Взлом

Использование данного функционала в иных целях может преследоваться по закону!

Ну что, мамин хакер, заинтересовался?) Или тебя просто достали колонки с плохой музыкой в общественных местах? Поехали!

ВАЖНО: в посте именно версия CC1101, обычная версия не имеет радиомодулей!

Железо: на борту имеем микроконтроллер ESP32, 2,4ГГц Wi-Fi модуль, Bluetooth, NFC, SUB-GHZ радиомодуль CC1101, ИК приемопередатчик

Прошивка: Bruce 1.9.1. Отключаем на T-embed аккумулятор, идем на https://bruce.computer/flasher, зажав центральную кнопку на девайсе подключаем его к ПК и прошиваемся прямо из браузера за пару минут. Удобно, однако.

Прошивка поддерживает также работу с модулем NRF24, о нем позже. Потребуются навыки небольшого колхоза с паяльником или внешний переходник.

WiFi 2,4ГГц: стандартный набор для тестирования безопасности сетей и разумности сотрудников, к ним подключенных:

Deauther ("глушилка" WiFi): отправка на роутер пакетов деаутентификации, выбивающих все устройства из сети без возможности подключиться обратно, пока идет атака. Можно одновременно с атакой расшарить сеть с таким  с таким же названием и открывающимся окном с просьбой ввести пароль от роутера для его перезагрузки, получая на T-Embed введенные юзером данные. Если роутер раздает 2,4ГГц и 5ГГц сети, вышибет только сеть 2,4ГГц. 5ГГц WiFi модуля тут, увы, нет.

Deauth flood: то же самое, но атака сразу на все доступные роутеры.

Beacon: спам названий WiFi сетей.

Bluetooth: тупые хулиганские fast pair атаки на доступные устройства. Вызывает раздражение пользователей, не более.

IR: чтение/сохранение и передача заранее сохраненных/загруженных из интернета ИК сигналов (совместим с файлами от Flipper), выключатель всех телеков одним нажатием.

SUB-GHZ: самое интересное. Захват радиосигналов в достаточно широком диапазоне, их сохранение и ретрансляция, а также воспроизведение файлов сигналов для Flipper (формат .SUB).

Тут начинается веселье и тест на защиту от тупого перехвата всех своих устройств. Итого, копированию и воспроизведению сигнала поддались: дверной звонок, сигнализация от мотоцикла (вот тут я реально расстроился), шлагбаум со статическим кодом (ожидаемо, имеем в итоге один пульт для всех). Файлу с большой базой кодов (перебор брутфорсом) спустя 5 минут сдался шлагбаум со скользящим кодом в гаражах. В целом, функционал позволяет скопировать и эмулировать любой простой радио пульт. А большая база .SUB файлов в интернете дает возможность этот пульт даже не искать. Да, даже от вибратора :)

Для большей дальности модуль можно дооснастить внешней антенной.

RFID: простой функционал чтения/записи/стирания меток. Эмуляцию пока не завезли, но обещают.

NRF24: еще одно интересное применение.

Важно: использование глушилок может быть незаконным!

Это модуль связи 2,4ГГц (на этой частоте работает WiFi, Bluetooth и не только), в котором возможно использование режима Jammer, т.е. глушилки сигналов.

Необходимо припаять его к плате по схеме, чтобы компактно разместить внутри устройства. Покупайте модуль с U.FL разъемом для внешней антенны.

Альтернативно можно подключить снаружи через microsd sniffer, схема есть на https://github.com/pr3y/Bruce/tree/main/media/connections

Если вам нужен только функционал WiFi, NRF24 и SUB-GHZ, возможно проще и дешевле купить M5STICK или Cardputer вместе с готовой платой с этими модулями. Однако, такая конструкция будет хрупкой из-за внешней голой платы - потребуется колхозить какую-то изоляцию для нее.

Припаиваем к выводам ESP32 и модуля CC1101

Паяем

Спиливаем ребра жесткости на задней крышке, сверлим отверстие под вывод внешней антенны, втыкаем u.fl – sma пигтеил и собираем все обрано.

Включаем колонку и пробуем

Поворачивая «крутилку» на девайсе, можно менять режимы, на блютуз колонки лучше всего влияют режимы WiFi, BLE и RC. Колонка заикается, а то и вовсе глохнет.

Дальность с качественной антенной, например от Baltic Signal – в пределах 10 метров.

При подключении дополнительного антенного усилителя, как на картинке ниже, дальность прилично возрастает.

JS Interpreter: запуск произвольных скриптов на девайсе. На случай, если захотите быстро допилить свой функционал.

BAD USB: притворяется клавиатурой, вводит заранее прописанный скрипт.

Заключение

Аналогичные девайсы можно собрать на основе других устройств, таких как M5 Cardputer, M5StickC2, “cheap yellow display” и т.д. Полный список совместимых с прошивкой плат есть на сайте Bruce.

Я никого ни к чему не призываю и напоминаю о незаконности некоторых атак и тестов, если они производятся без разрешения на чужом оборудовании.

Ценник на все это безобразие – порядка 5000 рублей. На Озон Глобал было дешевле, чем на Али, на момент моего заказа. Ссылок не дам, не реклама.

— История, после которой вы десять раз подумаете, прежде чем кликать на ссылку в Telegram.

🔐 "Просто проверь кошелёк"

2023 год. Дегуст (ник в Twitter) — опытный криптотрейдер с портфелем в $600K. Он два года избегал скамов, но одна ошибка опустошила его кошелёк за 30 секунд.

Всё началось с безобидного сообщения:

"Твой MetaMask подключён к фишинговому узлу. Проверь безопасность здесь: secure-metamask"

Он кликнул… и потерял всё.

💀 Как это произошло? Пошаговый разбор атаки

1️⃣ Шаг 1: Фишинговая ссылка

Сайт secure-metamask[.]com выглядел один в один как официальный:

• Лого MetaMask.

