Jump to content
автогарант Депозитарий
  • Работа-design-power-name.gif

Sign in to follow this  
Шагоход

Социальная инженерия: «Дорожное яблоко»

Top Posters


Recommended Posts

Members

Провел интереснейший эксперимент, хочу поделиться опытом, что бы люди учились на чужих ошибках. Эксперимент из области легендарной «Социальной Инженерии», метод под названием «Дорожное яблоко».

Этот метод атаки представляет собой адаптацию троянского коня, и состоит в использовании 
физических носителей. Злоумышленник может подбросить инфицированный CD, или флэш, в месте, где носитель может быть легко найден (туалет, лифт, парковка). Носитель подделывается под официальный, и сопровождается подписью, призванной вызвать любопытство. 
Пример: Злоумышленник может подбросить CD, снабжённый корпоративным логотипом, и ссылкой на официальный сайт компании цели, и снабдить его надписью "Заработная плата руководящего состава Q1 2007". Диск может быть оставлен на полу лифта, или в вестибюле. Сотрудник по незнанию может подобрать диск, и вставить его в компьютер, чтобы удовлетворить своё любопытство, или просто добрый самаритянин отнесёт диск в компанию.


Теория метода

Всё это показалось мне очень интересным и было решено опробовать. Выбрал знакомую мне организацию (название которой не указано по известным причинам) и начал планирование. Решено, что это будет CD диск, на котором будет размещаться, непосредственно, само яблоко. В программной части оно представляло из себя 2 самостоятельные программы:
1. Инсталлер яблока, на который ссылался autorun.ini нашего CD
2. Само яблоко.
Как мне стало известно из предварительных исследований, во всём офисе стоит Kaspersky AntiVirus с модулем Анти-хакер и, соответственно, с встроенным фаерволлом. Т.е. вынос информации через сеть становится проблематичной задачей, решение которой было «пущено лесом». Изначально была идея ограничиться отправкой СМС на телефон содержания типа “Hello form Apple: Mission completed”, но фаерволл испортил такое удовольствие. Коли мы сами не можем отправить уведомление, придется заставить легального пользователя обратиться к нам. Решено, что яблоко не будет нести ни шпионских, ни деструктивных функций. Само Яблоко выполняло 2 функции: создавало текстовое послание на C:\ap.txt и меняло заголовки всех доступных окон и кнопок на «Смотри C:\ap.txt». В послании был текст приветствия, объяснение что и как получилось и «Для КОРРЕКТНОГО УДАЛЕНИЯ этого ПО свяжитесь с…», тем самым увеличивая шансы на обратную связь со мной легальными пользователями, под страхом деструктивных функций при не правильном удалении. Да, была создана функция корректного удаления, но на самом деле вполне можно удалить подручными средствами, не опасаясь за целостность системы =). Учитывая, что там стоит KAV, вполне вероятен был перехват функции hidden install в реестр, поэтому кроме неё сделан мгновенный принудительный запуск Яблока, хотя это и палит инсталлер. 

Практика метода

Всё это добро записано на CD-R, осталось только добавить привлекательную надпись на диск. Посоветовавшись с коллегами (благодарности им), ничего более вызывающего любопытство кроме слова «Яблоко» не придумали =). Изначально, по плану было проникнуть на территорию организации и оставить диск на подоконнике в туалете +), но надёжность этого плана оставляла большую тень сомнения. По идее, кто бы ни нашел бы диск на территории организации из персонала, диск обязательно должен быть передан системному администратору для дальнейших разбирательств (на что и рассчитано). Но на практике может быть совсем иначе… Тогда было решено пойти на хитрость и договориться с охраной организации что бы диск с яблоком передали лично в руки системного администратора с описанием того, что диск найден случайно на запланированном подоконнике =). В назначенный день я прибыл в организацию, договорился с охраной, сделал все свои дела и благополучно уехал домой, ожидать последующие несколько дней обратной связи офиса со мной. 
Увы, системный администратор не посчитал нужным связаться со мной, но я связался с ним сам и выяснил все подробности произошедшего. Как оказалось, охрана успешно передала диск системному администратору и он успешно вставил его в CD-ROM с ОС MS Windows с не отключенным автозапуском, что привело к успешному запуску инсталлятора Яблока. Но тут начались не предвиденные проблемы. Их система обнаружения вторжения(СОВ) подняла тревогу на этапе принудительного запуска Яблока и заражение системы Яблоком было предотвращено. Т.е. единственная ошибка была в использовании не безопасных алгоритмов при программировании, которые считаются «подозрительными» для СОВ.

Выводы

Хитросозданный диск попал по назначению, диск вставили в «уязвимую систему», сработал автозапуск Яблока, но системы обнаружения вторжений положили его в снег лицом…
В общем, 2 результата:
1. Сам принцип Яблока сработал, запуск его состоялся.
2. Системы обнаружения вторжений запалили Яблоко.

Заключение: если профессионально подходить к программированию Яблока, адаптированного под условия бытия жертвы, то шанс успеха весьма высок. С другой стороны, эксперимент нас многому учит, как не попасться самим на подобные уловки.

<----------------->

Публикация была в марте 2008го. Не прошло и 2 года, как из этой организации мне позвонил уже новый системный администратор и требовал объяснений и ответственности за свои поступки :) Казус заключался в том, что ни записанной идеи, ни исходников у меня не осталось и на требования «корректной инструкции» по удалению мне сказать было нечего. Ну сказал где примерно искать.
Вот так вот бывает: неожиданно потребовалось 2 года для полного выполнения задуманного ;)

Share this post


Link to post
Share on other sites
Members

Способ сработал, вот только есть одно «НО», а если бы охранник вместо того, чтоб передавать непонятный диск решил вас задержать? Нет, такую операцию нужно продумывать лучше. И еще вопрос, а через два года, что KAV стал работать хуже и пропустил вирус?

Share this post


Link to post
Share on other sites

Create an account or sign in to comment

You need to be a member in order to leave a comment

Create an account

Sign up for a new account in our community. It's easy!

Register a new account

Sign in

Already have an account? Sign in here.

Sign In Now
Sign in to follow this  

  • download(72).gif.87ef6895d8b79749f7c94990f19cd937.gif     download(72).gif.87ef6895d8b79749f7c94990f19cd937.gif

  • 2.gif

    39389961.gif

Пользователь регулярно проводит сделки через гарант сервис и имеет положительную торговую статистику на площадке. Скорее всего ему можно доверять и работать напрямую. С правилами работы через гарант вы можете ознакомится тут.
Пользователь не провел ни одной сделки через гарант. О правилах работы через гарант вы можете ознакомиться тут.
Пользователь внес страховой депозит на форуме. Является проверенным селлеров и гарантированно проводит все сделки через гарант сервис Даркнета. Подробнее о системе депозитов вы можете прочитать тут.
Пользователь не имеет обеспечительного депозита на форуме, при работе с ним не отправляйте предоплату и всегда привлекайте гаранта к сделкам. Подробнее о системе депозитов вы можете прочитать тут.
Статус пользователя "НЕ ПРОВЕРЕН" гласит о том, что он не прошел верификацию своего аккаунта в Даркнете. Верификацию можно пройти предоставив положительные отзывы и рекомендации о себе. Подробнее о том, как пройти верификацию Вы можете прочитать тут.
Статус пользователя "ПРОВЕРЕННЫЙ" говорит о том, что селлер прошел проверку своих товаров или услуг у Администрации Даркнета. Подробнее о том, как пройти проверку вы можете прочитать тут.
×