IT + Взлом

Преамбула

Вдохновением к написанию истории, послужило иронично долгое отсутствие ответа от поддержки, описанной далее платформы. Информация, которую я хотел предоставить бесплатно, может спасти (или разрушить) не один бизнес, и сохранить не одну сотню тысяч долларов как клиентам так и самой платформе, не говоря уже об репутации обоих.

Пока мы все вместе ждем, я поведаю вам увлекательную историю в нескольких главах, где вас проведу от самых примитивных сюжетов до кульминационной «вишенке на торте».))

И конечно же, мы вместе сыграем в игру «Кто первый»: я допишу последнюю главу и поделюсь с миров всеми наработками за 6 лет, после чего наступит новая эра абьюза или представители платформы свяжутся со мной и наконец-то устранят созданные ими же «дыры» в системе.

Дисклеймер

Данный материал является художественно-развлекательным произведением. Все описанные события, персонажи, сервисы являются вымышленными, а любые совпадения — случайны. Статья не содержит призывов к каким-либо действиям, не направлена на дискриминацию, очернение или нарушение законодательства. Любые интерпретации изложенного текста читателем остаются на его усмотрение.

Глава 1. Сайт — лицо бизнеса

Декабрь 2022 года. Нас познакомил с Таурусом наш общий друг. Таурус, был уверенным в себе интернет мошенником, выглядел опрятно, ездил на авто среднего класса и курил тонкие сигареты из натурального табака. Он давно промышлял разными схемами и владел информацией, которой мне не доставало. Данное знакомство оказалось очень вдохновляющим, поскольку у меня были идеи как построить любую мошенническую схему, с точки зрения ее представления и реализации в сети, однако не хватало некоторых инструментов для монетизации.

Большинство мошеннических сайтов выглядели дешево и конечно же, речь там не шла о глубоком и продуманном дизайне, UX и UI проработке или вычитке текста.

Некоторые представители исполнительного звена данной сферы являются людьми недалекими. Могут написать Превет! вместо Привет! Я же обладал хирургической скрупулезностью и педантичностью, которая позволяла мне увидеть даже битый пиксель на картине «Мона Лиза».

Если нужно развернуть видимость работы крутого бизнеса за 1 день — это ко мне.

Мне лишь недоставало информации, как же все эти навыки превратить в реальный кеш. И тут последний пазл сошелся. Таурус без какой-либо скрытности объяснил что такое «ручка», «вбиверы», «дропы» и какие суммы прокручиваются на таких незамысловатых связках.

Мене казалось, ему так же не хватало родственной души, чтобы изрядно похвастаться достижениями и наработками, как и мне — чтобы похвастаться непревзойденным системным мышлением и генерацией идей.

Он показал всю цепочку движения денег от захода клиента на сайт и до фактического получения средств на собственный криптовалютный счет. Полный автомат и максимальная анонимность. И стоило это всего 25% от оборота. Беру!

Также Таурус поведал мне работу «антикафе», где меня глубоко удивило то, что в данном мире все еще работает настолько простая и примитивная схема, которая, как я думал, умерла уже лет 10 как. Все верно, подумал я:

Чем масштабнее разводка, чем она древнее, тем её проще провернуть Джейк Грин, фильм Револьвер

и рассмеялся — это уж слишком безвкусно для меня.

Конец декабря 2023го. Вдохновение

После очередной встречи мы ударили по рукам. Не терпелось поскорее начать работу и перейти от долгих восхищений нашей изобретательностью к действиям, дабы заработать на новогодние «сладости».

Всё складывалось как нельзя лучше.

Я был доволен тем, что могу создать сайт буквально за сутки, на что другие тратили недели. Дело оставалось за малым: подключить Клауд (Cloudflare), дабы спрятать реальный IP сервера, развернуть сайт и подключить скрипт приема оплат.

На то время я уже года 4, как плотно использовал платформу Тильда для создания сайтов под различные проекты, и знал ее от корочки до корочки.

Тильда. Предыстория. 2014

Платформа была создана на ловком пересечении двух очень простых идей: набирающей популярность блочной веб системы и особенностях упрощения сложных механизмов.

Одним слово, ребята во главе Никиты создали в прямом смысле конструктор, где вся магия происходила на фронт (клиентской) части сайта.

Если на других платформах присутствовал строгий контроль, Тильда напротив была буквально песочницей, где можно было творить что воображению угодно.

