пользователей

1. Доверяйте только официальным сайтам. Прежде чем ввести в какую-либо форму данные своей банковской карты изучите адрес сайта, загуглите его и проверьте, когда он был создан. Если сайту пара месяцев с большой долей вероятности он мошеннический.

2. Большие скидки на технику один из признаков того, что лот-приманка на сайтах бесплатных объявлений создан мошенниками. Будьте осторожны.

3. Пользуясь услугами сервисов по продаже новых и б/у товаров, не уходите в мессенджеры, ведите всю переписку только в чате сервиса.

4. Не заказывайте товар по предоплате - оплачивайте только тогда, когда получили товар и убедились в его исправности.

5. Прежде, чем ввести в какую-либо форму данные своей банковской карты изучите адрес сайта, загуглите его и проверьте, когда он был создан. Если сайту пара месяцев с большой долей вероятности он мошеннический. Доверяйте только официальным сайтам. Например, сайт cdek.ru, а остальные адреса (cdek.nu, cdek.in, cdek.at, cdek-box.ru, cdek-dostavka.info) прямо указывают на подделки.

Команда CERT-GIB (Центр мониторинга и реагирования на инциденты информационной безопасности Group-IB) проанализировала инструменты для создания фишинговых страниц, так называемые, фишинг-киты, и выяснила, что в 2020-м году с их помощью фишинговые сайты чаще всего создавались под различные онлайн-сервисы (онлайн-шоппинг, онлайн-кинотеатры и др.), электронную почту, а также под финансовые организации. Суммарно Group-IB обнаружила фишинг-киты, нацеленные свыше чем на 260 уникальных брендов в России и за рубежом.

Фишинг-кит это набор готовых инструментов для создания и запуска фишинговых веб-страниц, подделанных под сайт конкретной компании или нескольких сразу. Как правило, фишинг-киты продаются в даркнете, на специализированных форумах. С их помощью преступники, не обладающие глубокими навыками программирования, могут легко разворачивать инфраструктуру для масштабных фишинговых атак и быстро возобновлять ее работу в случае блокировки. Исследователям по кибербезопасности фишинг-киты интересны прежде всего тем, что анализ одного такого набора позволяет разобраться в механизме реализации фишинговой атаки и установить, куда отправляются похищенные данные. Помимо этого, исследование фишинг-китов зачастую помогает обнаружить цифровые следы, ведущие к разработчикам такого товара.

Как и в 2019 году, главной мишенью фишеров были онлайн-сервисы (30.7%): похищая учетные данные пользовательских аккаунтов, злоумышленники получали доступ к данным привязанных банковских карт. Привлекательность почтовых сервисов для атак в прошлом году снизилась, а доля фишинг-китов, нацеленных на них, сократилась до 22.8%. Тройку замыкают финансовые учреждения, на которые приходится немногим более 20%. В2020 году наиболее часто эксплуатируемыми вфишинговых наборах брендами были Microsoft, PayPal, Google и Yahoo.

Данные, которые пользователь вводит на фишинговым сайте, злоумышленник получает не сразу: сначала они записываются в локальный файл, после чего главной задачей становится извлечение похищенного. Чаще всего для пересылки таких данных используются почтовые адреса, зарегистрированные на бесплатных сервисах электронной почты. Они составляют 66% от общего числа адресов, найденных в фишинговых наборах. Наиболее распространены аккаунты на Gmail и Yandex.

Альтернативный путь

Эксперты Group-IB обнаружили, что украденные в результате фишинговых атак данные пользователей все чаще выгружаются не только с помощью электронной почты, но и таких легитимных сервисов, как Google-формы и мессенджер Telegram. Альтернативные способы доставки украденных с помощью фишинга данных позволяют злоумышленникам обеспечить их сохранность и оперативность использования. Telegram-боты также применяются киберпреступниками в готовых платформах для автоматизации фишинга, доступных в даркнете: в них на основе ботов реализована административная часть, с помощью которой контролируется весь процесс фишинговой атаки и ведется учет похищенных денег. Такие платформы распространяются по формату cybercrime-as-a-service, за счет чего растет количество атакующих группировок и масштаб преступного бизнеса.

Альтернативные пути получения украденных злоумышленниками данных можно разделить на локальные, когда они записываются в файл, расположенный на самом фишинговом ресурсе, и удаленные когда они отправляются на сторонний сервер. Для передачи украденных данных злоумышленники активно используют легитимные сервисы. Так, в прошлом году началось широкое применение в фишинговых наборах Google-форм, а также выгрузка украденных данных в специально созданные приватные Telegram-боты. Суммарно на альтернативные способы пока приходится порядка 6%, но вероятнее всего их доля будет расти, а основное увеличение придется на Telegram в силу простоты реализации схемы и анонимности мессенджера.

Функциональность фишинг-китов не ограничивается созданием страниц для похищения данных пользователей: некоторые из них могут подгружать вредоносные файлы на устройство жертвы. Иногда продавцы наборов для фишинга обманывают своих же покупателей, пытаясь заработать на них дважды. Помимо продажи созданного ими вредоносного инструмента, они могут заинтересоваться и похищенными с его помощью данными. Используя специальный скрипт, встроенный в тело фиш-кита, они направляют поток украденных пользовательских данных себе или получают скрытый доступ к хостингу своего покупателя.

Фишинг-киты изменили правила игры в этом сегменте борьбы с киберпреступлениями: раньше злоумышленники прекращали свои кампании после блокировки мошеннических ресурсов и быстро переключались на другие бренды, сегодня они автоматизируют атаку, моментально выводя новые фишинговые страницы на смену заблокированным, комментирует заместитель руководителя CERT-GIB Ярослав Каргалев. Автоматизация таких атак, в свою очередь, приводит к распространению более сложной социальной инженерии, которая начинает применяться в масштабных атаках, а не в точечных, как было ранее.

Рекомендации для бизнеса и пользователей

Бороться с продвинутыми фишинговыми схемами с помощью классического мониторинга и блокировки недостаточно, необходимо выявлять все элементы инфраструктуры атакующих, блокируя не отдельные фишинговые страницы, а сеть мошеннических ресурсов целиком. Система Group-IB Threat Intelligence & Attribution проводит анализ фишинговых атак и атрибутирует их до конкретной преступной группы, выявляя все созданные ей ресурсы. В системе Group-IB Threat Intelligence & Attribution аккумулирована обширная база фишинговых наборов, что позволяет компании бороться сфишингом, нацеленным наконкретный бренд. Данная база регулярно обогащается: как только система обнаруживает фишинговую страницу, соответствующий сервер сканируется наналичие фишинговых наборов, доступ к которым позволяет определить, были ли данные скомпрометированы и куда они передавались.

