Как я заработал $50.000, перечитывая логи ( История из жизни)

SimpsoniBart

Заблокированный
Легенда
Регистрация
15.10.17
Сообщения
1,710
Симпатии
834
Автор темы #1
Обратите внимание, если Вы хотите провести сделку с данным пользователем, на то, что он заблокирован.
Хотите продолжение? Могу написать.

Отчет, которого могло бы не быть, если бы не одно НО.



Процесс отработки уже давно закончился, и все логи были отправлены в архив. Дело можно назвать достаточно успешным, ведь нам удалось поднять большую сумму денег на нем. Однако, я не мог успокоится, потому что доступ к одной из самых перспективных жертв мы так и не получили. Я потратил кучу времени на поиск подходов к его кошелькам. По нашим оценкам на бирже у него должно находиться больше 50 биткоинов, и примерно такая же сумма на холодном хранении. Но довести дело до конца у меня тогда не получилось, и я забросил попытки отработать его.

Как изначально велась атака
В ходе атаки я собрал много информации о его деятельности в сети и следил за всеми его аккаунтами в социальных сетях, пытаясь найти хоть малейший шанс, который позволил бы приблизиться к цели. Его основной деятельностью был трейдинг, именно с помощью него он зарабатывал себе на безбедную жизнь. К сожалению, других его интересов или увлечений найти не удалось. Почему к сожалению? Да потому что любые разговоры о трейдинге и финансах с незнакомцами подобные люди ведут крайне неохотно.

Я решил рискнуть и взяться за него, потому что это была крайняя жертва на отработке в том цикле. Первостепенная задача была в том, чтобы попасть к нему на машину. Печально получится если у него стоит дополнительная защита на вход на биржу и на вывод средств, пути обхода которой надо было еще придумать. Да и глупо рассчитывать, что удастся сразу попасть на его основную машину, с которой идет управление финансами. Поэтому в атаках на прошаренных держателей крипты попадание в систему зачастую не самый сложный этап, если уметь использовать социальную инженерию.

Понимая, что в этом конкретном случае, в силу недостаточности информации о нем, действуя через СИ, подобраться к нему будет сложно, я решил проявить оригинальность и действовать издалека. У него было 2 группы, посвященные трейдингу. Кстати, в основном благодаря им удалось оценить его сбережения. Вообще, анализируя информацию о нем у меня создалось впечатление, что его жизнь — один большой трейдинг. Для составления стратегии отработки жертвы важно собрать как можно больше данных о ней, а лишнюю информацию о себе он словно удалил, или намеренно никогда не публиковал. Никакой информации старше 2х лет о нем найти не удалось.

Возвращаюсь к его группам: первая была открытая, в которой он делился основами трейдинга для начинающих и выкладывал полезные материалы по теме, а вторая закрытая группа с сигналами по криптовалютам, вступление в которую стоило денег. Первая группа ему нужна была для того, чтобы подогревать интерес к приватной группе, поэтому периодически он бесплатно выкладывал туда свои приватные сигналы. Модель в принципе понятная, а что обычно бывает в таких небольших группах? Правильно, конкурсы и реклама. Хорошая реклама репутации группы не повредит, так еще за нее и деньги получить можно, а конкурсами можно привлечь новых людей к себе в группу. А еще лучше конкурс-реклама (конкурс оплаченный кем-то).

Поэтому я решил купить у него проведение конкурса. Многие, наверное, еще не понимают, что мне это вообще даст. Устраивайтесь поудобней, сейчас я расскажу, что за спектакль мы разыграли, благодаря которому удалось получить доступ к системе.

Реклама с “внезапными” трудностями
Всем известно, что в стрессовых ситуациях способность человеком принимать взвешенные решения сильно падает. Хоть мне и не удалось собрать много информации о нем, я точно знаю, что он — человек, а значит в критических ситуациях может принимать опрометчивые решения. Значит надо создать такую ситуацию, когда ему нужно будет принимать критические решения быстро, и использовать ее для атаки. Такой ситуацией может стать, например, неожиданная трудность с конкурсом.