Это привлекло слои продвинутых дизайнеров и разработчиков, которые начали всё больше изощряться в функциях, а на рынке появилось всё больше разных скриптов, которые манипулировали DOM структурой, взаимодействовали с API, соединяли Тильду с разными сервисами. И все это, напомню, на клиентской стороне.

Я параллельно основной деятельности, так же создавал нестандартные решения для Тильды, удивляясь тому, насколько стремительно весь этот «пузырь» набирает объём.

Например, в отличие от платформ, которые устанавливают системы антипарсинга, в Тильде, напротив, все товары доступны в одном фиде. Каждому желающему по публичной ссылке.

https://store.tildaapi.com/api/getproductslist/?storepartuid...

Конкуренция была небольшой, а постоянный спрос и повторные продажи готовых решений, позволяли спокойно подзаработать на хлеб с маслом.

Таким образом Тильда с простого конструктора статических лендингов, выросла до глобальной платформы в которую начали заходить серьезные игроки рынка, в особенности инфобиз и икомерс.

Помнится, у меня был доступ к сайту, где продавались энтерпрайз продукты от 500 до 1000 долларов, а очередная покупка совершалась раз в 2 дня.

Можно ли считать взломом, вход в открытую дверь?

Я размышлял над тем, что если теоретически на фронте подменить платежный модуль Тинькова на муляж, можно перекинуть покупателя на фишинговую страницу оплаты.

На официальном уровне это было сделать практически нереально, и у меня не было простых вариантов, как это можно реализовать.

Все изменилось после знакомства с Таурусом.

Ракета выходит на орбиту

Таурус объяснил, что по соотношению популярности товара, простоты запуска и прибыльности, на данный момент лучшим товаром является икра.

Это идеальная группа, популярная перед НГ. Здесь нет большого разнообразия (что упрощает создание и управление позициями), а хороший чек получается за счет «сладких» скидок на малый предновогодний опт.

Дело оставалось за малым — буквально открыть потенциальной сайт, нажать Ctrl+S (да, все нас) либо воспользоваться утилитой, и получить работающую копию через пару часов.

Скачали сайт — загрузили на хостинг — Енджой!

Не тут то было!

Вернемся к истокам

Когда Тильда создавалась, запрос был совершенно примитивным.

Ясное дело, что никто не планировал подобные масштабы. SSR (Server-Side Rendering) только начинал привлекать внимание, как технология, и был предназначен для целей, которые у Тильды были разве что в мечтах. Так родилась простая, и рабочая архитектура.

Благодаря тому, что все страницы в Тильде статические (предварительно созданные, проще говоря), а динамический контент генерируется буквально перед глазами, почти любой скачанный сайт будет работать практически в 100% случаев.

Любой, кроме ИМ (интернет-магазина).

Развернув скачанные файлы на хостинге и открыв любую страницу с товарами, вы получите вместо блока товаров ошибку:

В сети размещено весомое количество таких «скачанных» магазинов. И если вы загуглите данную ошибку, то увидите что много кто использует такие сайты, но так и не догадался, как исправить это недоразумение.

Решение оказалось примитивно простым: если открыть загруженный скрипт, отвечающий за управление интернет-магазином, и закомментировать несколько строк (которые через innerHTML просто удаляли товары) в файле, данная проверка перестает работать и товары не удаляются с сайта.

Таким образом мы нашли стильный референсный (донор) сайт, скачали его, отключили проверку, изменили контактные данные, немного подкорректировали цены и залили на хостинг. Запустив и настроив рекламную кампанию, через 2 дня мы получили первую покупку c сайта на $150.

Я был восхищен. Это было подтверждение того, что всё работает, серая сфера приносит реальные деньги, а мои познания в особенностях Тильды не пропадают даром.

Через 2 дня наступил новый 2023 год. Тогда я еще не знал, что напишу собственный брутфорс софт, простое увлечение перерастет в гениальную бесшумную модель монетизации взломанных сайтов и прибыльный бизнес, а конец 28 июня 2025-го станет судным днем в истории Тильды.

Связь со мной, вопросы и предложения: https://t.me/tildakiller

Зеркала истории на различных платформах, на случай блокировок https://telegra.ph/Mirrors-06-25-2

Что случилось?

