D2
Администратор
- Регистрация
- 19 Фев 2025
- Сообщения
- 4,380
- Реакции
- 0
Автор: NomadSP
Источник: XSS.is
В моей первой статье была затронута тематика уязвимой категории технической поддержки, которую можно "атаковать" с использованием вашего обаяния, наличия полного свитка информации, танцев с бубнами, да и наконец-то просто с помощью СИ. Статья вышла "годной, полезной, интересной, но не практичной" как был вынесен вердикт пользователями форума.
Что ж, критика принята, "комок в горле" протолкнулся отпуском, а это значит, что части 2 - быть!
Challenge accepted.
Starting with emBODYIment.
В целом, рабочий коллектив в компании/корпорации/команде можно представить как механизм. Каждая шестерёнка отвечает за движение продукта в той или иной степени. Кто-то имеет меньшую зону ответственности, а кто-то отвечает сразу за несколько аспектов в разработке, принятии решений, внешних связях с контрагентами и многим другим.
Однако, как и в любом механизме, раз я решил задержаться в этом олицетворяющем приёме, есть и ржавеющие части механизма, а есть те, которые пытаются взять на себя больше функций чем надо.
Для чего нам это всё вышесказанное?
Человеческая психология очень многогранна, понимание совокупности мотивации или её отсутствия, амбиций, которые могут затмить адекватность, обстоятельств, которые могут приводить к новым интересам и приоритетам, смене направления морально-нравственного компаса и многое другое. Поскольку именно наука первопроходца Вундта - часть и основной рычаг "Социальной Инженерии", то с её помощью мы и будем рассматривать весь аналитический и практический подход к поиску и применению полученной информации. Поехали!
"Мы за гигиену!" — Говорили Европейские монархи 18-го века.
Мыться, благо, научились, в отличии от предков, а гигиена в Сети осталась большой проблемой. Не смотря на всю GDPR-ность компаний, вливаний миллионов в область "инфосека", бесконечного потока тренингов и сертификации сотрудников, остаётся тот самый шлейф, по которому опознаётся сотрудник в той самой уязвимой области — "личная безопасность". Гордость каждого специалиста, и это по всему миру, а не только в Европе или Америке - выставить свою псевдостатусность напоказ во всех социальных сетях. В графе "должность", "о себе", фотографии с корпоратив, совместных тимбилдинг уик-эндах, о повышении квалификации, да даже о том, что привезли пиццу в офис. Всё это делается как для прославления себя перед другими пользователями, поиска предложения с более тёплым местом под солнцем, а может и просто для того, чтобы страницу можно было найти коллегам.
Следовательно, добыть даже поверхностный список целей из эшелона С-level management позволит простейший Google запрос из разряда:
Код: Скопировать в буфер обмена
— или другой популярной социальной сети, такие как Facebook, Instagram.
Проводя тонкой нитью связь с моей предыдущей статьёй, даже специалист первой линии поддержки - любитель всем показать, что он работает в, например, престижном "Morgan&Stanley" и всегда готов прийти на помощь клиентам этого "элитного" сектора.
Если даже всё так же поискать через
Код: Скопировать в буфер обмена
— уже можно найти немало целей в конкретной социальной сети, имеющих подобную специальность, а используя более конкретные запросы можно привести к отфильтрованному искомому. Как говорится, "Без ТЗ - результат ХЗ", поэтому можно использовать серое вещество в голове, а можно ChatGPT, наравне с генераторами Dork запросов.
Целимся в цель, проходя круги поиска.
Итак, как и кого искать - опрелелились, поскольку найти цель не сложно. Интересное в данном случае кроется далеко не около графы "должность". Мы всё так же обращаемся к человеческому нутру: Лайфстайл, публично высказываемые мысли, благодаря которым составляется психологический портрет, увлечения, хобби, семейное положение, музыкальные предпочтения — все эти пункты поддаются анализу, которые могут послужить замечательными исходными зацепками для входа в доверие или создания полной картины о конкретной "шестерёнке механизма".
Для примера возьмём John Doe, который работает в европейской финтех компании на позиции сотрудника бэк-офиса. Ему 32 года, он не женат, закончил местный колледж, катается на велосипеде, играет в компьютерные игры, ходит в книжный клуб, не выкладывает фотографии с корпоративов, в друзьях у него довольно мало коллег, а все музыкальные произведения сводятся к фолку, року и металлу.