• Форма ввода сид-фразы.

• Даже зелёный замочек HTTPS.

Но это был клон.

2️⃣ Шаг 2: Ввод сид-фразы

Дегуст:

• Ввёл 12 слов (думая, что "обновляет безопасность").

• Через 5 секунд злоумышленники получили полный доступ.

3️⃣ Шаг 3: Мгновенный дренаж

• $230,000 USDT — отправлены на биржу Binance.

• 15 ETH — переведены через Tornado Cash.

• NFT на $70K — проданы на Blur.

Всё заняло меньше минуты.

🕵️ Кто стоит за взломом?

Анализ транзакций показал:

• Деньги смешаны через миксеры.

• Часть средств осела на биржевых аккаунтах в ОАЭ.

• Группа Angel Drainer (известные фишеры) использовала тот же шаблон сайта.

Вывод: Это не хак, а социальная инженерия. Дегуст сам отдал ключи.

🛡️ Как защититься? 5 правил, которые спасут ваш кошелёк

1️⃣ Никогда не вводите сид-фразу — MetaMask не просит её нигде, кроме первоначальной настройки.
2️⃣ Проверяйте URL — даже если сайт выглядит идеально (scam-версии часто отличаются одной буквой).
3️⃣ Используйте аппаратный кошелёк (Ledger/Trezor) — без него не подтвердятся транзакции.
4️⃣ Включите whitelist адресов — чтобы нельзя было вывести на новые кошельки.
5️⃣ Доверяйте только официальным чатам — скамеры часто (masquerade) как поддержка.

💔 Можно ли вернуть деньги?

Коротко: почти нет.

• Биржи редко замораживают украденное (если успели до вывода).

• Торнадо-кэш не отслеживается.

• Полиция не занимается "крипто-кражами" без прямых улик против человека.

Единственный вариант:
Если хакер ошибётся и выведет на KYC-биржу — можно попробовать судебный иск.

📌 Вывод: паранойя — ваша лучшая защита

Дегуст сейчас:

• Перешёл на аппаратный кошелёк.

• Удалил все DApps кроме проверенных.

• Говорит: "Если бы я просто погуглил этот сайт — сохранил бы $600K."

🔗 Проверяйте каждую ссылку. Даже от "друзей".

💬 А вас пытались обмануть фишеры? Делитесь в комментариях — предупредим других!

Почти каждый день я публику самые крутые кейсы из мира крипты в своем канале, давайте построем комьюнити !

Предупреждение!
Информация в статье носит ознакомительный характер, не носит рекомендательный характер, а выполнение действий из нее является вашим риском и ответственностью.

Есть следующая проблема:
Преступники получая доступ к сим-карте жертвы (а значит-ко всем приходящим смс-кодам и звонкам), спокойно могут получить доступ ко всем аккаунтам жертвы через функции восстановления доступ и пароля по смс или звонку робота..

Способов получить доступ к сим-карте-много.
Преступникам не обязательно даже быть в сговоре с сообщником который работает на оператора сотовой связи. т.к есть ряд простых хитростей и уловок.

Защитить свою сим-карту при атаке профессиональных преступников иногда нереально, если аккаунты жертвы представляют большой интерес и ценность (стоимость и прибыль с аккаунтов, личность человека, деятельность и тематика аккаунтов мешает кому-то и т.д).

ОДИН ИЗ ПРОСТЫХ СПОСОБОВ ЗАЩИТЫ.

Никто кроме вас не должен знать, на какую сим-карту (на какой сотовый номер телефона) оформлены аккаунты, а сама сим-карта не должна светиться нигде больше!

Для ценных аккаунтов у вас должна быть новая, отдельная сим-карта, которая использоваться должна чисто под регистрацию для аккаунтов.
И нигде больше. Даже регистрировать какие-то магазинные карты, аккаунты в других сервисах и т.д нельзя.

Почему?
А потому, что в последние годы утекли в общий доступ или даркнет, базы данных разных организаций, где были ФИО и номера клиентов.
При изучении этих утечек, хакер зная сотовые номера телефонов жертвы, могут начать попытку взлома.

Если хакеры или какое-то лицо работает именно против вас конкретно
-есть риск, что ваш противник будет знать все ваши сотовые номера, или даже сотовые номера ваших родственников и окружения, если противник имеет своих заинтересованных людей среди работников сотой связи и т.д.

В таком случае:

1. Сим-карта должна быть на том лице, которое не ассоциируется с вами у противника и общества.

Можно конечно арендовать долгосрочно виртуальный номер и не светить его нигде, кроме регистрации нужных вам аккаунтов.

Но если виртуальный сервис закроется ,станет недоступным и т.д
-вы потеряете доступ к номеру, и без этого номера не сможете потом восстанавливать логин и пароль аккаунта, иногда и войти в аккаунт, подтвердить ряд действий в аккаунте-сервисе и т.д.

Сервисы виртуальных номеров по запросу полиции и спецслужб
-без возражений раскрывают все данные о владельце виртуального номера(ip-адрес, настоящий мобильный номер, аккаунт с которого заказывался виртуальный номер и .п.)

ВНИМАНИЕ!

Так-же нужно учесть, если вы оформляете сим-карту не на себя, а другое лицо
- оно может само в любой момент с паспортом в офисе оператора восстановить сим-карту (т.к оно по документам владелец сим-карты), и с этого момента получить доступ к вашим аккаунтам через функции восстановления пароля и т.д.

Все здесь зависит от надежности лица, на которое вы решили оформить сим-карту.

2. Новая сим-карта для ваших аккаунтов, должна вставляться в абсолютно новый и не засвеченный телефон (можно для этого дешево купить звонилку или примитивный смартфон).

Почему?
Если за вами ярая слежка, то сотовый оператор видит, какие сим-карты вставляют в телефон.

Т.е сначала оператор зная сим-карту на ваше имя, по ней смотрит в каком телефоне она вставлена. Само телефон-устройство - запоминается по его уникальному imei.

