DEranged Security » Blog Archief » Hoe je een miljoen steelt

» Blog Archief » Hoe je een miljoen steelt Hoe je een miljoen steelt 29 oktober 2007 door admin | Geplaatst in DEranged Security | Herinner je je dat ik de uitdaging aanging om één miljoen Zweedse kronen ($150.000) te stelen en binnen een weekend miljonair te worden? Nee, het is me niet gelukt. Het kiezen van een methode, het uitzoeken van de juridische kant en het spreken met alle betrokkenen kostte te veel tijd. Ik geef het toe en het dwarszit me: ik heb het niet binnen de gestelde tijdslimiet klaargespeeld. Maar goed, afgezien van de tijd was het mijn overwinning! Voor wie de regels niet heeft gelezen, hier zijn ze nogmaals: * Krijg toegang tot minimaal 1 miljoen kronen (miljonair!!) * Word niet betrapt (ZEER belangrijk!) * Breng niemand in de problemen op welke manier dan ook (Doe goed, niet kwaad) * De missie moet voor maandag voltooid zijn (Langer en ik verveel me) * Verbeter de beveiliging zodat dit niemand anders meer kan lukken (Dat is het hele punt!) De methode IT-beveiliging is mijn passie, maar in de wereld van vandaag is de grens tussen computerbeveiliging en fysieke beveiliging erg dun. Wat heb je bijvoorbeeld aan een perfect ingestelde firewall als de deur openstaat zodat je gewoon met de server naar buiten kunt lopen? Of wat helpt een sterk wachtwoord als je het opschrijft en naast je computer legt? Dit wilde ik opnemen in deze uitdaging. Eind jaren ‘90 waren het de gouden tijden van creditcardfraude; mensen wisselden duizenden gestolen creditcardgegevens uit via openbare IRC-kanalen. De meeste van deze lui zaten thuis, zonder zelfs maar proxies of encryptie te gebruiken. Ze braken in bij webshops en bedrijven die net online begonnen, niets afwisten van computers en zelfs lijsten met creditcards in platte tekst op легко toegankelijke servers hadden staan. Mensen ruilden creditcards voor andere creditcards of voor spullen zoals shells, wachtwoorden en botnets. De misdrijven werden niet eens onderzocht zolang het gestolen bedrag lager was dan de kosten voor onderzoek, en we weten allemaal wel hoe onrealistisch laag deze incompetente computerjongens rekenden. En dat doen ze nog steeds… Ik geloof zelfs dat er op internet toen veel meer criminaliteit was als je het aantal diefstallen/fraudes vergelijkt met het aantal gebruikers. Dus nee, vroeger was niet alles beter; het werd alleen niet zo serieus genomen. Waarom vertel ik dit? Omdat creditcards, ook al is dit tien jaar geleden, nog steeds een van de gemakkelijkste bronnen van geld zijn en een doelwit voor elke crimineel. Ervan uitgaande dat ze weten wat ze doen, richt ik mij op hetzelfde. De slachtoffers Dit is wat er voor de slachtoffers zou zijn gebeurd als we het nog een stapje verder hadden doorgevoerd: Het is weekend, wat betekent dat mensen graag veel geld uitgeven in de kroeg of club. Natuurlijk zijn ze niet helemaal nuchter en letten ze niet op hun bankrekeningen die leeggeroofd worden. De dag erna, met een kater, beseffen ze dat iemand vorige nacht hun creditcardinformatie heeft gestolen en daarmee al hun geld. Het geheugen is wat wazig, maar ze herinneren zich dat ze de creditcard twee keer hebben gebruikt:一次 bij de barman en daarna bij de taxichauffeur. Natuurlijk was het een van hen! Of misschien werd de kaart wel geskimd tijdens je vakantie op de Zuidpool? Die verdomde pinguïns! De diefstal Elke keer dat jij als gast betaalt met een creditcard, legt de barman vijf dingen op het dienblad nadat hij heeft afgerekend: 1. Jouw creditcard 2. Jouw legitimatiebewijs 3. Jouw bonnetje 4. Een pen 5. Het bonnetje van de kroeg om te ondertekenen Jij pakt nummer 1, 2 en 3 mee, loopt naar je vrienden met je biertje en laat nummer 