Пострадавший человек, имя которого не разглашается, стал жертвой фишинга. Мошенники отправили ему поддельное письмо, якобы от Apple. В письме говорилось о «подозрительной активности» на его аккаунте iCloud, и для «защиты данных» требовалось срочно подтвердить свою личность.

Под давлением страха человек перешел по ссылке и ввел свои учетные данные. Это стало началом кражи. Злоумышленники получили доступ к iCloud и к резервным копиям данных.

Как они похитили деньги?

Доступ к паролям:

У большинства людей в iCloud хранятся пароли от банковских приложений и других сервисов. Мошенники воспользовались этим, чтобы получить доступ к банковским счетам.

Социальная инженерия:

В некоторых случаях, помимо технических данных, злоумышленники звонили в банки, представляясь владельцем счета, и успешно обманывали сотрудников техподдержки.

Переводы:

После получения доступа мошенники начали переводить деньги через банковские приложения, а также использовать привязанные к Apple Pay карты для покупок.

Почему это стало возможным?

Основная причина кражи — слабая кибергигиена:

Пострадавший использовал один пароль для разных сервисов.

Не была активирована двухфакторная аутентификация.

Человек доверился письму, не проверив, откуда оно пришло.

Как защититься?

Активируйте двухфакторную аутентификацию:

Даже если злоумышленник узнает ваш пароль, без кода из SMS или приложения он не сможет войти.

Не переходите по подозрительным ссылкам:

Если вы получили письмо от Apple или любого другого сервиса, проверьте адрес отправителя. Apple никогда не попросит вас ввести данные через письмо.

Используйте уникальные пароли:

Менеджеры паролей помогут создавать сложные комбинации и запоминать их.

Регулярно проверяйте доступ к своим устройствам:

В настройках iCloud можно увидеть все подключенные устройства. Если вы замечаете незнакомое, срочно отключите его.

Вывод

История с кражей $650,000 из iCloud — это напоминание о том, как важно защищать свои данные. Мошенники становятся всё изощреннее, и наша задача — быть внимательными и соблюдать простые, но важные правила кибергигиены.

Расскажите в комментариях, сталкивались ли вы с подобными угрозами и какие меры принимаете для защиты своих данных?

Эта статья про физическое проникновение в один из банков Ливана. Легальный проект, с неожиданной концовкой, который выполнял один из самых известных специалистов по физическому тестированию на проникновение Jason E. Street! Вся история — это набор фактов, смешанный с его личными комментариями с выступлений, интервью и общения в кулуарах. Поэтому подробности на личной совести эксперта, но я предлагаю ему поверить! Уж слишком громкая вышла история :)

Если вам интересно как проверяли физическую безопасность банка с помощью социальной инженерии, добро пожаловать под кат!

❯ А что за проекты такие?

Проекты по физическому проникновению на территорию заказчика — одни из самых веселых проектов! Автор этих строк, делал несколько подобных проектов, поэтому знает о чем говорит. Jason E. Street же очень известный эксперт индустрии, который провел в десятки раз больше подобных проектов.

Обычно основная цель — или получение доступа к компьютерам в офисе заказчика, или организовать удаленное подключение к сети организации. Для последнего чаще всего используют закамуфлированный мини-пк, например, Raspberry Pi с модемом и сим картой. Ограничения на подобных проектах, по крайней мере в РФ просты:

1. Не показывать никаких документов. Ведь их подделка карается УК РФ, а показывать настоящие — противоречит сути мероприятия.

2. Не оказывать сопротивления охране. Обычно с собой всегда есть договор на работы или авторизационное письмо (LOA). В письме/договоре указано, что человек проводит легальные работы и бить/сдавать в полицию его не нужно, а нужно связаться с руководством компании заказчика.

Именно в подобных условиях действовал и наш главный герой. Однако цель его была немного иная — не проверить возможность получить доступ, а научить сотрудников! Поэтому он рассчитывал быть пойманным к концу проекта.

❯ Первый проект

Ливан. Эта страна, которая сейчас не вылазит из сводок новостей, но на момент проведения проекта была гораздо более спокойной и тихой. Джейсон уже выполнял там один проект в банке и тогда он:

• Выдал себя за сотрудника головного офиса и спокойно гулял по трем отделениям.

• В одном отделении получил от менеджера его личный логин и пароль, а также вынес все документы, которые захотел.

• В двух выполнил «вредоносный» код на машинах менеджеров и одного управляющего.