А далее-какую бы сим-карту вы бы не вставили в смартфон(даже если сим-карта оформлена на алкоголика с соседнего квартала, которого вы впервые видите), то оператор один раз запомнив imei вашего устройства-смартфона, будет знать, какие сим-карты вы вставляете в устройство.

Поэтому-смартфон для левых сим-карт должен покупать новый, куда не вставлялись никакие сим-карты связанные с вами и вашим окружением.

3. Левая незасвеченная сим-карта, должна один раз в месяц совершать платное действие, иначе сотовый оператор через пол года, закроет вашу сим-карту, а ваш сотовый номер выставит на продажу, и в итоге отдаст другому человек.

А тот человек невольно получит доступ к вашим аккаунтам, даже при попытке создать свой новой аккаунт в той же соц.сети или сервисе.

4. Телефон где стоит ваша сим-карта для аккаунтов, должен быть всегда включении просматриваться.
Т.к если хакеры начнут атаковывать ваш аккаунт, то на него начнут проходить всякие смс с уведомлениями, кодами и т.д.
Это позволит быть вам моментально в курсе атаки и проблем.

5. Не отвечайте на смс, сообщения в мессенджерах и звонки на левой сим-карте, и не переходите ни по каким ссылкам в сообщениях
Т.к кроме вас лично, ее никто не должен знать, а значит, на нее могут писать и звонить только хакеры, мошенники, спамеры и т.д.

6. В телефон, где стоит ваша сим-карта для ценных аккаунтов, не устанавливайте никаких приложений, и не подключайте интернет.
Так вы лишите хакеров еще ряда путей для атаки и слежки.

7. Выключайте различные соединения типа wi-fi, Bluetooth и т.д. т.к эти каналы тоже являются путем атаки для хакеров, если хакер находится недалеко от вашего телефона.

ПРИКРЕПЛЕННЫЕ электронные ящики, другие аккаунты и т.д,
-еще один способ для деанона и взлома.

Обычно соц.сети и сервисы требуют прикрепить электронный ящик для возможного восстановления аккаунта и т.п.

И здесь снова есть правила безопасности, при нарушении которых, через прикрепленный ящик и доп.аккаунты, ваш ценный аккаунт могут взломать или близко к нему подобраться.

1. Прикрепляемый электронный ящик(email) и доп.аккаунт, должен быть новым, созданным абсолютно с ноля.

Т.к старые электронные ящики уже засвечены, и ассоциируются с вами. Через атаку на известные засвеченные электронные ящики, у хакеров есть шанс добраться и до вашего аккаунта через Восстановления пароля аккаунта.

2. Прикрепляемый электронный ящик(email) и доп.аккаунт, не должен больше ни для чего использоваться, кроме как для регистрации ваших ценных аккаунтов.
Иначе при использовании утечек баз данных ряда сайтов, сервисов и организаций, ваш электронный ящик будет засвечен.

3. Название-логин электронного ящика и доп.аккаунтов, не должно даже намекать на сведения, связанные с вами.
Иначе, если хакеры доберутся до утечек со списком электронных ящиков, они уже смогут заподозрить, что ящик принадлежит вам и начать атаку на ящик.

4. Прикрепляемый электронный ящик(email) и доп.аккаунт, должен регистрироваться заводиться только на не засвеченном устройстве и незасвеченной сим-карте.

Иначе у хакеров может появиться зацепка, если у них есть данные о вашем устройстве и его уникальных номерах и т.д.

Т.к в почтовом электроном сервисе ведется лог-журнал, где записываются все действиях, и с каких ip-адресов они совершались, и с каких устройств.

Если вы зарегистрируете новый ящик со старого засвеченного устройства или с известной всем старой сим-карты - можно считать что вы уже засветились.

ОПРЕДЕЛЕНИЕ ВАШЕЙ ЛЕВОЙ СИМ-КАРТЫ ПО ВАШЕМУ МЕСТОПОЛОЖЕНИЮ И ЛОКАЦИЯМ(БИЛЛИНГ)

Это еще одна проблема, если против вас сильный противник, который заодно с операторами сотовой связи и т.д.

Если он поймет что потерпел неудачу, из-за того что ему не удается узнать сим-карту на которую зарегистрированный ценный аккаунт, то у него остается еще один способ-биллинг.

Сотовый оператор видит, где примерно находится ваша известная всем сим-карта. Изучив, какие сим-карты находятся рядом, и никогда не перемещаются в другие места, можно уже составить догадки, какая из этих сим-карт является вашей левой сим-картой.

Но если вы будете носить смартфон с левыми симками с собой
-то тогда оператор легко точно определит, что это ваша левая сим-карта).

Есть конечно вариант-хранить телефон с левыми сим-картами в том месте, которое не связано сильно с вами, и противник не додумается что там надо проводить сканирование-биллинг.

УСТРОЙСТВА НА КОТОРЫХ СТОЯТ ЛЕВЫЕ СИМ-КАРТЫ И НА КОТОРЫХ ВЕДУТСЯ ЦЕННЫЕ АККАУНТЫ - должны быть разными.

Т.е с одного смартфоны вы ведете ценные аккаунты.
А в другом смартфоне стоят левые сим-карты на которые зарегистрированы аккаунты.

Тогда, если хакеры через атаку на аккаунты, выйдут на смартфон с которого вы ведете аккаунты, то они не смогут выйти на сим-карты и номер, на котором зарегистрированы аккаунты.
Т.к сим-карты находятся в совсем другом устройстве.

НЕЛЬЗЯ ВСЕ АККАУНТЫ РЕГИСТРИРОВАТЬ ТОЛЬКО НА ОДНУ СИМ-КАРТУ.
Минимум должно быть две сим-карт.
На одну сим-карту зарегистрировать одну часть аккаунтов в соц.сетях, на другую сим-карту зарегистрировать другую часть аккаунтов.