Рекомендации для бизнеса по борьбе с фишингом и фишинг-китами

• Для пресечения подобных продвинутых фишинговых схем классического мониторинга и блокировки уже недостаточно необходимо выявлять и блокировать инфраструктуру преступных групп, используя автоматизированную систему выявления и устранения цифровых рисков на основе искусственного интеллекта (подробности тут), база знаний которой регулярно подпитывается данными об инфраструктуре, тактике, инструментах и новых схемах мошенничества.

• Использовать специализированные системы, позволяющие проактивно выявлять появление поддельных доменов, мошеннической рекламы и фишинга.

• Обеспечить непрерывный мониторинг андеграундных форумов на появление фактов, связанных с попытками использовать бренд в неправомерных целях.

• Проводить анализ фишинговых атак, с целью атрибутировать преступную группу, раскрыть участников и привлечь к ответственности.

Рекомендации для пользователей по защите от фишинга

• Не переходите по ссылкам, присланным в подозрительных или непонятных сообщениях электронной почты, соцсетях и мессенджерах.

• Не загружайте вложенные файлы из сообщений, которых вы не ожидали.

• Внимательно проанализируйте адрес сайта (URL), на который вы были переадресованы. В большинстве случаев фишинга URL-адрес отличается от оригинального домена одним знаком (например, заканчивается на .com вместо .gov или wiIdberries.ru вместо wildberries.ru с заглавной i вместо l).

• Обновляйте браузер до последней версии.

• Проверьте домен на сайте tcinet.ru. Там можно узнать дату регистрации: как правило, мошеннические сайты живут несколько дней.

• Не совершайте онлайн-покупки по предоплате на непроверенных сайтах.

• Для покупок в интернете используйте отдельную банковскую карту.

Тайну переписки моего товарища нарушили, его пытались исключить из колледжа на основе содержания мессенджеров, которое передал ОПДН, его допрашивали в прокуратуре. И, возможно, ни одному ему правоохранители устраивали такой ад из-за глупой пакости (а на деле крутого социального эксперимента).

Чтобы разобраться подробнее, почему дело героя велось так странно и грубо, почему он, не смотря на искренние старания правоохранителей не получил и штрафа, спустя 2 года я вновь разобрала хронологию событий, взяла интервью в МВД, подняла результаты "эксперимента" и попыталась решить проблему "99% осведомлены, но все еще ведутся".

По теме есть видео на YouTube (предупреждаю - ужасное качество!):

ВНИМАНИЕ! Я не собираюсь оправдывать реальные преступления по статьям 272, 242.1 УК РФ, и да, в истории рассмотрена спорная тема, но прошу понимать проблески субъективности и оправдания обвиняемого как мнение такого же любознательного ребенка, как и герой истории, которому легко встать на его место. Если у вас есть дети, дочери, не рубите с плеча, лучше объясните родным базовые правила информационной безопасности и поведения в интернете, продемонстрируйте на практическом примере, как им могут навредить. Спасибо за понимание.

Предыстория

2019 год, январь. Все действующие лица - школьники и шаражники - глупые, несведущие, и в такой ситуации имеющие возможность рассчитывать только на себя.

Только начав изучать веб-разработку, я решаю модифицировать страницу авторизации ВК, организовать запись введенных данных в отдельный файл logs.txt (навык развить и над друзьями пошутить). Выложила на бесплатный хостинг 000webhost и принялась хвастать первым достижением.

У друга появилась идея распространить шутку уже на его круг общения. Он объединяется с главным героем и через двое суток мне скидывают Exel'ку, где указаны имена, телефоны, почты и пароли 53 человек... Всем было от 13 до 17 лет, велись 3 из 4.

Чем дальше, тем хуже (но уж извините, интереснее). Появляются файлы с фотографиями, которые девушки и юноши хранят в переписках со своими партнерами, лучшими друзьями, самими собой или ботами (да-да, и такое бывает), номера карт, адреса. Никаких сливов никто не делал, все по-стелсу.

Вскоре азарт прошел, главный герой соскучился и уже не боялся рисковать. Он совершает грубый поступок, из-за которого потеряет сон на ближайшие 3 месяца и больше никогда не возьмется писать хоть малость спорные вещи даже в личной переписке.

Он заходит на станицу несовершеннолетней знакомой и выставляет найденные там компрометирующие фотографии в нижнем белье в виде поста на ее странице.

Заявление. Первый допрос

Главному герою и его окружению поступают вопросы от друзей девушки. Удивительно, но молодой не пользуется возможностью пиара и отказывается от статуса "кул хацкера".

Спустя неделю эти же друзья сообщают ему о неком списке подозреваемых и заявлении.

Звонок из колледжа. Герой приходит с родителями, и вы не представляете! Ему ни слова не говорят о прошлом поступке. Но какая же была тема? Предложения сексуального характера в личных переписках с несовершеннолетними в ВК. Ректора заявляют, что им поступают сообщения из ОПДН, в которых просят разобраться с содержанием распечаток со сканами его личных сообщений.

В этот момент я берусь за голову и сношу фишинговый сайт, удаляю исходники, случайно сохраненные данные, аккаунт на хостинге (который был зареган на рабочую почту, ведь эксперимент не предполагал выхода за рамки).

По-хорошему это не должно было помочь, и один запрос выдал бы всю информацию, но на протяжении всего дела сайт никогда не упоминался, и вопросов о том, как парень мог достать логин и пароль жертвы ни на одном из допросов задан не был. Позже выяснилось, что девочка отказалась от исследования собственных мессенджеров (зато не была против вскрыть парочку чужих). Она вообще ничего подозрительного в ссылке не обнаружила, к тому же, взлом произошел через пару недель после перехода по ней. Можно сказать, мне повезло.

Профилактическая беседа в колледже не завершила день. Вторым проснулся участковый и попросил явиться утром следующего дня. Уже очевидно, что обсуждать будут реальное дело.

Заданные ему вопросы наводили на мысль, что полиции это не очень-то интересно, и что товарища не очень-то подозревают, к тому же подобной беседы дрожа ожидали до десятка школяров. "У нас такая ситуация. Ты это сделал? - Нет". Проверили локальный ip в смартфоне и отпустили.

Прошло с месяц. Начали идти слухи о том, что с виновного хотят взыскать моральную компенсацию в размере 2млн рублей. Весь март появлялись все новые подробности о бешенстве матери девушки и активном труде ее адвокатов. Это длилось так долго, что сравнив в голове репутационный ущерб и так спорной репутации девушки и возможные затраты на юристов, общественное мнение пришло к выводу, что ребята убедили бедных родителей в материальной выгоде ситуации и стоит идти до конца - окупитесь.