План такой: разработать ПО, договориться с ним о розыгрыше пятидесяти копий через его публичную группу и сымитировать трудности с активацией ПО у победителей в самый неподходящий момент. И когда к нему посыпятся жалобы, он в спешке начнет думать, как избежать негативных отзывов в группе и, само собой, напишет мне, чтобы я разобрался с кодами из розыгрыша. Тогда я скажу, что, походу, левые коды дал, и надо новые генерировать, но я сейчас не за компом, и ему надо самому скачать генератор ключей и выпустить новые. Будет ли человек в здравом уме качать непонятное ПО на комп для выпуска ключей — вряд ли, а будет ли он это делать, если у него конкурс в его же группе трещит по швам — возможно.

Посоветовавшись с программистом, решено было создать программу для оповещения о резких изменениях курсов криптовалюты по заданной паре. Она и в тему крипты вписывается, да и делать ее, как он сказал, не долго. И вправду, рабочую программу я получил уже через пару дней. К ней шла маленькая программа для генерации ключей, без которых основная программа не запустится. Сама программа была на высшем уровне, в меню можно было настраивать кучу параметров оповещений, выбрать интересующие пары и много других полезностей, к тому же все это было в приятном интерфейсе.

Получив на руки программу я сразу связался с жертвой и начал договариваться о конкурсе. Я сказал, что это платная программа, которая еще не анонсирована на большом рынке и за проведение ее розыгрыша я готов был доплатить. Первым делом он захотел посмотреть на программу лично. Я так погряз в планировании продолжения атаки, что практически перед самой отправкой заметил, что можно попробовать вшить RAT в его демонстрационный образец, что я и сделал. Было бы забавно, если бы уже сейчас мне удалось получить доступ к его основной системе на этом шаге, но попытаться стоило, тем более крипт не такой дорогой.

Я сбросил ему нашу программу с валидным ключом к ней (немного переработанную под демонстрационный вариант, чтобы он не разыграл версию с ратом). Где-то через полчаса-час он запустил ее. Что я обнаружил в рате — чистую, только что установленную систему. То есть для запуска одной только программы он установил себе целую отдельную виртуальную систему (которую, скорее всего, потом удалил, потому что RAT скоро ушел в offline навсегда). Что-то подобное я и ожидал. Хотя, это мне же в плюс: ему на установку время нужно, которого в спешке у него явно не будет.

Программа ему понравилась и мы договорились о сумме сотрудничества, которая была не очень большая. Что же, маленький успех! Конкурсу быть. Я придумал из головы 50 кодов, которые, само собой, были не рабочими и сбросил ему с чистой версией программы, для розыгрыша. Осталось только подождать начала конкурса, который состоялся через неделю.

Отправлялась чистая версия, потому что если крипт спадет и антивирусы начнут ругаться на программу, то вся задумка рухнет. Тем более это розыгрыш в открытой группе, а это, сами понимаете, далеко не закрытый клуб биткоин миллионеров, поэтому рисковать попусту не решился.

В день проведения конкурса, ближе к вечеру опубликовали результаты. Как вы думаете, через сколько он написал нам с претензией? — Уже через 12 минут. Он скинул фрагменты беседы из нескольких чатов, где люди жалуются, что код не подошел и попросил разобраться. Тут я отвечаю, что не те коды скинул походу, и компа под рукой нет, да и вообще я в командировке, поэтому сделать не могу ничего. После 2–3 минутной словесной разборки и обвинений, я “нахожу компромисс” и готов отправить ему программу для генерации ключей, чтобы он создал новые ключи людям. У меня уже была готова версия генератора, склеенная с RAT, так как готовиться всегда предпочитаю заранее. Программу залил на файлообменник и сбросил ему линк, якобы мне её так разработчик отправил.

Наш марафонец через 4 минуты отображается в окне рата. Это очень хороший знак! Потому что за 4 минуты он новую систему накатить точно не успел бы, а значит мы возможно попали к нему… Ну мечтать еще рано, надо проверить все, чем я сразу же и занялся.

Первый шаг сделан, мы на машине
Попав на машину я сразу начал перерывать файловую систему в поисках доступов. Только чуда не случилось, я не нашел ничего интересного. Посмотрев на установленные программы и компоненты я быстро понял, что это была все еще виртуальная система, но уже не чистая, а используемая для сторонней работы. Причем машину он настроил основательно, весь трафик шел через тор, а других устройств в локальной сети не было. Виртуалка для мусора? — Возможно.