Иначе, если хакеры все-таки получат доступ к одной из сим-карт, вы потеряете все аккаунты разом.
А так вы сохраните часть аккаунтов, с которых вы моете предупредить людей и аудиторию аккаунтов, через посты, что аккаунты в других соц.сетях у вас угнали.

В идеале, каждый аккаунт в каждой соц.сети, должен быть зарегистрирован на отдельную сим-карту.
Тогда при угоне одной сим-карты, будет намного меньше урон и потери.

ЛУЧШЕ ИСПОЛЬЗОВАТЬ ИНОСТРАНЫЕ СИМ-КАРТЫ(сотовые номера), ЭЛЕКТРОННЫЕ ЯЩИКИ ИНОСТРАНЫХ ПОЧТОВЫХ СЕРВИСОВ И Т.Д, ПРИКРЕПЛЕМЫЕ НА ВАШ АККАУНТ.

Т.к в вашей стране, серьезный противник со связями, легко может попросить работников сотовой связи и различных сервисов, сделать ему дубликат вашей сим-карты под видом восстановления, раскрыть все данные о вашем электроном ящике, аккаунте в сервисе и т.д.

При использовании сим-карт, электронных ящиков и т.д иностранных провайдеров и сервисов, и влиятельного противника будет уже меньше возможностей.

КРАТКИЙ СМЫСЛ-ПЕРЕСКАЗ СУТИ ПРОБЛЕМЫ

Существует мнение, что многофакторная защита авторизации, гарантировано защищает аккаунты от взлома. Но это не совсем так.

Несмотря на активное внедрение многофакторной аутентификации (MFA), киберпреступники научились обходить её с помощью всё более изощрённых методов.

Один из них — атаки типа «противник посередине» (Adversary-in-the-Middle, AiTM), которые особенно эффективно реализуются через обратные прокси-серверы.

Эти атаки позволяют перехватывать не только логины и пароли, но и сессионные cookies, открывая злоумышленникам путь в защищённые аккаунты, даже если включена MFA.

Популярность этого метода подкрепляется удобством: благодаря наборам инструментов «Фишинг как услуга» (Phishing-as-a-Service, PhaaS) , таких как:
Tycoon 2FA, Evilproxy, Rockstar 2FA и других.

Даже неспециалисты могут запустить такую кампанию.

Разработчики этих комплектов постоянно обновляют их, добавляя функции обхода защитных механизмов, маскировки трафика и сбора дополнительных данных.

Например, инструменты ограничивают доступ к фишинговым страницам только по точной ссылке, используют фильтрацию по IP-адресу и User-Agent, внедряют динамически обфусцированный JavaScript и задерживают активацию ссылок, чтобы обойти защиту на стороне почтовых сервисов.

Фишинговые прокси работают по схеме:
Пользователь переходит по ссылке, указывает логин и пароль, а затем подтверждает MFA.

Всё это происходит на настоящем сайте — просто через прокси-сервер атакующего.

После успешной аутентификации сайт выдаёт сессионную cookie, которую перехватывает злоумышленник. В его руках оказывается полный доступ к учётной записи.

Некоторые атакующие тут же добавляют своё MFA-устройство в профиль жертвы, чтобы сохранить доступ и после окончания текущей сессии.

БОЛЕЕ ПОДРОБНОЕ ИЗУЧЕНИЕ ПРОБЛЕМЫ "
Современный фишинг: обход MFA. Автор: Джейсон Шульц"

Киберпреступники обходят многофакторную аутентификацию (MFA), используя атаки типа «злоумышленник посередине» (AiTM) через обратные прокси-серверы, перехватывая учётные данные и файлы cookie для аутентификации.

• Разработчики таких комплектов «Фишинг как услуга» (PhaaS), как Tycoon 2FA и Evilproxy, добавили функции, которые упрощают их использование и затрудняют обнаружение.
  

• WebAuthn, решение для многофакторной аутентификации без пароля, использующее криптографию с открытым ключом, предотвращает передачу пароля и обнуляет серверные базы данных аутентификации, обеспечивая надёжную защиту от атак с обходом многофакторной аутентификации.
  

• Несмотря на значительные преимущества в плане безопасности, WebAuthn внедряется медленно. Компания Cisco Talos рекомендует организациям пересмотреть свои текущие стратегии многофакторной аутентификации в свете этих развивающихся фишинговых угроз.

В течение последних тридцати лет фишинг был основным средством в арсенале многих киберпреступников.

Все специалисты по кибербезопасности знакомы с фишинговыми атаками: преступники выдают себя за сайт, которому доверяют, в попытке вынудить жертв социальной инженерии к разглашению личной информации, такой как имена пользователей учетных записей и пароли.

На заре фишинга киберпреступникам часто было достаточно создавать поддельные целевые страницы, соответствующие официальному сайту, собирать учетные данные для аутентификации и использовать их для доступа к учетным записям жертв.

С тех пор сетевые защитники пытались предотвратить подобные атаки, используя различные методы. Помимо внедрения мощных систем защиты от нежелательной почты для фильтрации фишинговых писем из почтовых ящиков пользователей, многие организации также проводят имитационные фишинговые атаки на своих собственных пользователей, чтобы научить их распознавать фишинговые письма.

Какое-то время эти методы работали, но по мере того, как фишинговые атаки становились все более изощренными и целенаправленными, фильтры спама и обучение пользователей становились менее эффективными.

В основе этой проблемы лежит тот факт, что имена пользователей часто легко угадать или вычислить, а люди, как правило, очень плохо используют надёжные пароли. Люди также склонны повторно использовать одни и те же слабые пароли на разных сайтах. Киберпреступники, зная имя пользователя и пароль жертвы, часто пытаются взломать учётные данные и войти на разные сайты, используя одну и ту же комбинацию имени пользователя и пароля.

