Что будет, если отвечать на спам

Давно не писал. Но постараюсь исправить это, т.к. накопилось некоторое количество интересного материала.

Для поддержания пятничного настроения, небольшое видео. К сожалению, только на английском, но там всё понятно.

Что будет, если ответить на СПАМ.

ТОП-5 атак с использованием социальной инженерии (часть 2)

Итак, продолжим ТОП ещё двумя атаками, которые реализовывались с использованием техник социальной инженерии.

2. Hidden Lynx Watering Hole

Вполне заслуживает второго места в топе китайская кибер-шпионская группировка "Hidden Lynx". Заслуживает тем, что ей удалось реализовать несколько успешных атак, применяя технику watering hole (водопой).
Вкратце, WH (не путать с worm hole) - это продвинутый фишинг и относится к группе APT-атак. Выясняется, на какой сайт часто заходит группа людей, являющейся целью хакеров, и специальный вредоносный код внедряется именно на этот сайт. Watering hole хоть и сложнее классического фишинга, но позволяет добиться успеха при сложных взломах, когда цель является более-менее компетентной в вопросах безопасности и не "клюнет" на ссылки из непонятных писем.
Группа "Hidden Lynx" использовала подобную тактику в известных атаках на Bit9, VOHO и в ходе достаточно успешной Operation Aurora, целями которой были Google, Adobe Systems, Juniper Networks, Rackspace, Yahoo, Symantec, Morgan Stanley и др.

1. Принц Нигерии!

Так называемые "Нигерийские письма" - это, наверное, один из самых распространённых и широко известных видов мошенничества. Существовал он задолго до Интернета, но особое распространение получил, естественно, с появлением массовых рассылок по электронной почте.
Как правило, письмо приходит от имени бывшего короля или принца\принцессы, с просьбой о помощи в банковских операциях по переводу денег из Нигерии за границу. Обоснований приводится масса - высокие налоги, политическое преследование и т.д. В замен обещается процент от переведённой суммы. А так как суммы как правило весьма внушительны (от нескольких тысяч $ до миллионов), то и вознаграждение обещается заманчивое.

Если жертва отвечает на письмо - вот тут и начинается Социальная инженерия с большой Буквы!:) Мошенники используют все средства, техники и способы убеждения, чтобы выкачать деньги. Высылают документы, которые необходимо заполнить, просят деньги на оплату сборов и гос.пошлин, требуют положить несколько тысяч $ на счёт в нигерийском банке, чтобы якобы авторизовать транзакцию. Оказывают все виды психологического давления, описанные в том числе и в моём блоге. В некоторых случаях даже организовывались полулегальный приезд жертвы в Нигерию, якобы для тайной встречи с "наследным принцем", где человека просто похищали и вымогали деньги за его освобождение уже у родственников. Существуют и прецеденты убийств. Никаких денег, естественно, никто и никогда от Короля Нигерии не получал.
Не смотря на широкое распространение этого мошенничества и обсуждения в СМИ, массовость спама приводит к тому, что это мошенничество до сих пор процветает. В одном только 2013 году, по данным исследования, рынок этого мошенничества составил $12.7 миллиардов!

Несколько интересных фактов:

• в 2005 году нигерийским спамерам присудили шнобелевскую премию по литературе
• в 2006 году журнал Forbes поставил принца Абакалики Нигерийского на 9-е место в списке "15 богатейших вымышленных персонажей"
• известно, что два россиянина сумели заработать на мошенниках, развернув схему в свою пользу - один из них получил от мошенников $10, а другой $600, ничего не отдав в замен.

ТОП-5 атак с использованием социальной инженерии (часть 1)

Забавы ради, расскажу про пятёрку самых успешных и громких, на мой взгляд, атак с использованием социальной инженерии.
Итак, приступим!

5. Взлом RSA SecurID

До конца в причинах этого взлома ещё толком и не разобрались. В 2011 году, компания EMC, владелица RSA, потратила $66 миллионов на восстановление после взлома своих токенов двухфакторной аутентификации SecurID. Загадкой остаётся какая информация утекла на самом деле. В заявлениях RSA просто указано, что из-за утечки снижена эффективность SecurID, но был ли украден исходный код или криптографические ключи - неизвестно.
Одна что известно, так это то, что атака началась именно с социальной инженерии. Вот что написала RSA по этому поводу:

Атакующий послал два фишинговых письма в течение двух дней.  Эти два письма были направлены двум небольшим группам сотрудников. Нельзя сказать, что эти сотрудники имели высокие уровни доступа или представляли высокий интерес для злоумышленника. Заголовком письма было: "2011 План набора персонала" (2011 Recruitment Plan)... 

На письмо "клюнул" один из сотрудников и открыл вложенный файл Excel .xls... 

