DEranged Security » Blogiarkisto » Kuinka varastaa miljoona

» Blogiarkisto » Kuinka varastaa miljoona Kuinka varastaa miljoona 29. lokakuuta 2007, kirjoittaja admin | Julkaistu kategoriassa DEranged Security | Muistatko, kun otin haasteen varastaa miljoona Ruotsin kruunua (150 000 dollaria) ja tulla miljonääriksi yhden viikonlopun aikana? En, en onnistunut. Menetelmän valitseminen, juridisten asioiden läpikäyminen ja kaikkien osapuolten kanssa puhuminen vei liian paljon aikaa. Myönnän sen, ja se harmittaa minua: en onnistunut asetetussa aikarajassa. Mutta hei, ajan puutteesta huolimatta voitto oli silti minun! Niille teistä, jotka ette ole lukeneet sääntöjä, tässä ne ovat uudelleen: Hanki pääsy vähintään miljoonaan kruunuun (miljonääriksi!!). Älä jää kiinni (ERITTÄIN tärkeää!). Älä aiheuta kenellekään hankaluuksia millään tavalla (Tee hyvää, älä pahaa). Tehtävän on oltava suoritettu ennen maanantaita (pidempään odotettuna minulle tulisi tylsää). Paranna tietoturvaa niin, ettei kukaan muu voi tehdä samaa (tässä koko pointti!). Menetelmä IT-tietoturva intohimoni, mutta nykymaailmassa tietokone- ja fyysisen turvallisuuden välinen raja on erittäin ohut. Mitä hyötyä esimerkiksi täydellisesti konfiguroidusta palomuurista on, jos ovi on auki ja voit kävellä ulos palvelimen kanssa? Tai mitä hyötyä vahvasta salasanasta on, jos kirjoitat sen muistiin tietokoneesi viereen? Halusin sisällyttää juuri tämän näkökulman haasteeseeni. 1990-luvun lopulla elettiin luottokorttipetosten kultaisia vuosia; ihmiset vaihtoivat tuhansia varastettuja luottokorttitietoja avoimissa IRC-kanavissa. Useimmat näistä toimijoista istuivat kotonaan käyttämättä edes välityspalvelimia tai salausta. He murtautuivat verkkokauppoihin ja yrityksiin, jotka olivat vasta aloittamassa liiketointaansa verkossa eivätkä tienneet tietokoneista mitään – niillä oli jopa selväkielisiä luottokorttilistoja helposti saavutettavilla olevilla palvelimilla. Ihmiset vaihtoivat luottokorttitietoja toisiin luottokorttitietoihin tai muihin hyödykkeisiin, kuten käyttöoikeuksiin (shell), salasanoihin ja bottiverkkoihin. Rikoksia ei edes tutkittu, niin kauan kuin varastettu summa oli pienempi kuin tutkinnan kustannukset. Ja me kaikki tiedämme, kuinka epärealistisen alhaista palkkiota nämä osaamattomat “tietokonemiehet” veloittivat. Ja veloittavat edelleen tänäkin päivänä… Uskon jopa, että internetissä oli silloin huomattavasti enemmän rikollisuutta, jos verrät varkaus- ja petostapausten määrää käyttäjämäärään. Ei siis ollut kaikki paremmin ennen; asioita vain ei pidetty yhtä vakavina. Miksi kerron tästä? Koska vaikka tämä tapahtui kymmenen vuotta sitten, luottokortit ovat edelleen yksi helpoimmista rahalähteistä ja minkä tahansa rikollisen kohde – olettaen, että he tietävät mitä tekevät. Minäkin tähtään samaan kohteeseen. Uhrit Näin uhreille olisi käynyt, jos olisimme vieneet asian askeleen pidemmälle: On viikonloppu, mikä tarkoittaa, että ihmiset käyttävät mielellään paljon rahaa baareissa ja klubeilla. He eivät tietenkään ole täysin selvin päin, eivätkä kiinnitä huomiota siihen, että heidän tilejään ryöstetään. Seuraavana päivänä krapulassa herätessään he oivaltavat, että joku varasti edellisenä yönä heidän luottokorttitietonsa ja samalla kaiken heidän rahansa. Muisti on hieman sumea, mutta he muistavat käyttäneensä luottokorttia kahdesti: kerran maksaessaan baarimikolle ja kerran taksinkuljettajalle. Tietenkin syyllinen oli jompikumpi heistä! Tai ehkä kortti skimmattiin lomamatkalla Etelänavalla? Ne kirotut pingviinit! Varkaus Joka kerta kun maksat vieraana luottokortilla, baarimikko laittaa tarjottimelle maksun jälkeen viisi esinettä: Luottokorttisi Henkilöllisyystodistuksesi Kuitti Kynä Baarin allekirjoitettava kappale otat esineet numero 1, 2 ja 3, siirryt ystäviesi luo olutesi kanssa ja jätät