Психологическое давление вынудило товарища повторить фишинг. Через сообщения девушки он узнает полный список подозреваемых, о текущем этапе и настроении обвинения.

Через покупной аккаунт он пишет пострадавшей письмо на испанском, якобы от владельца форума, который в ответе за взлом и размещение фото, для достоверности персонаж даже просил небольшой выкуп за полное удаление из сети (хотя его там и так нигде не было). Это показалось гениальным ходом, обязанным сместить ракурс с локальных подозреваемых на интернет-заговор, но, очевидно, этого не произошло. Надеюсь, кто-то из следователей посмеялся.

Прессинг в прокуратуре

Конец апреля. Звонят лично парню (напомню, молодому только исполнилось 16) и просят явиться в прокуратуру. Стивен Кинг не страшнее определения этого заведения, когда ты в такой ситуации. "Терроризм, убийства, изнасилования" - да-да, туда его и направляйте.

К прокуратуре парня везет брат лучшего друга - прокурор. В машине он впервые рассказывает кому-то кроме осведомленных о сайте лиц хронологию событий. Тот советует в любом случае продолжать все отрицать.

Следователь, ведший допрос, повышал голос, давил и утверждал, что вина уже доказана и стоит сделать признание, иначе героя отправят в колонию, т.к. статьи серьезные. Непрерывно распространяя речь об ужасах малолетки, он просит разблокировать и отдать ему телефон. Поражаюсь глупости и непоколебимости героя - тот под столом удаляет Telegram, где обсуждал эмоции и подробности происходящего, и был уверен, что это его скомпрометирует.

Минут 10 следователь в полной тишине, с грозным лицом шарится в смартфоне. И... на этом все заканчивается. Да, его прервал коллега с заявлением о срочном выезде, и парня отпустили, будто отчаялись в попытках получить признание, а без него ничего не могут (оказалось, так и есть...).

Почему расследование затянулось и не привело к результату?

Очевидно, в расследовании дела героя все было наперекосяк. Возможно сложно и излишне сажать несовершеннолетнего парня, но взыскать моральную компенсацию, какой-никакой штраф они тоже не смогли (уж извините, не могу этому не радоваться из-за косвенного участия). Однако все равно подпортили ему материальное положение (колледж забрал скидку), сделали пометку в личном деле (спорно, имели ли вообще на это право), поспособствовали разрыву отношений с родителями.

Я отправила обращение в Управление МВД по г. Новороссийску с целью взять интервью, на котором бы спросила, как Должны расследоваться такие дела и сравнить официальный паттерн с произошедшим цирком.

Надежда была поговорить с хоть каким следователем, но оказалось, методы расследований правоохранители раскрывать не могут (благо, их можно найти и в сети). Зато на беседу вышла представительница пресс-службы МВД - приятная женщина, чем-то напоминающая Хакамаду.

Оказалось, "хакерский кружок" из оперативников в Краснодарском крае один, и находится он в Краснодаре. Все заявления на кражу аккаунтов, телефонных мошенников и тд., связанные с какими-либо технологиями, отправляются туда. На отдел ложится большая нагрузка, поэтому дела ранжируются по релевантности: сначала "кол-центры Сбера", и где-то в самом низу, наверняка, школьники, взломавшие подругу. Этим объясняется растянутость дела в истории - до него просто не дошли, а может, заранее не пытались.

Заметьте, те, кто работает с подозреваемыми и пострадавшей, вообще не имели полномочий и не рассматривали дело! Просто передавали куда-то в Краснодар. Поэтому чтобы раскрыть дело без них, им нужно было просто выбить признание - это объясняет прессинг и отсутствие последствий.

Раскрываемость компьютерного мошенничества, как сообщила пресс-служба, очень низкая, и такие мелкие дела попросту невыгодны, слишком большая морока. Лучше накрыть неофициальный Сберовский кол-центр и закрыть 50 дел разом (при 2002 случаях компьютерного мошенничества в Новороссийске за 2020 год).

Вывод: если вас взломали, вытянули из личных переписок закрытую информацию, адреса, номера кредитных карт и еще много чего нежелательного - скорее всего, преступника не накажут.

Почему все знают, но все еще попадаются?

Ага, ты тоже попался! Нет на этот вопрос ответа. У представительницы пресс-службы, озабоченной им, тоже.

Как только МВД не пытается повысить информационную и финансовую грамотность населения: публикуют схемы на региональных новостных ресурсах, вешают предостережения в учебных заведениях и на улицах, проигрывают аудио-заявления в торговых центрах и делаются смс рассылки. Т.е. все на фоне так или иначе получали указания, что на незнакомые ссылочки лучше не тыкать и по телефону служба безопасности банка никому кредитов закрывать не будет. Реально получали, в МВД постарались.

И все равно 3 из 4 подростков ввели логин и пароль, перейдя по косой ссылке! Герой истории провел качественный социальный эксперимент, которым доказал, что поколение интернета чудом еще им не съедено.

Если уточнить, жертвами являются люди от 18 до 90 лет (да-да, супер разброс) и причем на каждую возрастную треть приходится треть преступлений. Т.е. 20летние попадаются с такой же частотой, что и наши бабули, различие лишь в схемах вымогателей. Также рассказали, что это не какой-то определенный необразованный слой населения - одинаково часто страдают юристы, врачи, учителя. Случалось, что даже работники полиции и МВД, привыкшие к шаблонным схемам, не находят подозрительными новые.

По своему опыту могу сказать, что чем чаще видишь, как тебя пытаются развести, тем лучше выявляешь новые хитрости мошенников. К сожалению, не нашлось исследования, которое бы доказывало, что второй раз человек ведется реже, тем не менее это хоть какая зацепка. Взявшись за нее и за самую доступную мне на сегодняшний день аудиторию - старшие классы, на классных часах я рассказала эту историю и результаты ее расследования, а далее с помощью ВК бота проиграла пару популярных разводов с переходом по ссылке. Выглядело все как какая-то социальщина, но, может, в будущем эта работа послужит скелетом для чего-то нового и многоКПДшного.

YouTube, GitHub,Inst,Telegram

Пандемия COVID-19 перевела в онлайн миллионы людей. Необходимость уменьшить физический контакт привела к тому, что большая часть жизни перешла в интернет, увеличив зависимость человечества от онлайн-платформ. На росте доверия к интернет-платформам расцвели массовые мошеннические кампании. Одним из наиболее популярных инфоповодов для этих кампаний стали вакцины. Вэтом посте расскажем о вредоносных программах, спаме, фишинговых схемах и сайтах, связанных с вакцинами от COVID-19.