4 en 5 op het dienblad achter. De barman staat ondertussen onder constante stress en gaat door met zijn werk om andere klanten te bedienen, terwijl jij het bonnetje ondertekent en vertrekt. Wanneer er een paar getekende bonnetjes op het bardienblad liggen, worden deze verzameld en in de kas gedaan. Ik, als extra vriendelijke gast, help de barman door er een paar in mijn eigen kas (mijn broekzak) te stoppen. Niet allemaal, ik ben een luie bastaard en wil de barman natuurlijk niet werkloos maken! Oh ja, het zal waarschijnlijk ook vragen oproepen als alle bonnetjes weg zijn. Je weet hoe onmogelijk het is om de aandacht van de barman te krijgen als je een biertje wilt bestellen; ik kreeg net zoveel aandacht toen ik de bonnetjes pakte. Dertig minuten later heb ik er tien van zulke bonnetjes. Stel dat ik hiermee doorga met een gemiddelde van 20 per uur gedurende vijf uur, dan komen we uit op 100 bonnetjes. Dus, wat kun je doen met 100 stukjes papier? Welnu, toevallig stond er interessante informatie op die me kon helpen aan mijn 1.000.000 kr. De techniek Op elk bonnetje staat de volgende informatie: * Volledig creditcardnummer * Vervaldatum van de kaart * Naam of volledige geboortedatum We hebben dus alles wat nodig is om de kaart online te gebruiken, behalve de ontbrekende CCV (de 3-cijferige code op de achterkant), wat deze truc wat lastiger maakt. Om de CCV te berekenen, zouden we de volgende formule kunnen gebruiken: PAN x ED x SC x CVK == CCV * PAN == Primary Account Number * ED == Expiration Date * SD == Service Code, waarschijnlijk “000”, maar alleen bekend bij de uitgever * CVK == Een reeks DES-sleutels, wederom alleen bekend bij de uitgever * CCV == Credit Card Verification, 3-cijferige code ter voorkoming van fraude, gedrukt op de achterkant Simpel gezegd kunnen we geen algoritme gebruiken om de CCV te verkrijgen omdat we de SD en CVK’s niet kennen. Goede beveiliging, dat vind ik leuk! Maar het missen van slechts een 3-cijferige code gaat ons niet tegenhouden. Met bruteforce hebben we maximaal 1000 en gemiddeld 500 pogingen per kaart nodig; dromen voor elke scriptkiddie. Nog makkelijker: we kunnen gewoon geld opnemen of spullen kopen bij een van de vele online winkels die geen CCV vereisen (Hoorde ik daar USA?). Om mijn theorie te testen, besloot ik een grote creditcard te bruteforcen. Vijftien minuten later had ik mijn pokeraccount gevuld door simpelweg 001, 002, 003… te testen. Dit deed ik handmatig, maar een klein script zou waarschijnlijk even snel te maken zijn en het proces automatiseren voor toekomstig misbruik. Had dit geen beveiligingssysteem moeten activeren? Heb ik iets geactiveerd? Het maakt niet echt uit, ik slaagde er toch in geld op te nemen, dus elke bescherming die de bank alarmeerde, deed dat te laat. Voordat iemand het merkt, is het geld allang weg. Oh, en de kaart werkt nog steeds volgens mijn vriend die me toestemming gaf de zijne te gebruiken. Bedankt T! =) Het witwassen van het geld De volgende stap is het geld in mijn zak krijgen, en dat zal niet veel probleem opleveren; helaas zijn er talloze veelgebruikte technieken. Het populairst is het gebruik van gehackte pokeraccounts: vul ze met gestolen geld, “verlies” het aan een ander gehackt account, en dan weer aan een ander… Haal vervolgens je “legitieme” geld op. Misschien maak je onderweg zelfs nog winst op slechte pokerspelers en gehackte accounts waar nog geld op staat. Probeer de pokeraarsites maar eens te bellen om te vertellen dat iemand je account heeft gehackt en al je geld heeft verloren; natuurlijk geven ze je geld terug.

P.S. A few readers have asked which energy & utilities we actually reach for — it's Direct Energy; take a look here if you want the current details.