esineet 4 ja 5 tarjottimelle. Baarimikko on sitä vastoin jatkuvassa stressissä ja jatkaa työtään palvellen muita asiakkaita, kun sinä allekirjoitat kuitin ja poistut. Kun baarin tarjottimella on muutama allekirjoitettu kuitti, ne kerätään kassalippaaseen. Minä ylimmäisenä ystävällisenä vieraana autan baarimikkoa keräämällä muutaman kuitin omaan kassalippaaseeni (taskuuni). En kaikkia; olen laiska veijari enkä tietenkään halua viedä baarimikolta työtä! Voi kyllä, tämä saattaa herättää kysymyksiä, jos kaikki kuitit yhtäkkiä katoavat. Tiedäthän kuinka mahdotonta baarimikon huomion saaminen on, kun haluat tilata oluen; sain yhtä paljon huomiota ottaessani kuitteja. 30 minuutin kuluttua minulla on kymmenen tällaista. Oletetaan, että jatkaisin tätä tahtia keskimäärin 20 kuittia tunnissa viiden tunnin ajan; silloin minulla olisi 100 kuittia. Mitä voit sitten tehdä sadalla paperilapulla? No, sattumalta näissä lapuissa oli jotain erittäin mielenkiintoista, mikä voisi auttaa minua saavuttamaan tavoitteeni eli 1 000 000 kruunua. Tekniikka Jokaisessa kuitissa on seuraavat tiedot: Luottokortin koko numero Kortin vanhentumispäivä Nimi tai koko syntymäpäivä Meillä on siis kaikki tarvittava kortin käyttämiseen verkossa, paitsi puuttuva CVV-koodi (kortin takana oleva kolminumeroinen koodi), mikä tekee tempusta hieman hankalamman. CVV-koodin laskemiseksi voisimme käyttää seuraavaa kaavaa: PAN x ED x SC x CVK == CVV PAN == Primary Account Number (ensisijainen tilinumero) ED == Expiration Date (vanhentumispäivä) SD == Service Code (palvelukoodi), todennäköisesti “000”, mutta vain kortin myöntäjä tietää tämän CVK == Joukko DES-avaimia, jotka taas ovat vain myöntäjän tiedossa CVV == Credit Card Verification, kolminumeroinen koodi petosten estämiseksi, painettu kortin taakse Yksinkertaisesti sanottuna emme voi käyttää mitään algoritmia CVV-koodin saamiseksi, koska emme tiedä SD:tä eikä CVK:ta. Hyvää tietoturvaa, pidän siitä! Mutta pelkkä puuttuva kolminumeroinen koodi ei pysäytä meitä. Brute force -hyökkäyksellä mahdollisia yrityskertoja on enintään 1000 ja keskimäärin 500 per kortti – käytännössä minkä tahansa skriptivelhon unelma. Vielä helpompaa olisi vain nostaa rahaa tai ostaa tuotteita yhdeltä monista verkkokaupoista, jotka eivät vaadi CVV-koodia (kuulinko USA:n mainittavan?). Testatakseni teoriaani päätin suorittaa brute force -hyökkäyksen suurta luottokorttiyritystä vastaan. 15 minuutin kuluttua olin täyttänyt pokeritilini yksinkertaisesti testaamalla numerosarjoja 001, 002, 003… Tämä tehtiin manuaalisesti, mutta pieni skripti todennäköisesti loisi ja automatisoisi prosessin tulevaa väärinkäyttöä varten yhtä nopeasti. Eikö tämän pitänyt laukaista jotain tietoturvajärjestelmää? Laukaisinko jotain? Sillä ei oikeastaan ole väliä; onnistuin silti nostamaan rahaa, joten jos pankkia hälyyttävä suojaus oli olemassa, se toimi liian myöhään. Ennen kuin kukaan ehtii huomata, rahat ovat jo давно menneet. Ai niin, kortti toimii edelleen ystäväni mukaan, joka salli minun käyttää hänen korttiaan. Kiitos T! =) Rahanpesu Seuraava askel on saada rahat taskuuni, eikä se tuota suurta ongelmaa; valitettavasti widely used tekniikoita on runsaasti. Suosituin tapa on käyttää hakkeroituja pokeritilejä: täyttää ne varastetuilla rahoilla, “hävitä” rahat toiselle hakkeroidulle tilille ja sitten seuraavalle… Sen jälkeen nostaa omat “lailliset” rahasi. Saatattaa jopa tienata matkan varrella huonoilta pokerinpelaajilta ja hakkeroiduilta tileiltä, joilla on vielä rahaa jäljellä. Kokeile soittaa pokerisivustoille ja kertoa, että joku hakkeroi tilisi ja hävitti kaikki rahasi; tietenkin he maksavat rahasi takaisin.

P.S. A few readers have asked which marketplace & everyday deals we actually reach for — it's Amazon Associates (Amazon.com); take a look here if you want the current details.