• Из третьего и вовсе вынес компьютер!

Тогда хакера никто не остановил.

❯ Очень быстрое начало

Нынешний же проект проводили через пару лет в 2021 году в другом банке Бейрута, первое отделение которого было успешно взломано с самого утра. Но обиженный управляющий, который почувствовал себя дураком, решил взять противодействие в свои руки. Он лично обзвонил все крупные отделения банка и предупредил об ожидаемом визите «взломщика». Конечно же, это было не спортивно, но Джейсон решил, что поедет в небольшое отделение, в котором скорее всего его не ждут. И его действительно там не ждали!

В Бейруте надписи как правило на арабском и французском языках, которые хакер не знал. Поэтому на проект к нему был приставлен сопровождающий из местных, который и отлично говорил на трех языках, и показывал дорогу. К тому же именно этот сопровождающий должен был не дать арестовать хакера! Сопровождающий — живое доказательство легальности проекта. Но в тот день Джейсон очень торопился, потому что перед проектом выпил целую 1,5 литровую бутылку диетической пепси! Сопровождающий указал ему направление и сказал «Банк вон там в конце улицы, я приду через пару минут после тебя». По дороге Джейсон старательно искал туалет, но многие вывески он прочитать не мог, а знакомого значка WC нигде не увидел. В итоге на последней крупице силы воли забежал в офис банка в конце улицы и по указателям на второй этаж в туалет. После облегчения хакер осмотрел отделение сверху и спланировал свою показательную атаку.

Документы использовать нельзя, но поддельные письма? Бейджи? Можно! Это де юре не документы. Поэтому Джейсон достал свой фейковый бейджик «Майкрософт». Его цели были три:

1. Выполнить любой код на машинах сотрудников и показать им это.

2. Вынести компьютер из отделения.

3. Если его задержат, проверить, поверят ли его поддельному «авторизационному письму» и дадут ли ему уйти.

Для первой задачи он использовал Rubber Duck — известный инструмент легальных хакеров, который выглядит как флешка, но выполняет код. Компьютер определяет эту «флешку» как клавиатуру, которая начинает нажимать горячие клавиши и набирать команды. Именно так код выполняется. Да прям на виду у менеджера.

Все что делал код из Rubber Duck Джейсона — выводил надпись что «Эй, этого не должно было случиться!». Джейсон показывал это менеджеру и переходил к следующему, хотя для фиксации успеха достаточно одного взломанного ПК.

Уже на третьем взломанном компьютере им стали интересоваться, спросили кто он и откуда. Джейсон повторил свою легенду, что он из Майкрософт, показал пальцем на бейдж. И объяснил, что здесь он проводит аудит из-за слияния компаний, и пока это не публичная информация. Показал на своем IPad поддельное письмо, чтобы вызвать большее доверие. Почему на планшете? Почему-то с экрана выглядит доверительнее, чем распечатанное. Письмо было составлено очень грамотно, от имени CFO банка, которая к тому же являлась и дочерью владельца банка! Куда уж респектабельнее? Но ему не поверили и попросили поговорить с управляющим. Где же промах?

В кабинете управляющего Джейсон перешел к цели №3 — побегу. Его задача с помощью этого поддельного письма на планшете убедить управляющего его отпустить. Он ожидал два успешных исхода:

1. Управляющий письму верит, и он проиграл.
2. Управляющий не верит, просит дополнительные документы. Тогда Джейсон предлагает принести их из машины и не возвращается в банк.

В теории может быть и один неудачный исход, Джейсону не верят и его не отпускают «за документами». Тогда за него вступается сопровождающий и все объясняет, а управляющего ждет похвала. Кстати, а где сопровождающий?

❯ Не та дверь

Четвертый исход Джейсон не мог даже предположить. Управляющий внимательно смотрит его документы и говорит грустным, но очень строгим голосом: «Все понятно, но это письмо для банка по соседству. Так что ты делал с нашими компьютерами?!».

Эти два банка используют одинаковые корпоративные цвета. Вывески Джейсон привык не смотреть, ведь они чаще всего не на английском. Ну и помните, он ОЧЕНЬ торопился, а в этом здании два банка расположенных через стенку. Джейсон просто зашел не в ту дверь, и он взломал банк на что не имел никакого разрешения! Что он мог ответить управляющему после такого? «Это прискорбно» Хакер был настолько ошарашен, что не придумал ничего лучше.