Спам-кампании

Мы зафиксировали спам-кампании, использующие тему вакцин от ковида, уже в первом квартале 2020 года, даже до начала всемирного локдауна. Первыми подсуетились операторы вредоносов Emotet, Fareit, Agent Tesla и Remcos.

Emotet

Спам-кампания по распространению этого вредоноса началась сразу после Нового года и была направлена против предприятий здравоохранения, обрабатывающей промышленности, банков и транспортной отрасли в США, Италии и Канаде. Для распространения трояна использовались более 80 различных вариантов вредоносных документов, вложенных в письма. Их имена содержали слово COVID как основной фактор для привлечения внимания:

• Daily COVID reporting.doc

• DAILY COVID-19 Information.doc

• NQ29526013I_COVID-19_SARS-CoV-2.doc

• GJ-5679 Medical report Covid-19.doc

Вот некоторые темы писем, которые получали потенциальные жертвы:

• COVID-19 Vaccine Survey;

• RE: RE: COVID-19 Vaccine Clinic with Walgreens To Do Now;

• Re: #TuOficinaSegura. Pfizer anuncia Vacuna contra el Covid . Novedades Oficinas YA! 10 de Noviembre de 2020.

Для проведения этой кампании использовались более ста серверов управления, расположенных в 33 странах. После того как эксперты по кибербезопасности провели операцию по перехвату управления этими серверами, кампания благополучно стихла.

Fareit

Этот вредонос крадёт личную информацию и учётные данные, сохранённые в браузерах, клиентах электронной почты и FTP. Для его распространения также была организована спам-кампания, в которой использовались темы, связанные с вакцинами от ковида:

• Corona-virus(COVID-19),Common vaccine;

• Corona-Virus Disease (COVID-19) Pandemic Vaccine Released;

• Latest vaccine release for Corona-virus(COVID-19).

Имена вложений к письмам также содержали упоминания вакцины от COVID:

• Corona-virus vaccine.arj

• COVID-19 VACCINE SAMPLES.arj

• COVID-19 Vaccine.arj

• vaccine release for Corona-virus(COVID-19)_pdf.rar

В качестве адресов отправителей злоумышленники использовали представителей ВОЗ и имена врачей. Больше всего от Fareit пострадали Германия, США, Италия, Китай, Испания и Израиль.

Остальные

Тему вакцин от коронавируса активно эксплуатировали и операторы других вредоносов, например, Lokibot, Agent Tesla, Formbook, Remcos, Nanocore.

В ноябре 2020 года операторы вымогателя Zebocry рассылали вредонос, выдавая себя за фармацевтическую компанию Sinopharm, которая производит вакцины COVID-19. Для распространения кода злоумышленники использовали файл виртуального жёсткого диска (VHD), содержащий два файла: PDF с презентацией Sinopharm и документ Microsoft Word с вредоносными макросами.

Фишинг

Дефицит вакцин в Европе и США привёл к тому, что люди, напуганные болезнью, стали искать способы быстрее получить спасительный укол. Спросом не замедлили воспользоваться мошенники. Одна из таких кампаний проводилась от имени Национальной службы здравоохранения Великобритании (NHS). Фишинговое письмо приглашало на вакцинацию и предлагало пользователю подтвердить согласие.

Независимо от того, нажал ли пользователь ссылку принять или отклонить приглашение, он попадал на целевую страницу с формой, в которую ему предлагалось ввести полное имя, дату рождения, адрес и номер мобильного телефона. Мы обнаружили эту кампанию в Великобритании, Германии, США и Нидерландах.

Другая кампания, ориентированная на граждан Мексики, маскировалась под настоящую медицинскую лабораторию Chopo. Фишинговый сайт был внешне идентичен настоящему.

Жертвам предлагалось указать имя, возраст, адрес, пол, номер мобильного телефона и адрес электронной почты. После регистрации они должны были получить цифровой сертификат Национальной карты вакцинации, после чего им предлагалось дождаться активации карт. Через этот же сайт пользователи якобы могли записаться на вакцинацию, для подтверждения записи требовалось заплатить 2700 мексиканских песо (около 130 долларов США). На странице даже присутствовали фальшивые контакты: адреса электронной почты, страница в Facebook и номер WhatsApp для консультаций.

Ещё одна фишинговая кампания, обнаруженная в сентябре 2020 года, была связана с оборудованием для безопасной и надёжной транспортировки вакцин: мошенники рассылали письма, замаскированные под коммерческое предложение; вложение представляло собой HTML-файл с фишинговой страницей.

Это далеко не полный перечень всех вариантов фишинговых кампаний на тему вакцин и вакцинации, с которыми мы столкнулись в течение пандемии. Фантазия мошенников практически не знает границ. Они предлагают приобрести справки о вакцинации, место в очереди на вакцинацию и сами вакцины для индивидуального применения. Стоимость фальшивых справок о вакцинации в США составляет 20долларовСША, а за мелкий опт в четыре фальшивки предусмотрена скидка они обойдутся всего в 60долларовСША.

Некоторые мошенники проводят SMS-разведку, выдавая себя за фармацевтическую фирму. В сообщении говорится о том, что получатель имеет право на вакцинацию, но для этого требуется зарегистрироваться по контактному номеру. Тем, кто звонил по номеру, сообщалось, что запись на вакцинацию платная и предлагалось заплатить небольшую сумму.

Мошенничество

В 2020 году DomainTools начал предоставлять бесплатный курируемый список потенциально вредоносных доменов, связанных с COVID-19. Используя этот список доменов и данные Trend Micro Smart Protection Network, мы составили список из 75000доменов, которые могут использоваться для распространения вредоносных программ, фишинга и мошенничества.

В 2021 году мы наблюдали рост числа вредоносных доменов с ключевым словом вакцина. По данным отчёта DomainTools, этот всплеск начался уже в ноябре 2020года. При этом с июня 2020года количество доменов со словом covid сокращается. В ходе нашего анализа было выявлено около 1000вредоносных доменов с ключевым словом вакцина. Например, в ноябре 2020 г. было зарегистрировано 100 доменов, имитирующих названия торговые марки различных вакцин от коронавируса:

• Gam-COVID-Vac

• BioNTechs BNT162 vaccine (COVID-19 mRNA vaccine)

• EPI - VAK - KORONA

• PiCoVacc

• Sputnik V

На такие домены устанавливают сайты-приманки, подобные, например, мошенническому сайту, замаскированному под сайт медицинского университета. На этом сайте посетителям предлагалось купить вакцины, оплатив их криптовалютой. Самое удивительное, что не было никаких гарантий подлинности вакцины или того, что покупатели в принципе получат что-то после оплаты.