Что-то начинает соотноситься в голове, не так ли?
Читая всё это стереотипное описание у вас уже сложился некий психологический портрет, который даст намёк на то, что John - зажатая и немного социофобная личность, которая существует в своём собственном мире, имея определённый, присущий многим, срез интересов, который его вполне устраивает во внерабочее время. В рабочее время он не очень предпочитает проводить в плотном социальном контакте с коллегами, избегает контактов, которые относятся к разряду "светской беседы", имея ещё пару коллег-технарей, с которыми в перерыве или на обеде можно обсудить всякие новости из их общего мирка.
Это наводит на дальнейшие выводы — John'у, скорее всего, по барабану на его команду, у него нет к ним личной привязки, лояльности, а завязать с ним беседу можно, когда станет понятно, после использования того же Maigret, что его никнейм "john_pun1sher_doe" используется им не только в Инстаграм, но и в Steam, WoW, WoT и других популярных онлайн игрушках.
Весь анализ и поиск заключается исключительно в открытости ума ищущего и его рассудительных способностях. В конкурентной разведке стоит иметь огромный запас рычагов управления целью, поэтому намекну: Родственники объекта - тоже цель, ведь никогда не знаешь, что его близкому может быть нужна срочная медицинская помощь.
Думаем, составляем план, анализируем, используем, друзья.
Гранд финал и развязка. Используем все выводы на практике.
Что ж... Теория без практики - время на ветер. Мой опыт начинался с банальных и смешных тестов. Я брал своих коллег из других отделов, о которых я слышал, но с ними не был лично знаком. Для полного погружения в атмосферу расследования, в заметках к каждому коллеге были его "преступления", выдуманные мной, а на жёстком диске были логины и пароли к уже использованным социальным сетям, которые использовались коллегами для реальных расследований, то есть с помощью них можно было общаться с коллегами, не напрягая службу безопасности сторонними логинами в социальные сети.
Весь план заключался в простом и непринужденном веб поиске, при котором наличие каких-то инструментов отсутствовало, поскольку установка и использование сторонних программ логгировалась, а развлекаться на рабочем месте надо было, то и использовались - мозг, браузер и какой-то непонятный и нелюбимый профиль на Facebook.
Начнём с плана, чтобы упорядоченно всё находит и записывать:
1. Личные данные: Имя, возраст, город, место рождения, учёбы.
2. Данные о работе: Должность, срок, опыт предыдущих должностей и срок, одинаковые ли должности и специальности, а так же компании.
3. Данные об окружении: Родственники, друзья, коллеги, тиммейты.
4. Данные об увлечениях: Хобби, совместное проведение времени вне работы с коллегами, группы по интересам.
5. Другие данные: Музыкальные предпочтения, видео, репосты, время онлайн.
6. Дополнительные данные: Политические взгляды, кредитная история, материальное положение, состояние здоровья и так далее.
Из всего этого создаётся образ объекта, который в дальнейшем используется для приёмов социальной инженерии, подстать тем уязвимостям, в которые можно однозначно ткнуть.
Далее, я бы сказал, можно разделить векторы атаки, исходя из той информации, которая была найдена:
1. Личная информация.
- Подбор паролей, исходя из личных данных. Да, например, "JohnDoe1992" всё ещё используется как пароль.
- Маскировка под общий город, место учёбы, место рождения, что нас объединяет на личном уровне. Изучаем то, что связывает нас с объектом и вперёд.
2. Информация о работе.
- Сотрудничество на коммерческой основе. Простота "подкупа" работает до сих пор.
- Анализ специальности, спектра функций сотрудника, зон ответственности, подчинения в иерархии даёт нам прекрасную возможность дополнительного сбора информации и о его боссах, а не только способы достижения собственной выгоды.
- Вербовка для дальнейшего сотрудничества. Не забываем, что в Европе и Америке либеральная политика, а многие уже устали от постоянной привязки к корпорациям и финансовому валу. Поэтому есть категория, которая не против работать за команду, топящую богатеющих скупердяев, а это тоже можно выяснить в процессе непосредственной беседы или анализа социальных сетей.
3. Информация об окружении.
