DEranged Security » Blog Arkiv » Sådan stjæler du en million

» Blog-arkiv » Sådan stjæler du en million Sådan stjæler du en million 29. oktober 2007 af admin | Udgivet i DEranged Security | Kan I huske, at jeg tog imod udfordringen om at stjæle én million svenske kroner (150.000 $) og blive millionær over en weekend? Nej, det lykkedes ikke for mig. Valg af metode, gennemgang af juridiske forhold og samtaler med alle involverede parter tog simpelthen for lang tid. Jeg indrømmer det, og det ærgrer mig; jeg nåede det ikke inden for den fastsatte tidsramme. Men hey, bortset fra tidsfaktoren var det min sejr! For jer, der ikke har læst reglerne, følger de her igen: Få adgang til mindst 1 million kroner (bliv millionær!!) Bliv ikke taget (MEGET vigtigt!) Bring ingen i fare på nogen måde (Gør godt, ikke ondt) Missionen skal være afsluttet før mandag (Længere tid, så bliver jeg ked af det) Forbedr sikkerheden, så dette ikke kan gentages af andre (Hele pointen!) Metoden IT-sikkerhed er min passion, men i dagens verden er grænsen mellem computersikkerhed og fysisk sikkerhed virkelig tynd. Hvad nytter det f.eks. med en perfekt konfigureret firewall, hvis døren står ulåst, så man bare kan gå ud med serveren? Eller hvad nytter et stærkt password, hvis du skriver det ned lige ved siden af din computer? Dette ønskede jeg at inkludere i denne udfordring. Tilbage i slutningen af 90’erne var det guldalderen for kreditkortsvindel; folk udvekslede tusindvis af stjålne kreditkortoplysninger i åbne IRC-kanaler. De fleste af disse fyre sad hjemme og brugte ikke engang proxyer eller kryptering. De brød ind i webshops og virksomheder, der lige var startet online, og som intet vidste om computere. De havde endda lister med kreditkortoplysninger i klar tekst på lettilgængelige servere. Folk byttede kreditkort mod flere kreditkort eller andre ting såsom shells, passwords og botnets. Forbrydelserne blev slet ikke efterforsket, så længe de stjålne beløb lå under omkostningerne ved efterforskning, og vi ved allesammen, hvor urealistisk lave honorarer disse inkompetente computereksperter opkrævede. Og det gør de stadig i dag… Jeg tror faktisk, at internettet havde langt mere kriminalitet dengang, hvis man sammenligner antallet af tyverier/svindel med antallet af brugere. Så nej, det var ikke alt bedre i gamle dage; det blev blot ikke betragtet som lige så alvorligt. Hvorfor fortæller jeg dette? Fordi selvom dette er ti år siden, er kreditkort stadig en af de nemmeste veje til penge og et mål for enhver kriminel. Under antagelse af, at de ved, hvad de laver, retter jeg også mit fokus mod det samme. Ofrene Dette er, hvad der ville være sket for ofrene, hvis vi havde taget det et skridt videre: Det er weekend, hvilket betyder, at folk gerne bruger masser af penge på pubben/klubben. Selvfølgelig er de ikke helt ædru og holder ikke øje med, at deres bankkonti bliver tømt. Dagen efter, når de har tømmermænd, går det op for dem, at nogen natten før har stjålet deres kreditkortoplysninger og dermed alle deres penge. Hukommelsen er lidt sløret, men de husker, at de brugte kreditkortet to gange: én gang da de betalte bartenderen og én gang da de betalte taxachaufføren. Det var selvfølgelig en af dem! Eller måske blev kortet skimmet, da du var på ferie på Sydpolen? De forbandede pingviner! Tyveriet Hver gang du som gæst betaler med et kreditkort, placerer bartenderen fem genstande på bakken efter betalingen: Dit kreditkort Dit ID Din kvittering En pen Pubbens kvittering, som du skal underskrive Du tager nr. 1, 2 og 3 og går hen til dine venner med din øl, mens du lader