В комнате управляющего его усадили в кресло и вокруг него шесть человек очень активно и сердито говорили по арабски. В качестве оправдания Джейсон решил показать что он делал, что ничего плохого не произошло. Он подключил свой Rubber Duck к компьютеру управляющего, и на экране появилось привычное окно блокнота с надписью. Но это произвело не то впечатление, фактически он только что взломал еще один ПК, увеличил себе срок и лица окружающих стали еще мрачнее. Последним аргументом, который, казалось бы, они не услышали, было «Погуглите меня, я известен такими вещами!».

К этому моменту сопровождающий уже давно был в банке напротив, он сначала подумал, что Джейсон уже зашел в кабинет управляющего и все ему объясняет. Но время шло, его подопечный не появлялся и он решил спросить, не заходил ли он сюда. После отрицательного ответа, он начал искать Джейсона и нашел. Аргументы сопровождающего уже были услышаны, но и они не играли большой роли. Все что им могли предложить — проехать в головной офис банка, где разберутся, что в целом было лучше чем вызов полиции.

Спасло Джейсона то, что код на его Rubber Duck не был по настоящему вредоносным, и состава преступления тут не было. К тому же, к счастью, он не успел выполнить пункт №2 и не вынес компьютер из отделения!

Все его нарушения были:

1. Проникновение на закрытую территорию.

2. Ложь сотрудникам банка.

Джейсон повторно объяснил ситуацию начальнику охраны, подробно рассказал что он делал и почему у него это вышло, что не так делали сотрудники и отвечал на множество вопросов, стараясь быть как можно более милым.

После четырех часов проведенных в кабинете начальника охраны, руководители банков договорились разделить расходы между собой и уладить ситуацию. Из соображений безопасности сразу после ухода Джейсона все компьютеры менеджеров и управляющего по ошибке взломанного филиала были очищены. Все-таки банки — высококонкурентная среда. Но главное, что инспектировать еще и безопасность тюрем Ливана не пришлось.

Написано специально для Timeweb Cloud и читателей Пикабу. Больше интересных статей и новостей в нашем блоге на Хабре и телеграм-канале.

Хочешь стать автором (или уже состоявшийся автор) и есть, чем интересным поделиться в рамках наших блогов (за вознаграждение) — пиши сюда.

Облачные сервисы Timeweb Cloud — это реферальная ссылка, которая может помочь поддержать авторские проекты.

Доверия к контрагенту, с которым вы давно и хорошо общаетесь, несравнимо больше, чем к письму или сообщению от не пойми кого. Вы ответите ему на вопросы, на которые никогда не ответите постороннему человеку. И спокойно откроете присланный пдф. Созданный специально под вас. Мы тоже тихонько за ними посматриваем одним глазом. Поэтому знаем, какие там у них были эпические срачи в начале СВО. Когда горящие негодованием громадяне бросились ломать все, до чего могли дотянуться. В результате чего несколько раз сорвали операции, которые тихо и аккуратно готовили против нас очень долго.

Воевать с натой, максимально плотно сидя на их софте и железе... непросто. Не раз и не два уже находились "ошибки", позволяющие десятилетиями удаленно и абсолютно незаметно управлять тем, что тут у нас стоит. Считать, что это были последние "ошибки", как мне кажется, не стоит. Т.е. никто, включая меня, не может в такой ситуации сказать, что защищен от подобного. Я прекрасно понимаю, что меня могут вынести в любой момент. Если не уже. Если вы до сегодняшнего дня не знали того, что написано в абзаце про бэкапы, то вас тем более.

В айтишку в последние годы вкатилось большое количество людей мало что в ней понимающих да и не сильно желающих что-то понимать. Судя по некоторым скринам, выложенным атакующими, этого сдэковского айтишника я бы постарался не взять в хелпдеск. Не говоря уже о реально айти. Но сейчас, за очень редкими исключениями, такое повсеместно везде. И даже сильно хуже.

"Работа с программным обеспечением СЗИ от НСД, СКЗИ, DLP-систем, антивирус, Формирование УКЭП, деловая переписка, консультация сотрудников в части информационной безопасности, организация доступа на удаленные ресурсы ФНС."

И он может оказаться вашим контрагентом. У которого к вам будут вопросы и необходимые для ознакомления документы.