Анонимность даркнета сделала его идеальным местом для киберпреступников, которые торговали нелегальными вакцинами. В недавнем отчёте упоминается о сайте, операторы которого утверждали, что разработали вакцину, которая не только готова к покупке, но и доступна для отправки по всему миру.

На другом подобном сайте покупатели вакцины предварительно должны были отправить по электронной почте свои личные данные и даже сведения об инфицировании коронавирусом и других болезнях. Оплата также принималась в биткоинах.

Новым трендом стало распространение афер с вакцинами через Facebook и Telegram. Один мошеннических Telegram-каналов имеет более 4тыс.подписчиков ипредлагает вакцины известных брендов.

Доверчивых покупателей канал перенаправлял на мошеннический ресурс, замаскированный под сайт службы доставки Delta Express.

Рекомендации

Следствием продолжающегося кризиса в области здравоохранения в Европе и США является то, что люди ищут способы купить вакцину. Однако активные граждане должны соблюдать осторожность, поскольку этой тенденцией пользуются мошенники. Что ещё более важно? поддельные вакцины могут нанести вред здоровья в том случае, если мошенники на самом деле доставят хоть что-то после получения оплаты.

И хотя в российских реалиях не наблюдается ни многомесячных очередей на вакцинацию, ни дефицита вакцин, люди также могут стать жертвами мошенников, попытавшись, например, купить проверенную вакцину Pfizer вместо российского Спутника-V.

Вакцинно-коронавирусное мошенничество приняло такой размах, что необходимо проявлять бдительность в отношении информации, циркулирующей в сети. Вот некоторые советы по выявлению дезинформации:

• получайте информацию о вакцинах из доверенных источников, в качестве которых могут выступать местные органы здравоохранения и медицинские учреждения;

• подумайте, прежде чем нажимать на ссылку с заманчивым предложением, избегайте пересылки связанных с COVID-19 писем или обмена сообщениями, не проверив их с помощью авторитетных поисковых систем и новостных сайтов, это позволит сдержать распространение мошенничества и ложной информации;

• выявляйте поддельные или вредоносные электронные письма и сайты признаками подделки могут быть опечатки, грамматические ошибки, неправильные названия и логотипы известных учреждений хотя этот способ работает не всегда, поскольку некоторые мошенники используют качественные копии легальных электронных писем, сайтов и платформ, используемых официальными организациями; лучше всего перепроверить информацию на официальных сайтах и в социальных сетях;

• посещайте тренинги по кибербезопасности: повышение осведомлённости об интернет-мошенничестве и других видах дезинформации может помочь в выявлении этих схем.

В качестве средства для обнаружения дезинформации, мошенничества и подобных онлайн-угроз можно воспользоваться бесплатной многоплатформенной утилитой Trend Micro Check она базируется на искусственном интеллекте и обеспечивает обнаружение ссылок на мошенничество, проверку безопасности электронной почты, текстовых, визуальных и аудиоданных на предмет выявления дезинформации, а также проверку достоверности новостей в новостных выпусках. С момента запуска она уже выявила более 2млнслучаев мошенничества и 3млнслучаев дезинформации.

Простите за слишком короткий пост.
Сегодня наш админ обнаружил подозрительные письма при анализе заблокированных писем на нашем почтовом сервере. Вместе с текстом про скучающих девушек была вот такая ссылка в письме:
(кликать лучше в режиме инкогнито)

https://script.google.com/macros/s/AKfycbyH1OnBBjKdW3KIeveVeG6WB1eat_cAwHnq8m_7OWTkejNKTg7H6jfzI25YwhstjLaEfQ/exec?b3VkYXJkbG9pY0B5YWhvby5mcg==

После клика на мгновение открывается Гугл-капча, затем происходит автоматический редирект на сайт злоумышленников.
Похоже используют какую-то дыру в скриптах Гугла, чтобы маскировать фишинговые и просто подозрительные URL.
Тут есть сотрудники Гугла или Касперского? Кому отправлять такую информацию?

Фишинг (phishing, от fishing рыбалка, выуживание) вид интернет-мошенничества, при котором злоумышленник любым доступным способом пытается получить конфиденциальные данные пользователя: логин/пароль, ФИО, номер телефона, паспортные данные и тд. Помимо стандартного фишинга существует и его разновидность вишинг (от англ. Voice phishing). Используя вишинг, злоумышленники с помощью голосовых видов коммуникации и социальной инженерии пытаются получить данные банковских карт пользователей или любую другую конфиденциальную информацию. Вишинг тоже является довольно популярным методом получения конфиденциальных данных, но сегодня мы говорим про классический вариант.

Чем опасен фишинг

Основная опасность фишинговых атак заключается в ее направленности на человека, и полностью защититься от нее невозможно. Разумеется, можно и нужно проводить в компаниях регулярные семинары или обучение для повышения уровня осведомленности сотрудников в области информационной безопасности. Но и техники проведения фишинга не стоят на месте и постоянно развиваются. Еще одна опасность проведения фишинга заключается в получении доступа к конфиденциальным данным пользователей. Если это логины и пароли, то пользователь наверняка потеряет доступ к учетной записи. Если это данные банковских карт, то злоумышленники будут пытаться украсть с них денежные средства. В остальных случаях персональные данные с большой долей вероятности будут проданы (рекламным компаниям, даркнет и т.д.), опубликованы в открытом доступе или использованы для проведения атак.

Пример фишинга

Наша компания регулярно сталкивается с фишинговыми атаками. Ранее мы ужеписалио том, как хакеры пытались провести фишинговую атаку через нашу корпоративную почту. И вот недавно случился новый эпизод. На корпоративную почту мы получили довольно странное письмо. В письме говорилось о том, что из-за некорректной настройки сервисаIMAPиPOPвходящие сообщения на корпоративную электронную почту задерживались. Для устранения этой проблемы необходимо перейти по ссылке с подозрительным доменом и ввести логин/пароль от учетной записи.

Прикрепленная ссылка в сообщении не редкость, но если в ней указан странный домен, то это первый признак того, что дело явно нечисто. Перейдем по ссылке и посмотрим что в ней.