- Родственники, друзья, коллеги, это настолько необъятное поле, так как каждого связанного можно рассматривать как отдельный объект для подхода к основной цели с помощью того же плана или дополнительного сбора информации. В своих кейсах у меня получилось через бывшую девушку одного из коллег узнать даже некоторые истории из детства и информацию о текущем месте проживания, работы и графике работы сотрудника. Забавно, но на окружении сотрудников, которые устроились недавно, отлично работала легенда о том, что Служба Безопасности хочет о нём больше узнать.
4. Информация об увлечениях.
- Общие интересы — мощный толчок к личному общению. Подход со стороны того, кому нравятся те же игры, например, уже может стать "тиммейтом", а, если вы ещё и якобы разделяете взгляды на какие-либо другие, интересующую цель пунктики, то это "ключик" для создания мостов общения.
5. Ревёрс поиск.
- Я выделил данный пункт отдельно, поскольку при наших поисковых операциях есть шанс наткнуться на банальный слив паролей или других рабочих данных. Используйте с умом, поскольку слитые рабочие credentials могут быть ловушкой для хакера, что черевато игрой в кошки-мышки с Blue Team. Лучше использовать это для поиска владельца и сбора информации о нём, а далее уже возможном фактическом использовании при полной уверенности.
Это только те вариации использования, найденных топорным способом данных, которые лежат на поверхности. Как я и упоминал, все подходы зависят лишь от гибкости ума и найденной информации. Поэтому для более широкого поиска можно применить все OSINT и HUMINT инструменты.
Заключение.
Кто ищет — тот всегда найдёт. Это действительно так, ведь поиск может проводиться бесконечно, а данные, которые утекают в сеть, можно искать абсолютно любыми способами. Да, это может быть обычный, классический поисковик по типу Google или Bing, а могут быть и OSINT инструменты, коих можно найти множество на любой вкус и цвет в статьях на форуме.
В данном материале я использовал для примера знакомого мне на момент работы в данной сфере, образ банковского сотрудника, поскольку моя первая статья была именно об этом. Однако, если углубиться в суть вопроса, то всё описанное подходит абсолютно к любой сфере и любой личности.
В следующих своих попытках стать постоянным автором, я снова вернусь к внутрянке зарубежных банковских процессов и уязвимых категорий и поиска того, что скрыто немного от глаз, для атак с помощью приёмов Social Engineering.
Всем валидных запросов в поисковик! Дерзайте!
Источник: XSS.is
В моей первой статье была затронута тематика уязвимой категории технической поддержки, которую можно "атаковать" с использованием вашего обаяния, наличия полного свитка информации, танцев с бубнами, да и наконец-то просто с помощью СИ. Статья вышла "годной, полезной, интересной, но не практичной" как был вынесен вердикт пользователями форума.
Что ж, критика принята, "комок в горле" протолкнулся отпуском, а это значит, что части 2 - быть!
Challenge accepted.
Starting with emBOD
В целом, рабочий коллектив в компании/корпорации/команде можно представить как механизм. Каждая шестерёнка отвечает за движение продукта в той или иной степени. Кто-то имеет меньшую зону ответственности, а кто-то отвечает сразу за несколько аспектов в разработке, принятии решений, внешних связях с контрагентами и многим другим.
Однако, как и в любом механизме, раз я решил задержаться в этом олицетворяющем приёме, есть и ржавеющие части механизма, а есть те, которые пытаются взять на себя больше функций чем надо.
Для чего нам это всё вышесказанное?
Человеческая психология очень многогранна, понимание совокупности мотивации или её отсутствия, амбиций, которые могут затмить адекватность, обстоятельств, которые могут приводить к новым интересам и приоритетам, смене направления морально-нравственного компаса и многое другое. Поскольку именно наука первопроходца Вундта - часть и основной рычаг "Социальной Инженерии", то с её помощью мы и будем рассматривать весь аналитический и практический подход к поиску и применению полученной информации. Поехали!
"Мы за гигиену!" — Говорили Европейские монархи 18-го века.
Мыться, благо, научились, в отличии от предков, а гигиена в Сети осталась большой проблемой. Не смотря на всю GDPR-ность компаний, вливаний миллионов в область "инфосека", бесконечного потока тренингов и сертификации сотрудников, остаётся тот самый шлейф, по которому опознаётся сотрудник в той самой уязвимой области — "личная безопасность". Гордость каждого специалиста, и это по всему миру, а не только в Европе или Америке - выставить свою псевдостатусность напоказ во всех социальных сетях. В графе "должность", "о себе", фотографии с корпоратив, совместных тимбилдинг уик-эндах, о повышении квалификации, да даже о том, что привезли пиццу в офис. Всё это делается как для прославления себя перед другими пользователями, поиска предложения с более тёплым местом под солнцем, а может и просто для того, чтобы страницу можно было найти коллегам.