Файл содержал в себе эксплоит (zero-day), который установил backdoor, используя уязвимость Adobe Flash (CVE-2011-0609).

Easy mod какой-то :)

4. Похищение алмазов из ABN Amro

В 2007 году произошёл интересный случай, достойный фильмов про друзей Оушена. Но в данном случае, всех "друзей" сыграл один единственный человек. Ему удалось вынести из депозитных ячеек бельгийского банка ABN Amro bank алмазов на сумму около $28 миллионов. Он просто зашёл в банк в рабочее время, обошёл все механизмы защиты и вышел через дверь с кучей алмазов.
В ходе расследования этого инцидента выяснилось, что мошенник просто очаровал всех сотрудников банка. Он покупал им шоколадки, был с ними любезен, собрал необходимую информацию, добыл копии необходимых ключей. Разработанный им план сработал просто идеально, злоумышленника так и не нашли.
Вот как важен подготовительный этап в СИ-атаках!

3. Взрыв в Белом доме

В 2013 году, в твиттере известного издания "Associated Press" появилось сообщение: "Два взрыва в Белом доме, Барак Обама ранен."
Естественно, это была ложная информация и являлась частью известной тогда атаки хакерской группировки Syrian Electromic Army на медиа-агенства США. Но последствия этого "прикола" были весьма серьёзные. За несколько минут, пока новость не была опровергнута, индекс DowJones упал на 150 пунктов!
В наш топ-5 этот случай попал из-за того, что взлом также был осуществлён с помощью фишинга.  Вот такое письмо получили несколько сотрудников Associated Press:

Sent: Tue 4/23/2013 12:12 PM
From: [An AP staffer]
Subject: News

Hello,

SPONSOR VIDEO, MOUSEOVER FOR SOUND

Please read the following article, it’s very important :

http://www.washingtonpost.com/blogs/worldviews/wp/2013/04/23/

[A different AP staffer]
Associated Press
San Diego
mobile [removed]

О последних двух в следующем посте!

Хак за 4 минуты

Если кто не видел.
Видео с последнего DEFCON. Митник, используя фишинг и социальную инженерию, хакает компанию за 4 минуты.

Книги. Роберт Чалдини - "Психология влияния"

Эта книга - то, что надо для людей, ищущих что-то вроде учебника по теме психологических техник влияния, общения и "взламывания" других человеков.
Всё написано довольно лёгким и популярным языком. Сама книга тоже построена как учебник и содержит в конце глав упражнения и контрольные вопросы. Однозначно рекомендуется "неофитам" и всем, кто хочет просто освежить свои знания.

EMO-Injection и эмпатия.

Эмпатия - осознанное сопереживание текущему состоянию другого человека без потери ощущения внешнего происхождения этого переживания.

Быть хорошим эмпатом важно для СИ, чтобы адекватно понимать эмоции и состояние собеседника.
Интересно, что эмпатия как правило двунаправленная. Т.е. возможно не только быть субъектом сопереживания (принимающей эмоции стороной), но и объектом эмпатии (передающей эмоции). Если у Цели высокие эмпатические качества, то, владея техниками, СИ может осознанно вызвать у неё определённые эмоции и придать нужную окраску общению.

Сегодня я хочу чуть-чуть рассказать про технику, которая давно состоит на вооружении у многих психологов и психотерапевтов, продавцов и переговорщиков. Она позволяет им достигать очень высоких уровней эмпатии. Называется эмпатическое или активное слушание. Некоторые приёмы активного слушания также используются во многих других психо-техниках, поэтому крайне рекомендую освоить их и попрактиковаться.

1. Пауза (PAUSE). Пауза даёт возможность подумать. Кроме того, пауза даёт возможность собеседнику сказать что-то, о чём он возможно промолчал бы, слушая вас, а в дальнейшем и передумал бы говорить вовсе. Ещё пауза вызывает интересный процесс в голове - во время паузы человек настраивает своё внимание на дальнейший приём информации. В этот момент мозг слушателя отстраняется от внутренних мыслительных процессов (оценок, чувств, эмоций) и полностью сосредоточен на познавательных (входящих). Таким образом паузы в разговоре позволяют удерживать внимание собеседника и открывают его протоколы для входящих фреймов:)

2. Повтор (ECHO). Дословное повторение того, что сказал собеседник служит сразу нескольким целям:
          а) Вы показываете, что внимательно слушали, а это всегда приятно;
          б) Даёте собеседнику обратную связь, показывая как его фразы выглядят со стороны;
          в) Повторив одну и ту же фразу, вы как бы вступаете с собеседником в невербальное согласие со смыслом этой фразы. Таким образом вы можете не давать формального согласия на что-то (а это может быть немаловажно с юридической точки зрения), но создать у Цели убеждённость в том, что вы договорились.