Оформление потенциально фишинговой страницы выглядит, как наспех выполненная поделка это второй признак, что нас хотят обмануть. Хотя стоит отметить, что обычно злоумышленники полностью копируют реальный сайт и в целом более основательно подходят к этому вопросу. Но вполне возможно сайт так может выглядеть из-за того, что подгрузка различных элементов происходит со множества других адресов, которые мы не стали разрешать в корпоративной среде.

Если внимательно изучить заголовки письма, то можно заметить, что в отправителе указанpentestit.ru, а вReturn-Path, который обычно скрыт и означает адрес доставки уведомлений об ошибках, указан домен, принадлежащий некоторой медицинской организации.

Эта информация позволяет определить, что письмо является фишинговым, а злоумышленник постарался запутать пользователя, скрыв не только отправителя, но и обратный адрес пересылки.

Возвращаемся на фишинговую страницу и изучим ее. При обращении через curl в ответе видим закодированное содержимое страницы.

После декодирования еще раз смотрим содержимое и очищаем его от всего лишнего. Например, в начале идет много закомментированного кода, который в целом нам не особо интересен.

Теперь, после очистки кода, с ним можно работать. Если спустимся ниже, то увидим код проверки ввода логина и пароля после нажатия кнопки "Sign In". Если поля будут пустые, то будет выводиться предупреждение:

Если поля заполнены, то по нажатию кнопки данные из этих полей будут отправляться на сайт злоумышленника в формате JSON по указанному адресу:

После отправки данных жертва будет перенаправлена на домен компании, указанный после символа@ с помощью строчки:

windows.location.replace("http://www."+my_slice)

Домен для подстановки извлекается из переменной my_slice, за инициализацию которой отвечает фрагмент кода ниже:

Отдельно хочется обратить внимание, что злоумышленник скорее всего не очень опытный и где-то взял шаблон кода, который просто немного переписал под себя. На это указывает огромное количество закомментированного кода и несколько вставок new injection в функциональной части.

Как определить фишинг?

Существует несколько признаков, по котором можно понять, что перед вами фишинговое письмо, сайт и т.д.:

• Домен. При фишинге домен сайта, где пользователь должен ввести свои данные, максимально похож на оригинальный. Но если внимательно посмотреть на него, то можно заметить различия. Например, доменыpentestit.ruиpenteslit.ruбудут практически неотличимы друг от друга и неопытный пользователь может не заметить подмену, на что и рассчитывают злоумышленники. Также не лишним будет проверить дату регистрации домена, например, на сайте 2ip.ru. В нашем случае злоумышленники не пытались сымитировать домен компании, что говорит о массовой рассылке;

• Содержимое письма. Как правило, и тема письма, и его содержимое составлены таким образом, чтобы оказать психологическое воздействие на получателя. Побуждают жертву как можно скорее и без лишних вопросов перейти по ссылке, чтобы оплатить штраф, продлить действие домена, забрать выигрыш, удалить какие-то компрометирующие материалы и т.д. Также стоит обращать внимание на заголовокReturn-Path, который предназначен для обратной пересылки, чем могут пользоваться злоумышленники. В нашем случае в письме указано, что необходимо пройти авторизацию на сервисе для устранения проблем, иначе почта будет удалена в течение 4 дней, а обратный адрес ведет к почтовому адресу медицинской компании;

• Внешний вид. Если письмо написано со множеством грамматических ошибок или используется устаревший логотип компании, от имени которой отправлено письмо, то с большой долей вероятности письмо фишинговое. Также стоит обратить внимание на то, как к получателю обращается отправитель письма. Если приветствие начинается с обезличенного обращения, например,Dear Friendили указываетсяemail-адрес получателя, то скорее всего письмо фишинговое и злоумышленники используют массовую рассылку. И снова попадание, в нашем случае обращение было не персонализированным. Вероятно, скрипт подставлял в шаблон письма адрес электронной почты.

Вывод

Фишинг и по сей день остается одним из самых распространенных видов атак т.к. взломать пользователя намного проще компьютера. Для предотвращения подобных ситуаций достаточно всегда проверять все, что получаете и не переходить по подозрительным ссылкам. А чтобы углубиться в изучение практической ИБ и узнать не только об актуальных методах фишинга и противодействия ему, но и о методах поиска и эксплуатации уязвимостей, специализированном инструментарии и дистрибутивах для проведения пентестов и многом другом приглашаем вКорпоративные лаборатории Pentestit программу практической подготовки в области информационной безопасности. Здесь можно получить не только теоретическую подготовку, но и попробовать на практике, как действуют этичные хакеры.

Вы когда-нибудь задумывались о том, как работают приглашения на встречи в MicrosoftTeamsиGoogleMeet? Недавно я занимался вопросом социальной инженерии, и у меня в голове возникла случайная мысль: как на самом деле работают приглашения на встречи, можно ли как-то использовать их в мошеннических схемах?

Да, такая мысль уже обсуждалась ранее, и этот метод уже использовали. Но никто нигде не объяснял, как он работает. Мне не удалось найти ни одного блога, который технически описывает эту атаку. Поэтому я решил покопаться в ней сам, чтобы человеческим языком рассказать всем, кто интересуется пентестами и вопросами безопасности в целом.

Что я хотел сделать в этой атаке?

Отправить поддельное приглашение на встречу, создав ощущение срочности, чтобы жертва не пыталась разобраться в вопросе, а просто перешла по моей ссылке, запрашивающей учётные данные.

Создание встречи (в Outlook) обычно работает следующим образом:

• нажмите кнопку Новая встреча, после чего откроется страница с полями для электронной почты, предварительно заполненным шаблоном команды и URL-адресом встречи

• установите название встречи и укажите участников

• нажмите Отправить, и ваши участники получат красивое электронное письмо, в котором они смогут принять или отклонить приглашение на собрание.

Что не так с этим приглашением?

Когда вы создаёте приглашение на встречу, вы фактически отправляете обычное электронное письмо с вложенным файлом iCalendar.В зависимости от почтового клиента получателя письма и того, как этот клиент обрабатывает iCalendar, вы можете увидеть красивый email или простое письмо с вложением.Ниже вы можете увидеть, как выглядит приглашение на собрание команды в protonmail.

Что такое объект iCalendar?

СогласноВикипедии:

Универсальный формат iCalendar позволяет пользователям хранить и обмениваться информацией своего календаря и расписания (например, события, задачи, информация о свободном/занятом времени).Файл iCalendar сохраняется в текстовом формате и содержит событие или задачу; используется для отправки событий или задач другим пользователям, которые могут импортировать их в свои календари. Обычно имеет расширение .ics

iCalendar поддерживается Outlook, календарём Google, Yahoo, Apple и многими другими.В этой статье я сосредоточусь на Outlook.