Чтобы подтвердить подлинность пользователей, системы аутентификации обычно используют как минимум один из трёх методов или факторов аутентификации:

• Что-то, что вы знаете (например, имя пользователя и пароль)

• Что-то, что у вас есть (например, смартфон или USB-ключ)

• Что-то, чем вы являетесь (например, ваш отпечаток пальца или распознавание лица)

В условиях появления всё более изощрённых фишинговых сообщений использование только одного фактора аутентификации, такого как имя пользователя и пароль, является проблематичным.
Многие сетевые администраторы в ответ на это внедрили многофакторную аутентификацию, которая включает дополнительный фактор, например SMS-сообщение или push-уведомление, в качестве дополнительного шага для подтверждения личности пользователя при входе в систему.
Благодаря включению дополнительного фактора в процесс аутентификации скомпрометированные имена пользователей и пароли становятся гораздо менее ценными для киберпреступников.
Однако киберпреступники — изобретательные люди, и они нашли хитрый способ обойти многофакторную аутентификацию. Добро пожаловать в безумный мир обхода многофакторной аутентификации!

Как злоумышленники обходят MFA?

Чтобы обойти MFA, злоумышленники встраиваются в процесс аутентификации с помощью атаки «злоумышленник посередине» (AiTM).

Как правило, это делается с помощью обратного прокси-сервера. Обратный прокси-сервер функционирует как сервер-посредник, принимающий запросы от клиента и перенаправляющий их на реальные веб-серверы, к которым клиент хочет подключиться.

Чтобы обойти многофакторную аутентификацию, злоумышленник настраивает обратный прокси-сервер и рассылает фишинговые сообщения как обычно. Когда жертва подключается к обратному прокси-серверу злоумышленника, он перенаправляет трафик жертвы на настоящий сайт.
С точки зрения жертвы, сайт, к которому она подключилась, выглядит подлинным — и это так!
Жертва взаимодействует с законным сайтом.

Единственное отличие, заметное жертве, — это расположение сайта в адресной строке браузера.

Вклинившись в этот процесс обмена данными между клиентом и сервером, злоумышленник может перехватить имя пользователя и пароль, которые отправляются от жертвы на легитимный сайт.

Это завершает первый этап атаки и запускает запрос многофакторной аутентификации, отправляемый жертве с легитимного сайта.

Когда ожидаемый запрос многофакторной аутентификации получен и одобрен, файл cookie аутентификации возвращается жертве через прокси-сервер злоумышленника, где он перехватывается злоумышленником.

Теперь злоумышленник владеет как именем пользователя и паролем жертвы, так и файлом cookie аутентификации с официального сайта.

Наборы для фишинга как услуги (PhaaS)

Благодаря готовым наборам инструментов «Фишинг как услуга» (Phaas) практически любой может проводить такого рода фишинговые атаки, не зная многого о том, что происходит «под капотом».

В этой сфере появились такие наборы инструментов, как Tycoon 2FA, Rockstar 2FA, Evilproxy, Greatness, Mamba 2FA и другие.

Со временем разработчики некоторых из этих наборов инструментов добавили функции, чтобы сделать их более простыми в использовании и менее заметными:

• Наборы для обхода MFA от Phaas обычно включают шаблоны для самых популярных фишинговых целей, чтобы помочь киберпреступникам в организации фишинговых кампаний.
  

• Наборы для обхода MFA ограничивают доступ к фишинговым ссылкам только для тех пользователей, у которых есть правильный фишинговый URL-адрес, и перенаправляют других посетителей на безопасные веб-страницы.
  

• Наборы для обхода многофакторной аутентификации часто проверяют IP-адрес и/или заголовок User-Agent посетителя, блокируя доступ, если IP-адрес соответствует известной компании по обеспечению безопасности/крадущемуся программному обеспечению или если User-Agent указывает на то, что это бот.
  
  Фильтры User-Agent также могут использоваться для дальнейшей нацеливания фишинговых атак на пользователей, использующих определённое оборудование/программное обеспечение.
  

• Наборы для обхода MFA с обратным прокси-сервером обычно вводят свой собственный код JavaScript на страницы, которые они предоставляют жертвам, для сбора дополнительной информации о посетителе и обработки перенаправлений после кражи файла cookie аутентификации.
  Эти скрипты часто динамически запутываются для предотвращения статического снятия отпечатков пальцев, что позволило бы поставщикам средств безопасности идентифицировать сайты атак в обход MFA.
  

• Чтобы обойти антифишинговые защиты, которые могут автоматически переходить по URL-адресам, содержащимся в электронном письме, в момент его получения, может быть предусмотрена короткая программируемая задержка между отправкой фишингового сообщения и активацией фишингового URL-адреса.

Ускоряют рост атак в обход MFA через обратный прокси общедоступные инструменты с открытым исходным кодом, такие как Evilginx. Evilginx дебютировал в 2017 году как модифицированная версия популярного веб-сервера с открытым исходным кодом nginx. Со временем приложение было переработано и переписано на Go и реализует собственный HTTP и DNS-сервер. Хотя он позиционируется как инструмент для тестирования red teams на проникновение, поскольку у него открытый исходный код, любой может скачать и модифицировать его.

К счастью для защитников, существуют общие для Evilginx и других инструментов для обхода MFA характеристики, которые могут указывать на то, что атака с обходом MFA уже началась:

• Многие серверы обратного прокси-сервера для обхода MFA размещены на относительно недавно зарегистрированных доменах/сертификатах.
  

• Получение файла cookie для аутентификации предоставляет злоумышленникам доступ к учетной записи жертвы только на этот единственный сеанс.
  
  Получив доступ к учетной записи жертвы, многие злоумышленники добавляют к учетной записи дополнительные устройства MFA для поддержания сохраняемости.
  
  Проверяя журналы MFA на предмет такого рода активности, правозащитники могут обнаружить учетные записи, ставшие жертвами атак в обход MFA.
  