Следовательно, добыть даже поверхностный список целей из эшелона С-level management позволит простейший Google запрос из разряда:
Код: Скопировать в буфер обмена
site: linkedin.com intex: "CEO"— или другой популярной социальной сети, такие как Facebook, Instagram.
Проводя тонкой нитью связь с моей предыдущей статьёй, даже специалист первой линии поддержки - любитель всем показать, что он работает в, например, престижном "Morgan&Stanley" и всегда готов прийти на помощь клиентам этого "элитного" сектора.
Если даже всё так же поискать через
Код: Скопировать в буфер обмена
site: linkedIn.com intext: "support specialist"— уже можно найти немало целей в конкретной социальной сети, имеющих подобную специальность, а используя более конкретные запросы можно привести к отфильтрованному искомому. Как говорится, "Без ТЗ - результат ХЗ", поэтому можно использовать серое вещество в голове, а можно ChatGPT, наравне с генераторами Dork запросов.
Целимся в цель, проходя круги поиска.
Итак, как и кого искать - опрелелились, поскольку найти цель не сложно. Интересное в данном случае кроется далеко не около графы "должность". Мы всё так же обращаемся к человеческому нутру: Лайфстайл, публично высказываемые мысли, благодаря которым составляется психологический портрет, увлечения, хобби, семейное положение, музыкальные предпочтения — все эти пункты поддаются анализу, которые могут послужить замечательными исходными зацепками для входа в доверие или создания полной картины о конкретной "шестерёнке механизма".
Для примера возьмём John Doe, который работает в европейской финтех компании на позиции сотрудника бэк-офиса. Ему 32 года, он не женат, закончил местный колледж, катается на велосипеде, играет в компьютерные игры, ходит в книжный клуб, не выкладывает фотографии с корпоративов, в друзьях у него довольно мало коллег, а все музыкальные произведения сводятся к фолку, року и металлу.
Что-то начинает соотноситься в голове, не так ли?
Читая всё это стереотипное описание у вас уже сложился некий психологический портрет, который даст намёк на то, что John - зажатая и немного социофобная личность, которая существует в своём собственном мире, имея определённый, присущий многим, срез интересов, который его вполне устраивает во внерабочее время. В рабочее время он не очень предпочитает проводить в плотном социальном контакте с коллегами, избегает контактов, которые относятся к разряду "светской беседы", имея ещё пару коллег-технарей, с которыми в перерыве или на обеде можно обсудить всякие новости из их общего мирка.
Это наводит на дальнейшие выводы — John'у, скорее всего, по барабану на его команду, у него нет к ним личной привязки, лояльности, а завязать с ним беседу можно, когда станет понятно, после использования того же Maigret, что его никнейм "john_pun1sher_doe" используется им не только в Инстаграм, но и в Steam, WoW, WoT и других популярных онлайн игрушках.
Весь анализ и поиск заключается исключительно в открытости ума ищущего и его рассудительных способностях. В конкурентной разведке стоит иметь огромный запас рычагов управления целью, поэтому намекну: Родственники объекта - тоже цель, ведь никогда не знаешь, что его близкому может быть нужна срочная медицинская помощь.
Думаем, составляем план, анализируем, используем, друзья.
Гранд финал и развязка. Используем все выводы на практике.
Что ж... Теория без практики - время на ветер. Мой опыт начинался с банальных и смешных тестов. Я брал своих коллег из других отделов, о которых я слышал, но с ними не был лично знаком. Для полного погружения в атмосферу расследования, в заметках к каждому коллеге были его "преступления", выдуманные мной, а на жёстком диске были логины и пароли к уже использованным социальным сетям, которые использовались коллегами для реальных расследований, то есть с помощью них можно было общаться с коллегами, не напрягая службу безопасности сторонними логинами в социальные сети.
Весь план заключался в простом и непринужденном веб поиске, при котором наличие каких-то инструментов отсутствовало, поскольку установка и использование сторонних программ логгировалась, а развлекаться на рабочем месте надо было, то и использовались - мозг, браузер и какой-то непонятный и нелюбимый профиль на Facebook.