Ниже вы можете увидеть мою версию iCalendar для приглашения на групповую встречу.Я просто отправил приглашение на встречу на свой адрес в protonmail, загрузил его и прочитал вложение.

BEGIN:VCALENDARMETHOD:REQUESTPRODID:Microsoft Exchange Server 2010VERSION:2.0BEGIN:VTIMEZONETZID:GTB Standard TimeBEGIN:STANDARDDTSTART:16010101T040000TZOFFSETFROM:+0300TZOFFSETTO:+0200RRULE:FREQ=YEARLY;INTERVAL=1;BYDAY=-1SU;BYMONTH=10END:STANDARDBEGIN:DAYLIGHTDTSTART:16010101T030000TZOFFSETFROM:+0200TZOFFSETTO:+0300RRULE:FREQ=YEARLY;INTERVAL=1;BYDAY=-1SU;BYMONTH=3END:DAYLIGHTEND:VTIMEZONEBEGIN:VEVENTORGANIZER;CN=ExAndroid Developer:mailto:<redacted>@outlook.comATTENDEE;ROLE=REQ-PARTICIPANT;PARTSTAT=NEEDS-ACTION;RSVP=TRUE;CN=<redacted>@protonmail.com:mailto:<redacted>@protonmail.comDESCRIPTION;LANGUAGE=en-US:<stripped>\n\nUID:040000008200E00074C5B7101A82E00800000000508CC0468E28D701000000000000000 01000000096DF011F20A29943A70B5DA5047021A5SUMMARY;LANGUAGE=en-US:Test meetingDTSTART;TZID=GTB Standard Time:20210403T000000DTEND;TZID=GTB Standard Time:20210404T000000CLASS:PUBLICPRIORITY:5DTSTAMP:20210403T103619ZTRANSP:OPAQUESTATUS:CONFIRMEDSEQUENCE:0LOCATION;LANGUAGE=en-US:Microsoft Teams MeetingX-MICROSOFT-CDO-APPT-SEQUENCE:0X-MICROSOFT-CDO-OWNERAPPTID:-570210331X-MICROSOFT-CDO-BUSYSTATUS:TENTATIVEX-MICROSOFT-CDO-INTENDEDSTATUS:BUSYX-MICROSOFT-CDO-ALLDAYEVENT:FALSEX-MICROSOFT-CDO-IMPORTANCE:1X-MICROSOFT-CDO-INSTTYPE:0X-MICROSOFT-SKYPETEAMSMEETINGURL:https://teams.microsoft.com/l/meetup-join/ 19%3ameeting_YmM1MjRmMTktYjA2N<stripped>cd8%22%7dX-MICROSOFT-SCHEDULINGSERVICEUPDATEURL:https://api.scheduler.teams.microsof t.com/teams/dc<stripped>DAyMmZj@thread.v2/0X-MICROSOFT-SKYPETEAMSPROPERTIES:{"cid":"19:meeting_YmM1MjRmMTktYjA2Ny00YWQ 4LWI1NWEtZmE1NGVlMDAyMmZj@thread.v2"\,"private":true\,"type":0\,"mid":0\," rid":0\,"uid":null}X-MICROSOFT-ONLINEMEETINGCONFLINK:conf:sip:<redacted>\;gruu\;opaque= app:conf:focus:id:teams:2:0!19:meeting_YmM1MjRmMTktYjA2Ny00YWQ4LWI1NWEtZmE 1NGVlMDAyMmZj-thread.v2!56474ffc245241c5ab4081a127cc1cd8!dcf23acb18fc41d28 6acf752f1ca658dX-MICROSOFT-DONOTFORWARDMEETING:FALSEX-MICROSOFT-DISALLOW-COUNTER:FALSEX-MICROSOFT-LOCATIONS:[ { "DisplayName" : "Microsoft Teams Meeting"\, "Loca tionAnnotation" : ""\, "LocationSource" : 0\, "Unresolved" : false\, "Loca tionUri" : "" } ]BEGIN:VALARMDESCRIPTION:REMINDERTRIGGER;RELATED=START:-PT15MACTION:DISPLAYEND:VALARMEND:VEVENTEND:VCALENDAR

Здесь нужно понимать, что каждый объект iCalendar начинается сBEGIN: VCALENDARи заканчиваетсяEND: VCALENDAR.Часть встречи находится междуBEGIN: VEVENTиEND: VEVENT.Внутри вашего мероприятия вы указываете так называемые компоненты.Обычно требуются не все компоненты, и в моем POC вы можете найти урезанный файл *.ics с только необходимыми компонентами.Большинство из них самоочевидны, но я отмечу самые интересные из них.

ORGANIZER. Указывает имя и адрес электронной почты организатора встречи.Вы можете указать здесь любой email и имя, чтобы казалось, что приглашение на собрание исходит от этого человека.

ATTENDEE. Указывает участников встречи.Если вам нужно много участников, у вас будет несколько компонентов ATTENDEE.Имейте в виду, что участники не получат электронное письмо с приглашением на собрание, оно предназначено только для отображения.Вы можете легко имитировать присутствие 30 человек на собрании, если на самом деле отправляете электронное письмо одной жертве.

X-MICROSOFT-SKYPETEAMSMEETINGURL. Если вы укажете этот компонент, в напоминании о встрече будет отображаться кнопка Подключиться.К сожалению, при нажатии система попытается открыть указанный URL-адрес через приложение для рабочих столов, что приводит к ошибке.

DTSTART, DTSTAMP, DTEND. Указывают время встречи и её продолжительность.Я проделал хитрый трюк и установил время начала встречи на 5 минут раньше текущего времени, таким образом складывается ощущение, что вы опоздали на встречу на 5 минут.Когда жертва получает email, Outlook обрабатывает его как приглашение на встречу. Видит, что встреча началось 5 минут назад, и сразу же отображает напоминание на экране.Это помогает симулировать срочность.

Как вы думаете, сколько человек в разгар рабочего дня кликнули бы по ссылке, видя, что опаздывают на встречу?

В этой статье я показал, как Outlook обрабатывает приглашения на собрания.Это должно работать с любым провайдером/клиентом email-сообщений, который обрабатывает вложения *.ics. Вы можете проверить мой POC наgithubи отредактировать скрипт и шаблоны в соответствии со своими потребностями.

Что ещё интересного есть в блогеCloud4Y

Частые ошибки в настройках Nginx, из-за которых веб-сервер становится уязвимым

Пароль как крестраж: ещё один способ защитить свои учётные данные

Облачная кухня: готовим данные для мониторинга с помощью vCloud API и скороварки

Подготовка шаблона vApp тестовой среды VMware vCenter + ESXi

VMware предупредила о критических уязвимостях в удаленном исполнении кода в vCenter

Подписывайтесь на нашTelegram-канал, чтобы не пропустить очередную статью. Пишем не чаще двух раз в неделю и только по делу.