• По умолчанию URL-адреса фишинговых приманок Evilginx состоят из 8 букв в смешанном регистре.
  

• По умолчанию Evilginx использует HTTP-сертификаты, полученные от LetsEncrypt. Кроме того, сертификаты, которые он создаёт по умолчанию, имеют организацию «Evilginx Signature Trust Co.» и общее имя «Evilginx Super-Evil Root CA».
  

• После того, как злоумышленник перехватил файл cookie для аутентификации сеанса, он обычно загружает этот файл cookie в свой собственный браузер, чтобы выдать себя за жертву.
  
  Если злоумышленник не будет осторожен, какое-то время два разных пользователя с разными пользовательскими агентами и IP-адресами будут использовать один и тот же файл cookie сеанса. Это можно обнаружить с помощью веб-журналов или продуктов безопасности, которые ищут такие вещи, как “невозможное перемещение”.
  

• Чтобы жертва не переходила по ссылке, которая перенаправляет ее с фишингового сайта, обратный прокси-сервер Evilginx переписывает URL-адреса, содержащиеся в HTML-формате, с законного сайта.
  
  Популярные цели фишинга могут использовать очень специфические URL-адреса, и сетевые защитники могут искать эти URL-адреса, обслуживаемые с серверов, отличных от легитимного сайта.
  

• Многие реализации обратного прокси-сервера для обхода многофакторной аутентификации написаны с использованием встроенных в язык программирования реализаций Transport Layer Security (TLS). Таким образом, отпечаток TLS обратного прокси-сервера и легитимного веб-сайта будет отличаться.

WebAuthn спешит на помощь?

FIDO (Быстрая идентификация личности онлайн) Альянс и W3C создали WebAuthn (Web Authentication API) - спецификацию, которая позволяет выполнять MFA на основе криптографии с открытым ключом. WebAuthn, по сути, не имеет пароля.

Когда пользователь регистрируется в MFA с помощью WebAuthn, генерируется криптографическая ключевая пара. Закрытый ключ хранится на устройстве пользователя, а соответствующий открытый ключ хранится на сервере.

Когда клиент хочет войти в систему, он сообщает об этом серверу, который отвечает запросом. Затем клиент подписывает эти данные и возвращает их серверу. Сервер может проверить, что запрос был подписан с помощью закрытого ключа пользователя.

Пароли никогда не вводятся в веб-форму и не передаются по интернету. Это также делает базы данных аутентификации на стороне сервера бесполезными для злоумышленников. Что хорошего в краже открытого ключа?

Рисунок 3. Процесс аутентификации WebAuthn.

В качестве дополнительного уровня безопасности учётные данные WebAuthn также привязываются к источнику веб-сайта, на котором они будут использоваться. Например, предположим, что пользователь переходит по ссылке в фишинговом сообщении на контролируемый злоумышленником обратный прокси-сервер mfabypass.com, который выдаёт себя за банк пользователя.

Адрес в адресной строке веб-браузера не будет соответствовать адресу банка, к которому привязаны учётные данные, и процесс многофакторной аутентификации WebAuthn завершится ошибкой.

Привязка учётных данных к определённому источнику также предотвращает связанные с идентификацией атаки, такие как переполнение учётными данными, когда злоумышленники пытаются повторно использовать одни и те же учётные данные на нескольких сайтах.

Несмотря на то, что спецификация WebAuthn была впервые опубликована в 2019 году, она внедрялась относительно медленно.

Судя по данным телеметрии аутентификации Cisco Duo за последние шесть месяцев, аутентификация с помощью WebAuthn по-прежнему составляет очень небольшой процент от всех аутентификаций с помощью MFA.

В определенной степени это понятно. Многие организации, возможно, уже внедрили другие типы MFA и могут считать, что это достаточная защита.

Однако они могут захотеть пересмотреть свой подход, поскольку все больше и больше фишинговых атак используют стратегии обхода MFA.

Покрытие

Cisco Secure Endpoint (ранее AMP для конечных устройств) идеально подходит для предотвращения запуска вредоносного ПО, описанного в этой статье. Попробуйте Secure Endpoint бесплатно здесь.

Cisco Secure Email (ранее Cisco Email Security) может блокировать вредоносные электронные письма, отправляемые злоумышленниками в рамках их кампании. Вы можете бесплатно попробовать Secure Email здесь.

Cisco Secure Firewall (ранее называвшиеся Next-Generation Firewall и Firepower NGFW), такие как Threat Defense Virtual, Adaptive Security Appliance и Meraki MX, могут обнаруживать вредоносные действия, связанные с этой угрозой.

Cisco Secure Network/Cloud Analytics (Stealthwatch/Stealthwatch Cloud) автоматически анализирует сетевой трафик и предупреждает пользователей о потенциально нежелательной активности на каждом подключенном устройстве.

Cisco Secure Malware Analytics (Threat Grid) выявляет вредоносные двоичные файлы и встраивает защиту во все продукты Cisco Secure.

Cisco Secure Access — это современная облачная служба безопасности (SSE), построенная на принципах нулевого доверия. Secure Access обеспечивает бесперебойный, прозрачный и безопасный доступ к интернету, облачным сервисам или частным приложениям независимо от того, где работают ваши пользователи.

Если вас интересует бесплатная пробная версия Cisco Secure Access, пожалуйста, свяжитесь с представителем Cisco или авторизованным партнером.

Umbrella, защищенный интернет-шлюз Cisco (SIG), блокирует доступ пользователей к вредоносным доменам, IP-адресам и URL-адресам независимо от того, находятся ли пользователи в корпоративной сети или за ее пределами.

Cisco Secure Web Appliance (ранее Web Security Appliance) автоматически блокирует потенциально опасные сайты и проверяет подозрительные сайты перед доступом к ним пользователей.

Дополнительные средства защиты с учётом особенностей вашей среды и данных об угрозах доступны в Центре управления брандмауэром.