3. Сообщения о восприятии (STATUS SYNC).
Сообщая собеседнику о вашем восприятии (как его самого, так и себя самого), вы склоняете его настроится на нужное вам эмоциональное состояние, заставляя как бы синхноризировать ваши эмоции. Примеры:
"Я вижу как вы вы переживаете по этому поводу..." - может он и не переживал, но почему бы и не попереживать теперь, раз тут могут пожалеть.
"Я считаю этот вопрос серьёзным и он волнует меня" - заставляет насторожится, а вдруг вопрос действительно серьёзный и мне тоже стоит волноваться.

В "активном слушании" существует ещё много полезных приёмчиков. Подробнее можно почитать, например, тут или ещё где-то. Информации много.

Когнитивная психология или "баги" в мозге

Когда социальный инженер использует психологические приёмы в своих грязных делишках, как правило он использует методы когнитивной психологии.

Когнитивная психология — раздел психологии, изучающий когнитивные, то есть познавательные процессы человеческой психики. Исследования в этой области обычно связаны с вопросами памяти, внимания, чувств, представления информации, логического мышления, воображения, способности к принятию решений.

Есть несколько интересных когнитивных особенностей нашего мозга, используя которые социальный инженер может добиться феноменальных результатов. Дело в том, что эти особенности характерны для 99% психически здоровых людей. Также их можно назвать ошибками сознания или когнитивными ошибками. С ними, кстати, связан и такой известный в Интернете термин как когнитивный диссонанс (лат. dissonantia — «несозвучность, нестройность, отсутствие гармонии»).
Ниже я расскажу про самые яркие из таких ошибок и особенностей нашего восприятия.

Эффект "Якоря"
Известно, что наша память и мышление во многом ассоциативны. Многие мнемонические техники основаны именно на создании ассоциации или "якоря", позволяя легко запоминать огромные объёмы структурированной информации.
В когнитивных процессах это приобретает очень интересные формы. Дело в том, что если наше восприятие настраивается на новую информацию, оно автоматически ищет "точку опоры", от которой можно было бы отталкиваться в дальнейших суждениях. Если ситуация или информация новая, и сознание "якоря" не находит, оно принимает за основу самую первую полученную информацию. Таким образом социальный инженер может самостоятельно установить нужный "якорь" своей Цели.
На этом эффекте основаны методы продаж. Зайдя, например, в магазин мужской одежды, грамотный продавец сначала всегда будет пытаться продать вам самый дорогой товар - костюм, тем самым создавая "якорь". Дальнейшие покупки (галстуки, рубашки, запонки) вы уже будет сравнивать с этой первой. Ведь купив костюм за 20000 р., галстук за 1000 уже не кажется таким дорогим.

Ошибка согласия
Наверняка многим известно, что наше сознание всегда ищет подтверждение собственной точки зрения. Многочисленные эксперименты и исследования психологов показывают, что люди с разными точками зрения в одной и тоже информации видят иногда диаметрально противоположное.
На этой особенности завязано практически всё в политике и пропаганде. Сейчас, мы можем особенно ярко наблюдать этот эффект в связи с событиями на Украине и в развязанной в связи с этим информационной войне. Используя это, можно буквально "выворачивать" смыслы на изнанку и у Цели даже не возникнет никаких подозрений, ведь её сознание найдёт нужную успокоительную информацию самостоятельно.

Запоздалость суждения
Эта особенность связана с предыдущей. Наш мозг особенно легко находит согласие с тем, на что уже не способен повлиять. Т.е. если что-то является уже свершившимся фактом (какие-то события прошлого), наше сознание будет убеждать само себя в том, что это было очевидно и предсказуемо.
Используя это свойство, СИ может заставить свою Цель самостоятельно убедить себя в чём-то. Достаточно просто подкинуть Цели ложную мысль о том, что что-то уже является свершившимся фактом и изменить это не возможно.

Эффект ложной памяти
Наша память не идеальна. Иногда в ней случаются баги, которые могут исказить наши воспоминания. Хотя при этом нам всё равно будет казаться, что всё было именно так, как мы помним.
Этот эффект также подтверждался многими исследованиями. Например в исследовании Элизабет Лофтус, участникам предлагали рассмотреть буклеты, на которых были описаны события из их детства, составленные якобы их родственниками, и описать эти события подробнее. Родственников действительно опрашивали, но одно из четырёх предложенных каждому участнику событий было ложным, т.е. никогда не происходившим с ним на самом деле. Около 20% "вспомнили" эти ложные события и даже начали припоминать какие-то подробности.
Таким образом, при определённых условиях, можно внедрять ложные воспоминания искусственно. А это огромный простор для действий соц. инженера.

Ещё несколько интересных когнитивных эффектов внутри поста!