Exchange довольно мощный и популярный почтовый сервер в мире энтерпрайза. Против угроз малварей и фишинга он имеет как встроенные механизмы защиты, так и возможность использования сторонних продуктов. Но в реальности этих возможностей не всегда достаточно для отлова всех вредоносных писем: малвари проходят к пользователям до того, как их сигнатуры попадут в антивирусные базы, а URL-адреса в репутационные списки. Поэтому мы разработали инструмент, помогающий бороться с различными угрозами, приходящими к нам по почте.

Как известно, в основном атаковать пользователя по почте можно двумя самыми распространенными способами: прицепить в теле письма вредоносные вложения или в тексте письма добавить ссылку, по которой пользователь должен перейти и скачать загрузчик.

Обычно у безопасников считается, что нужно учить пользователей правилам работы с почтой. Типовые корпоративные правила обращения с почтой для пользователей чаще всего сферические в вакууме и не отражают реальность. Например, пользователям советуют не открывать вложения и не переходить по ссылкам от незнакомых отправителей. Но что делать, когда у сотрудников работа заключается в том, чтобы открывать файлы от незнакомых отправителей? Внедренцы и продажники, специалисты по работе с поставщиками/партнерами - для них такие правила трудновыполнимы. Тем более, злоумышленник может подделать отправителя/зарегистрировать похожий на ваш домен и отправить зловреда на ваш почтовый ящик. Или отправить вредоноса со взломанного почтового ящика в старую переписку с сотрудником.

Против вложений у эксченджа есть встроенные механизмы, Вы можете указать потенциально опасные расширения файлов, по которым с письмом будут совершаться некоторые действия. Однако это не панацея защищаясь от эксплоитов в rtf или от html вложений с помощью блокировки расширений, вы не получите вполне легальные документы со счетами, что может навредить вашим бизнес-процессам. Да и злоумышленник может поменять расширение файла, и тогда фильтр пропустит опасное вложение. А против ссылок вообще ничего встроенного нет.

Мы в Контуре ежедневно получаем горы вредоносных писем, насмотрелись на разные варианты угроз, и если с вложениями как-то еще было можно бороться, то со ссылками была беда. Поэтому мы решили сделать свой транспортный агент библиотеку для Edge серверов для борьбы с прилетающими по почте вредоносами и фишингом.

История разработки

Сначала мы дописывали StripLinks, который в качестве примера транспортного агента представлен Microsoft, а затем прикрутили к нему функциональность опенсорсного ExchangeAttachmentFilter для фильтрации по имени файлов. Этого нам показалось мало и мы добавили туда анализ контента файлов алгоритмом Ахо-Корасик и регулярками, анализ текста, заголовков и темы письма, а еще обезвреживание автозапуска в pdf.

Получилось круто; во время эпидемий малварей, распространявшихся по почте, отдел информационной безопасности отдыхал и пил пиво на расслабоне. Но позже пришло понимание, что в текущем виде правила для анализа писать неудобно: они занимают много места в конфиге и вообще лучше бы использовать имеющиеся открытые инструменты для анализа вредоносных сигнатур.

И конечно в голову пришла очевидная идея прикрутить к агенту популярный инструмент YARA. Если брать мир опенсорса, то на тот момент подобные агенты существовали уже для популярных почтовых серверов типа постфикса, а для эксченджа ничего готового опенсорсного не нагуглилось. Находились платные варианты, но они обычно шли как часть функциональности почтового антивируса в довесок, а менять текущие антивирусы в планы не входило, так как это дорого и возможностей кастомизации гораздо меньше.

Попутно пришлось устранить всякие баги в YARA, из-за которых на сервере через N тысяч операций кончалась память, и служба транспорта падала.

Разработанное мы решили выложить обратно в опенсорс вдруг кому-то послужит с пользой, как нам. Вот ссылка на репозиторий с агентом.

Как это работает

Архитектура агента предполагает модульность: есть кучка небольших компонентов, каждый из которых умеет проверять что-то одно:

• Совпадение отправителя и получателя письма

• Опасные шаблоны в теме письма

• Ссылки в тексте письма

• Опасные шаблоны в тексте письма

• Подделку MessageID

• Потенциально опасные заголовки письма

• SMTP сессию

• Проверку вложения по имени

• Проверку вложения YARA на наличие вредоносных сигнатур

• Проверку содержимого архивов остальными файловыми модулями

Правила для проверки задаются в формате YARA-правил для файлового анализа и в XML для других модулей. В отличие от встроенных механизмов эксченджа, эти правила дают возможность полного контентного анализа, а не только поверхностного принятия решения на основе расширения файла.

Примеры сработки правил могут быть самые разные: опасные вложения, подмена адресов, наличие ссылок, определенные форматы, белые/черные списки любых параметров письма, определенные хеши, наличие в тексте каких-нибудь указанных кошельков, требование выкупа и так далее, на что фантазии хватит. Есть возможность создания как разрешающих, так запрещающих правил.

На основе сработавших правил каждого из модулей письму присваивается часть рейтинга. Для заведомо вредоносных сработок (например, эксплойтов) рейтинг будет меняться сильнее, а для потенциально опасных, но неточных угроз слабее. Исходя из суммарного рейтинга для письма принимается решение о действиях с письмом:

• Пропустить

• Отклонить

• Добавить в тему письма надпись "опасно"

• Добавить в письмо служебный заголовок, на который обратят внимание следующие инструменты защиты

Модули по заданным правилам могут логировать происходящее. Лог сохраняется в локальный файл в формате JSON. Например, полезно собирать инфу об урлах или статистические данные вроде количества похожих писем для разных получателей. У нас лог отправляется в elasticsearch, откуда мы уже забираем данные для дальнейшего анализа. Собранные данные можно отдельно прогонять по репутационным базам или проводить ретроспективный поиск при расследовании инцидентов.

Установка и конфигурирование агентов довольно простые. Конкретно используемые нами правила, конечно, мы не публикуем, но для примера добавлен базовый набор, на его основе легко будет сделать конфигурацию для ваших нужд.

Что мы хотим от публикации в опенсурс?

• Идеи, как можно было бы улучшить/поправить инструмент

• Помощь энтузиастов в развитии агента

• Дать коллегам по цеху инструменты и идеи, как можно оградить своих пользователей от почтовых угроз