Начнём с плана, чтобы упорядоченно всё находит и записывать:
1. Личные данные: Имя, возраст, город, место рождения, учёбы.
2. Данные о работе: Должность, срок, опыт предыдущих должностей и срок, одинаковые ли должности и специальности, а так же компании.
3. Данные об окружении: Родственники, друзья, коллеги, тиммейты.
4. Данные об увлечениях: Хобби, совместное проведение времени вне работы с коллегами, группы по интересам.
5. Другие данные: Музыкальные предпочтения, видео, репосты, время онлайн.
6. Дополнительные данные: Политические взгляды, кредитная история, материальное положение, состояние здоровья и так далее.
Из всего этого создаётся образ объекта, который в дальнейшем используется для приёмов социальной инженерии, подстать тем уязвимостям, в которые можно однозначно ткнуть.
Далее, я бы сказал, можно разделить векторы атаки, исходя из той информации, которая была найдена:
1. Личная информация.
- Подбор паролей, исходя из личных данных. Да, например, "JohnDoe1992" всё ещё используется как пароль.
- Маскировка под общий город, место учёбы, место рождения, что нас объединяет на личном уровне. Изучаем то, что связывает нас с объектом и вперёд.
2. Информация о работе.
- Сотрудничество на коммерческой основе. Простота "подкупа" работает до сих пор.
- Анализ специальности, спектра функций сотрудника, зон ответственности, подчинения в иерархии даёт нам прекрасную возможность дополнительного сбора информации и о его боссах, а не только способы достижения собственной выгоды.
- Вербовка для дальнейшего сотрудничества. Не забываем, что в Европе и Америке либеральная политика, а многие уже устали от постоянной привязки к корпорациям и финансовому валу. Поэтому есть категория, которая не против работать за команду, топящую богатеющих скупердяев, а это тоже можно выяснить в процессе непосредственной беседы или анализа социальных сетей.
3. Информация об окружении.
- Родственники, друзья, коллеги, это настолько необъятное поле, так как каждого связанного можно рассматривать как отдельный объект для подхода к основной цели с помощью того же плана или дополнительного сбора информации. В своих кейсах у меня получилось через бывшую девушку одного из коллег узнать даже некоторые истории из детства и информацию о текущем месте проживания, работы и графике работы сотрудника. Забавно, но на окружении сотрудников, которые устроились недавно, отлично работала легенда о том, что Служба Безопасности хочет о нём больше узнать.
4. Информация об увлечениях.
- Общие интересы — мощный толчок к личному общению. Подход со стороны того, кому нравятся те же игры, например, уже может стать "тиммейтом", а, если вы ещё и якобы разделяете взгляды на какие-либо другие, интересующую цель пунктики, то это "ключик" для создания мостов общения.
5. Ревёрс поиск.
- Я выделил данный пункт отдельно, поскольку при наших поисковых операциях есть шанс наткнуться на банальный слив паролей или других рабочих данных. Используйте с умом, поскольку слитые рабочие credentials могут быть ловушкой для хакера, что черевато игрой в кошки-мышки с Blue Team. Лучше использовать это для поиска владельца и сбора информации о нём, а далее уже возможном фактическом использовании при полной уверенности.
Это только те вариации использования, найденных топорным способом данных, которые лежат на поверхности. Как я и упоминал, все подходы зависят лишь от гибкости ума и найденной информации. Поэтому для более широкого поиска можно применить все OSINT и HUMINT инструменты.
Заключение.
Кто ищет — тот всегда найдёт. Это действительно так, ведь поиск может проводиться бесконечно, а данные, которые утекают в сеть, можно искать абсолютно любыми способами. Да, это может быть обычный, классический поисковик по типу Google или Bing, а могут быть и OSINT инструменты, коих можно найти множество на любой вкус и цвет в статьях на форуме.
В данном материале я использовал для примера знакомого мне на момент работы в данной сфере, образ банковского сотрудника, поскольку моя первая статья была именно об этом. Однако, если углубиться в суть вопроса, то всё описанное подходит абсолютно к любой сфере и любой личности.
В следующих своих попытках стать постоянным автором, я снова вернусь к внутрянке зарубежных банковских процессов и уязвимых категорий и поиска того, что скрыто немного от глаз, для атак с помощью приёмов Social Engineering.
Всем валидных запросов в поисковик! Дерзайте!