Cisco Duo обеспечивает многофакторную аутентификацию пользователей, гарантируя, что только авторизованные пользователи получат доступ к вашей сети.

История 1 — отражение

@ holoroad

Маленькая дочка почти научилась ходить и всюду телепалась за мной. Я не курил при ней. Ходил на балкон, а она, прильнув к стеклу, смотрела на меня и ждала, когда я докурю и выйду к ней. И в какой-то момент она начала повторять за мной вот эти движения. Маленький человечек, ей было года полтора или два, прикладывала воображаемую сигарету к губам, а потом делала вид, что выпускает дым. И весело так на меня смотрела, сквозь стекло балконной двери. Ей нравилось все, что со мной связано, и она подражала всем моим действиям. Я курил уже двадцать лет и, конечно, делал множество попыток бросить до этого. Но в этот раз у меня в первый раз появилась по-настоящему важная причина бросить. Это важно для человека, который безгранично мне доверяет. С тех пор прошло почти десять лет, в течение которых я не сделал ни одной затяжки.

Решение бросить курить — одно из лучших, которое вы можете принять для своего здоровья, будущего и близких. Но справиться с зависимостью только потому, что «это вредно» будет тяжело. А вот если хотите не задыхаться, поднимаясь по лестнице, или волнуетесь за своего ребенка, которые вдыхает табачный дым, — уже другое дело.

Сформулируйте, что для вас значит отказ от никотина. Это может быть желание прожить дольше, избавиться от проблем со здоровьем, выглядеть моложе, сэкономить деньги или защитить близких от пассивного курения. Напоминание об этой причине повесьте на видное место.

История 2 — список

@ maxneb

Беременность жены, рождение ребенка, здоровье, деньги — ничего не было веским поводом бросить окончательно. Постоянно срывался. Помогло составить список, что теряю и что получаю от сигарет, и понимание, что хотя бы одна затяжка — и все насмарку: пару месяцев буду курить. Только список и его осознание. Для каждого он свой. И постоянное обращение к нему. После составления списка курил еще. Но он как заноза висел в голове с вопросом «зачем?»... Так, что-то щелкнуло и сейчас не тянет. Иногда тянет физически, но осознание бесполезности курения сразу глушит позывы. Полгода, полет нормальный...

Бросать на авось — идея, которая подойдет не всем. Нужно понимать, что делать в трудные моменты:

• Определите дату отказа. Подготовьтесь морально, уберите сигареты, зажигалки, пепельницы.

• Замените привычки. Сигарету в руках можно заменить орешками, палочками морковки, жвачкой или даже кубиком льда.

• Займите время. Вспомните, чем вы любили заниматься: спорт, хобби, прогулки.

• Планируйте, что делать при тяге. Она длится всего 3–5 минут. Дыхательные практики или звонок другу помогут пережить сильное желание закурить.

• Откажитесь от «наградных сигарет». Одна затяжка и вы откатитесь назад.

Можно бросить резко, «с понедельника», или постепенно, снижая количество сигарет до нуля. Главное — определиться и не отступать.

История 3 — переключение

@ Spaka

45 лет, стаж 30. Пытался завязать много раз, потом понял, что после каждой попытки бросить, курить начинаешь больше. Как ребенок, которому не дают вкусняшку, а она случайно попала ему в руки. Из чего мозг сделал вывод: не уверен — не бросай. Потом стал замечать, что организм уже стал сам просить перестать курить. По утрам было очень неприятно во рту, удовольствие после сигареты стало короче, а негатив, приходящий следом, ощутимее: неприятные ощущения в горле, боли миндалин, страх схватить онкодиагноз. Хотя врачи говорили, что все ок, в голове-то гоняешь мысли. Я решил попробовать обмануть сам себя. Не делать из процесса отказа какого-то события. Бросить так, как будто это и должно было произойти, но ты не знаешь когда. Про себя помолился, как сумел, и попросил помощи, хитро прищурил глаз и в момент, когда забыл купить про запас (оставалась пара штук в пачке), просто перестал курить. Мне теперь даже странно, как я раньше это делал. Так и живу почти два года. Кстати, раньше в момент завязки курящих ненавидел, дым был очень противен, до тошноты. Теперь все равно. Присоединяйтесь ;)

Есть несколько стратегий отказа от курения:

• Резкий. Эффективный и решительный подход.

• Постепенный. Сначала — меньше сигарет, потом — меньше затяжек. И так до нуля.

• Психологическая замена. Каждая сигарета — это ритуал. Найдите для каждого из них «здоровую замену».

• Медикаментозная терапия. При сильной зависимости врач может порекомендовать никотинозаместительную терапию (пластыри, таблетки, жвачки) или препараты, которые помогают справиться с синдромом отмены. Но любые лекарства принимаются только по рекомендации специалиста.

Каждый, кто хочет оставить зависимость в прошлом, может обратиться в центры здоровья, которые работают при поддержке нацпроекта «Продолжительная и активная жизнь», и получить необходимую помощь специалистов. Адреса доступны на официальном портале Минздрава России о здоровье: takzdorovo.ru. Также можно позвонить на горячую линию по отказу от зависимостей 8 800 200-0-200.

История 4 — форма

Аноним

Курила электронки 2 года как замену обычным сигаретам. Думала, что это не так дорого, не так вредно да и для девушки вроде более привлекательно: не пахнут волосы и руки. А потом решила привести свое тело в форму. Стала ходить в зал и поняла, что задыхаюсь на первом же упражнении, хотя женщины гораздо старше меня бодрячком. Было очень тяжело слезть. Друзья советовали заменять сигаретами. А потом уехала в отпуск в страну, где нельзя покупать электронки, отвлеклась, и после возвращения уже не тянуло. Даже на тусовках, где все дымят.

За модными гаджетами и фруктовыми ароматами скрывается химическая бомба, разрушающая организм быстрее, чем обычные сигареты. Электронные сигареты активно продвигаются производителями как «безопасная» альтернатива сигаретам. Но курение вейпа может обернуться серьезными проблемами: от кашля и одышки до поражения сосудов и дыхательных путей.