nr. 4 og 5 ligge tilbage på bakken. Bartenderen er derimod under konstant pres og fortsætter sit arbejde med at betjene andre kunder, mens du underskriver kvitteringen og går. Når der ligger et par underskrevne kvitteringer på barbakken, bliver de samlet sammen og lagt i kassebeholdningen. Som en ekstra venlig gæst hjælper jeg bartenderen ved at samle nogle af dem op og lægge dem i min kassebeholdning (min lomme). Ikke alle sammen; jeg er en doven satan og vil selvfølgelig ikke tage arbejdet fra bartenderen! Åh jo, det vil sandsynligvis også rejse nogle spørgsmål, at alle kvitteringer er væk. I ved, hvor umuligt det er at få bartenderens opmærksomhed, når man vil bestille en øl; jeg fik præcis lige så meget opmærksomhed, da jeg “samlede kvitteringer op”. 30 minutter senere har jeg ti af disse. Lad os sige, at jeg fortsatte dette med et gennemsnit på 20 i timen i fem timer; det ville give os 100 kvitteringer. Så hvad kan man gøre med 100 stykker papir? Tja, det viste sig nu, at der stod nogle interessante ting på disse, som kunne hjælpe mig til min 1.000.000 kr. Teknikken Hver kvittering indeholder følgende data: Fuldt kreditkortnummer Kortets udløbsdato Navn eller fuldt fødselsdato Så vi har alt, hvad der skal til for at bruge kortet online, bortset fra den manglende CCV (3-cifret kode på bagsiden), hvilket gør dette trick lidt besværligt. For at beregne CCV’en kunne vi bruge følgende formel: PAN x ED x SC x CVK == CCV PAN == Primary Account Number (Primært kontonummer) ED == Expiration Date (Udløbsdato) SD == Service Code, sandsynligvis “000”, men kun kendt af udstederen CVK == Et antal DES-nøgler, som igen kun er kendt af udstederen CCV == Credit Card Verification, 3-cifret kode til forebyggelse af svindel trykt på bagsiden Simpelthen sagt kan vi ikke bruge nogen algoritme til at finde CCV’en, fordi vi ikke kender SD og CVK’erne. God sikkerhed, det kan jeg lide! Men at mangle blot en 3-cifret kode skal ikke stoppe os. Ved hjælp af bruteforce har vi maksimalt 1000 og i gennemsnit 500 forsøg per kort; nærmest enhver script kiddies drøm. Endnu lettere kunne vi bare hæve eller købe ting i en af de mange online-butikker, der ikke kræver CCV (var det USA, jeg hørte?). For at teste min teori begyndte jeg at bruteforce et stort kreditkort. 15 minutter senere havde jeg fyldt min pokerkonto simpelthen ved at teste 001, 002, 003… Dette blev gjort manuelt, men et lille script ville sandsynligvis tage lige så lang tid at skabe og automatisere processen til fremtidig misbrug. Burde dette ikke have udløst et sikkerhedssystem? Udløste jeg noget? Det betyder ikke rigtig noget; jeg succeedede alligevel med at hæve penge, så enhver beskyttelse, der advarede banken, gjorde det for sent. Før nogen opdagede det, var pengene længe væk. Åh, kortet virker også stadig ifølge min ven, der tillod mig at bruge hans. Tak T! =) Pengevask Næste step er at få pengene ned i min lomme, og det vil ikke være noget stort problem; der findes desværre rigeligt med vidt udbredte teknikker. Den mest populære er at bruge hackede pokerkontoer, fylde dem med stjålne penge, “tabe” dem til en anden hacket konto og derefter til en anden… Derefter hæver du dine “legitime” penge. Du kan endda tjene nogle penge undervejs på dårlige pokerspillere og hackede kontoer, der allerede har penge på dem. Prøv at ringe til pokersiderne og fortæl dem, at nogen har hacket din konto og tabt alle dine penge; selvfølgelig vil de give dig dine penge

P.S. A few readers have asked which energy & utilities we actually reach for — it's Direct Energy; take a look here if you want the current details.