В принципе, на этом моменте его отработка по большей части зашла в тупик. Я подумал, что будет проще за кого-то другого приняться, чем биться головой о его защиту, с концепцией которой он явно знаком. И, напоследок, все же закинул ему keylogger, лог с которого исправно писался с неделю.

Как оказалось, эта виртуалка у него часто запущенна в фоне. Под конец мы с командой просмотрели все логи, а там даже email не засветился ни разу. Так на биржу не попасть.

Поэтому было принято решение оставить эту цель в покое.

Очень обидно, что пришлось оставить его отработку тогда. Потому что получилась бы красивая атака с нестандартным подходом. Я получаю удовольствие не столько от вывода больших сумм, как от осознания, что я проделал хорошую работу и смог обойти продуманную защиту. Для меня это была не просто мимолетная отработка, а я смог полностью погрузился в процесс, придумать новую схему атаки, добраться до его рабочей виртуалки. Как мне тогда казалось, все это было безрезультатно.

Но на то что я наткнулся спустя месяцы, заставило меня думать иначе…




 

TEmerlan32232

Заблокированный
Регистрация
21.04.18
Сообщения
22
Симпатии
2
#2
Обратите внимание, если Вы хотите провести сделку с данным пользователем, на то, что он заблокирован.
годно
 

Sn00pY

Бывалый
Регистрация
06.08.16
Сообщения
36
Симпатии
17
#3
Умеешь заинтересовывать. Выкладывай продолжение.
 

oboygott14

Местный
Регистрация
05.05.18
Сообщения
80
Симпатии
40
#4
Прочитал, хорошо всё описал, давай пиши продолжение) :sisadmin:
 

Emerald

Местный
Регистрация
27.06.18
Сообщения
64
Симпатии
95
#5
Давай продолжения срочнооооо! <3
Хочу прочитать дальше,так как сам занимаюсь скамом и фишем для меня это очень интересно ибо понимаю тебя в полной мере )
Почему ты ещё не легенда? BibleThump
 

SimpsoniBart

Заблокированный
Легенда
Регистрация
15.10.17
Сообщения
1,710
Симпатии
834
Автор темы #6
Обратите внимание, если Вы хотите провести сделку с данным пользователем, на то, что он заблокирован.

serious.zzz

Новорег
Регистрация
30.06.18
Сообщения
6
Симпатии
0
#7
Неплохо, давай продолжение)
 

oboygott14

Местный
Регистрация
05.05.18
Сообщения
80
Симпатии
40
#8
Хорошо, ожидаю. :sisadmin:
 

SimpsoniBart

Заблокированный
Легенда
Регистрация
15.10.17
Сообщения
1,710
Симпатии
834
Автор темы #10
Обратите внимание, если Вы хотите провести сделку с данным пользователем, на то, что он заблокирован.

SimpsoniBart

Заблокированный
Легенда
Регистрация
15.10.17
Сообщения
1,710
Симпатии
834
Автор темы #12
Обратите внимание, если Вы хотите провести сделку с данным пользователем, на то, что он заблокирован.

SmokeScreen

Новорег
Регистрация
22.11.17
Сообщения
8
Симпатии
17
#13
Черт возьми, это самый интересный рассказ про хакинг, который я когда-либо читал! Очень увлекательно пишешь) Тебе можно книги спокойно писатьOhMG
 

3ay4ik

Продаю ключи стим за 1 рубль
Регистрация
22.04.18
Сообщения
1,113
Симпатии
578
#14
Обратите внимание, если Вы хотите провести сделку с данным пользователем, на то, что он заблокирован.

3ay4ik

Продаю ключи стим за 1 рубль
Регистрация
22.04.18
Сообщения
1,113
Симпатии
578
#15
Обратите внимание, если Вы хотите провести сделку с данным пользователем, на то, что он заблокирован.

Khight of Blood

Заблокированный
Регистрация
09.07.18
Сообщения
34
Симпатии
23
#16
Обратите внимание, если Вы хотите провести сделку с данным пользователем, на то, что он заблокирован.
Давай продолжения срочнооооо! <3
Хочу прочитать дальше,так как сам занимаюсь скамом и фишем для меня это очень интересно ибо понимаю тебя в полной мере )
Почему ты ещё не легенда? BibleThump
наверное потому что он копипастер , который на большее не способен? RoflanEbalo
 
Сверху