«Особую тревогу вызывает рост потребления табачных изделий и электронных сигарет. Согласно исследованию, проведенному в нашем Центре, 36,8% курильщиков потребляют одновременно и табак, и электронные сигареты. Среди молодежи в возрасте 25-39 лет этот показатель превышает 45%. Электронные никотиносодержащие и безникотиновые устройства поражают сердце, сосуды, дыхательную систему и ДНК организма не менее пагубно, чем традиционные сигареты, а в ряде случаев способны вызывать острые состояния, включая сосудистые поражения и летальные исходы» – рассказывает руководитель Центра профилактики и контроля потребления табака НМИЦ терапии и профилактической медицины Минздрава России Маринэ Гамбарян.

История 5 — пари

@ kernima

Вроде не было никаких серьезных предпосылок, чтобы бросить. Да и чтобы начать: просто все вокруг курили, думал, это сейчас тренд. А потом как-то сидели в баре и решили поспорить с некурящим другом. Он затирал, что моя жизнь из-за электронки катится ко дну, я — доказывал, что это всего лишь маленькая шалость. В общем поспорили на пять тысяч. Чтобы было легче и можно было отвлечься, начал бегать по утрам. Друг проиграл, а я возвращаться к курению не стал. Вдруг снова у еды появился вкус, я начал высыпаться и больше не устаю на втором лестничном проеме. Короче, советую!))

Сульфат никотина, один из компонентов электронных сигарет, раньше использовали как пестицид, но запретили из-за высокой токсичности. Жидкость для «электронок» содержит и опасные химикаты вроде пропиленгликоля, ацетальдегида и акролеина — промышленных веществ, способных вызывать воспаления, поражения органов и мутации клеток. Ароматизаторы, создающие иллюзию безвредности, на деле могут привести к более тяжелой интоксикации, чем при курении сигарет. А еще вейпы содержат не природный, а синтетический никотин — солевой. Он быстрее всасывается, дольше выводится и вызывает зависимость стремительнее.

Когда организм отвыкает от никотина, бывает нелегко: люди становятся раздражительным и нервозными, быстро устают, возникают сухость во рту, кашель, трудности с концентрацией. Важную роль в борьбе с этими симптомами играет питание. В рацион стоит включить овощи, фрукты, орехи, семечки. Клетчатка способствует очищению организма от токсинов. Важно питаться сбалансировано: с достаточным количеством белков, жиров, углеводов и витаминов. Лучше временно исключить продукты, усиливающие удовольствие от табака (например, мясо), а также отказаться от алкоголя, кофе и крепкого чая. Они могут спровоцировать желание закурить. А вот большое количество воды, травяных чаев и настоев облегчит очищение организма и поможет справиться с сухостью во рту.

История 6 — связь

Аноним

Устал курить, понял, что мне это мешает заниматься спортом и в целом комфортно себя чувствовать. Пошел через ассоциации: покурил во время головной боли, и потом через самовнушение дал себе установку, что голова болела от курения. Звучит странно, конечно, но это сработало. Никотиновую зависимость снижал постепенно через редкое курение кальяна (2-3 раза в неделю с последующим уменьшением).

Чтобы добиться успеха в отказе от курения, стоит подготовиться. Обязательно расскажите о своем решении друзьям и близким — поддержка со стороны очень важна. Если вы уже предпринимали попытки бросить, вспомните, что тогда пошло не так, и постарайтесь не повторять этих ошибок.

Разберитесь, что именно тянет вас к сигарете: скука, стресс, привычка? Когда вы это осознаете, будет легче подобрать альтернативные действия — прогулку, книгу, разговор с близким. Учитесь распознавать моменты, когда особенно хочется закурить, и переключаться на что-то другое. Можно подключиться к программам или группам поддержки — это поможет не сдаваться. И главное: уберите из дома все сигареты.

История 7 — вершина

Аноним

Поднимался с сыном по Пушкинской тропе на гору Железная. Мне лет сорок пять было, идем общаемся, сын бегает туда-сюда. Ну идем короче, а сзади нас догоняет семейная пара, мирно о чем-то щебеча между собой. Догнали и обходят. И так спокойно удаляются… Все бы ничего, но им лет по шестьдесят, если не больше. Я попробовал в их темпе, но задыхаться стал. Короче, поднялся я на гору, спустился, смял пачку и выкинул в мусорную урну. Вот уже 13 лет не курю. Стаж 27 лет.

Курение — это быстро развивающаяся зависимость, схожая по механизму с наркотической. Никотин воздействует на мозг, вызывая кратковременное улучшение настроения, за которым следует упадок сил и потребность в новой дозе. Со временем формируется толерантность, и прежние негативные реакции организма на табак ослабевают. Физическая зависимость сочетается с психологической: сигарета начинает ассоциироваться с отдыхом, решением задач, рутиной. Курение укрепляется поведенческими шаблонами: кофе, вождение, паузы на работе уже не мыслимы без сигареты.

Каждый, кто пытался избавиться от никотиновой зависимости, знает, как это тяжело. Ломка, раздражительность, навязчивые мысли. Даже при переходе на вейпы, иллюзия «меньшего вреда» быстро развеивается: химические коктейли из ароматических смесей также бьют по легким, сосудам и всему организму.

Хорошая новость в том, что вы не одни. В сообществе «Давай бросать» (ВКонтакте и мессенджере Telegram), который работает при поддержке нацпроекта «Продолжительная и активная жизнь» знают, каково бороться с триггерами, искать замену привычке и удерживать себя от срыва. Здесь делятся историями тех, кто смог, поддерживают тех, кто только начал, и помогают разобраться в главном: как пережить отказ без мучений.

Социальная реклама. АНО «Национальные приоритеты», ИНН: 9704007633