O zi din viata unui hacker

ATENTIE: acesta nu se vrea a fi un ghid pentru rele practici, ci prezinta un exemplu imaginar de Social Engineering!

Am pomenit intr-un post anterior ceva legat de atacuri prin metoda Social Engineering. M-am gandit acum sa dezvolt, prin puterea unui exemplu pur imaginar.

Iacata:

Popescu este un hacker. Nu ii place sa munceasca prea mult, insa este pasionat de calculatoare si a observat, in timp, ca unele lucruri mai mult sau mai putin legale ii pot aduce un venit substantial fara prea mare efort. Acesta consta in furtul de date de la companii si tranzactionarea acestora in Dark Web. Numele sau de cod este PopescuFer!

Acum incearca sa intre in reteaua unei banci pentru a “planta” un malware ce il va ajuta la atingerea scopului sau. Dupa lungi cercetari ale site-ului bancii, vizite in persoana la unele branch-uri si chiar la sediu pentru aflarea unor presupuse informatii legate de obtinerea unui credit de nevoi personale, oferind, bineinteles, date false, a aflat numele directorului comercial. Aceasta era, de fapt, Doamna Georgescu. A inceput, astfel, operatiunea de aflare informatii despre aceasta Doamna. De pe pagina ei de Facebook nu a aflat prea multe, deoarece Doamna era destul de discreta cu viata ei personala. A postat, totusi, anumite poze cu evenimente caritabile la care, probabil, a participat sau dorea sa participe si pe care le apreciase folosind butonul Like.

Din profilul ei de Linkedin a aflat adresa de e-mail, de cand lucra in acea banca si i s-a confirmat, astfel, ca vechimea si experienta ei o transformau intr-o persoana extrem de pretioasa din punctul de vedere al informatiilor la care avea acces. Tot de acolo a aflat despre diverse hobby-uri si actiuni de voluntariat, printre care se numarau, din nou, evenimente caritabile, natura si animalele, in special pasarile. A mai vazut ca Doamna este de varsta a doua (asadar nu din generatia mai tanara, obisnuita cu gadget-urile si tehnologia, in general) dar si ca nu are cunostinte avansate de securitate IT, ci doar cunostinte de operare PC.

Astazi e ziua lui norocoasa: Doamna Georgescu a postat o invitatie la un eveniment caritabil pentru strangerea de fonduri pentru porumbeii din specia Maltez, alaturi de un mesaj: “Ne vedem diseara acolo!” Imediat, Popescu a citit toate informatiile posibile despre evenimentul respectiv: unde se tine, cati participanti sunt asteptati, care sunt invitatii speciali, ce concursuri au loc, care sunt premiile etc. A doua zi, dupa eveniment, a avut placuta surpriza sa vada un nou post al Doamnei Georgescu – o poza in care ea aparea cu un trofeu in mana. Pesemne a castigat unul din concursurile prezentate pe pagina oficiala a evenimentului. Poza era insotita de 2 comentarii, al unei alte Doamne Prietene, si un raspuns al Doamnei Georgescu. Acestea erau:

Prietena: “Felicitari, Lumi! Ai meritat din plin sa castigi! Ai fost foarte activa aseara!”

Doamna Georgescu: “Multumesc! A fost o seara senzationala! Mi-am facut atat de multi prieteni si am discutat cu atat de multa lume despre porumbeii Maltezi, ca nici nu ii mai tin minte pe toti!  🙂 .“

Analizand si contul de Facebook al Doamnei Prietene, Popescu a vazut, printre altele, o poza cu Doamna respectiva alaturi de Doamna Georgescu si 2 copii, cu comentariul: “O zi in natura alaturi de buna mea prietena Lumi si cei doi copii ai ei – Ana si Alex”.  Pesemne Doamna Prietena nu era asa discreta cu viata personala precum Doamna Georgescu.

De asemenea, pe pagina oficiala de Facebook a organizatorilor evenimentului se anuntau multumiri pentru diversi parteneri ai evenimentului si lista acestora – nume si adrese de e-mail.

In acest moment Popescu a considerat ca are destule informatii pentru ceea ce vroia sa faca. Avea malware-ul pregatit, a “scanat” intreaga retea de parteneri ai evenimentului dupa o bresa de securitate in ceea ce priveste serviciul de mail. A gasit un server de mail fara prea mari protectii al unei companii Partener si a aplicat metoda “email spoofing”. S-a folosit, practic, de acesta pentru a trimite un e-mail din domeniul firmei respective si in numele ei de pe o adresa care, practic, nu exista: popescufer@partener.ro.

A folosit, bineinteles, numele de cod in locul numelui real. 🙂

Dupa care a trecut la scrierea mail-ului. Cum suna acesta, vedem in postul de saptamana viitoare.