�ݺ�ߣ

Cyberprzestępczość 2.0
Adam Ziaja <adam@adamziaja.com>
http://adamziaja.com

Cyberprzestępczość
• Cyberprzestępczość 1.0
• W większości niespersonalizowane ataki, zazwyczaj
wirusy rozsyłane pocztą elektroniczną na masową
skalę
• Cyberprzestępczość 2.0
• W większości spersonalizowane i precyzyjne ataki
(ataki APT) z wykorzystaniem nowych technologii
• W ciągu 4 lat koszty cyberprzestępczości wzrosły o 78
procent (HP: „2013 Cost of Cyber Crime Study”)
© Adam Ziaja <adam@adamziaja.com>

Media społecznościowe
• Dostarczają przestępcom informacji nt. m.in.:
• Rodziny i znajomych
• Pracy oraz szkoły
• Lokalizacji
• (Aktualnie) wykonywanych zajęć
• […]
• Media społecznościowe to realne zagrożenie,
czyli open-source intelligence (biały wywiad)
w akcji…

Twitter

Twitter API
["text"]=>
string(113) "W pon rodzice i brat jadą na wieś i pozwolili
mi nie jechać jajsjdnksmswowjicjsjxnwkdnjanajdjdj sama
w domu xD"
["source"]=>
string(82) "Twitter for iPhone"
["user"]=> ["display_url"]=>
string(19) "ask.fm/OlaP[NAZWISKO]"
["geo"]=> ["coordinates"]=>
{ float(52.32608613), float(20.88154268) }

Twitter API
• Jedno zapytanie do Twitter API pozwoliło
uzyskać informacje takie jak m.in.:
• Imię i nazwisko (URL do profilu ask.fm)
• Wizerunek i wiek (profil na ask.fm)
• Zainteresowania (zespół „One Direction”)
• Lokalizacja (pozycja GPS)
• Dziecko będzie samo w domu (treść statusu)
• W domu mieszkają 4 osoby (rodzice i rodzeństwo)
• Status majątkowy (posiadanie iPhone)

Twitter
• Do lokalizacji domu potrzebujemy więcej
statusów…

Twitter API
…wszystkie statusy
posiadające dane GPS

GPSVisualizer.com
…statusy świadczące, że zostały
prawdopodobnie wysłane z domu

Twitter
• Warto by było posiadać również dane
odnośnie szkoły…

Twitter API
["geo"]=> ["coordinates"]=>
{ float(52.28304044),
float(20.97022874) }
XLI Liceum Ogólnokształcące
im. Joachima Lelewela w Warszawie
Gimnazjum nr 165
(wiek 13 lat, z profilu ask.fm)

Twitter, podsumowanie
• W krótkim czasie byliśmy w stanie ustalić:
• Imię i nazwisko, wiek, wizerunek
• Zainteresowania
• Lokalizację domu i szkoły
• Status majątkowy
• Profil rodziny – dwóch rodziców i dwoje dzieci
• Kiedy dziecko będzie samo w domu
• Nawet w którym supermarkecie robią zakupy… 

Twitter
• Cały proces można prosto zautomatyzować,
Twitter API pozwala na wyszukiwanie statusów
w promieniu X km od danej pozycji GPS
• Dane zwracane są w formie tablicy, pozwala to
na szybką automatyczną analizę wyników np.
wyszukiwanie przez wyrażenia regularne
wśród zwróconych wyników
• /sama? w domu/i
• „sam w domu”, „sama w domu”

Ludzie chwalą się w mediach społecznościowych
dosłownie wszystkim…

Facebook
…przy pomocy tzw. krzywych
w darmowym programie GIMP
recepta

Twitter API
• Automatyzacja przy pomocy Twitter API:

Instagram, a dokumenty…

Instagram (iconosquare.com)
dowodyosobiste

Instagram (iconosquare.com)
prawajazdy

Media społecznościowe
• Dzięki zebranym informacjom w mediach
społecznościowych można np.:
• Płacić numerem karty w Internecie
• Nie jest potrzebna data wygaśnięcia karty czy kod
zabezpieczający (CVC, CVV, CVV2) – sklep płaci większą
prowizję w przypadku braku zabezpieczeń (np. Amazon)
• Zalogować się czyjeś konto np. w sieci komórkowej
Play – potrzebujemy imię, nazwisko i PESEL jeśli
nie pamiętamy hasła…
• Nawet numer dzwoniącego telefonu możemy
sfałszować (tzw. caller ID spoofing) – w sieci pełno jest
takich komercyjnych usług…

Wygoda przede wszystkim!
…i możemy aktywować opcję telefonicznie – bez kodu SMS
…i kody zabezpieczające do przelewów bankowych mogą przychodzić na e-mail

„Zabezpieczenia”, a tworzenie „słupa”
• Do aktywacji karty internetowej potrzeba:
• Plik PDF z kartą  (np. z Allegro bez weryfikacji,
płatność kartą lub przekazem pocztowym…)
• E-mail (np. tymczasowy adres e-mail)
• Dane osobowe (np. z prawa jazdy lub dowodu)
• PESEL (np. z prawa jazdy lub generatora…)
• Prawo jazdy > dowód – PESEL na awersie
• Telefon komórkowy (kod zabezpieczający CVV2 do
karty przychodzi SMS-em)

• receive-sms-online.com
• receivesmsonline.net
• receivesmsonline.com
• receive-sms.com
• […]
…karty SIM prepaid nie są dobrym
rozwiązaniem z uwagi na
dane przesyłane do BTS

Ataki APT
• Ataki typu APT (ang. Advanced Persistent
Threats) są złożonymi, długotrwałymi i
wielostopniowymi działaniami kierowanymi
przeciwko konkretnym osobom, organizacjom
lub firmom
• Ataki APT są wykonywane jak testy
penetracyjne typu blackbox – główną różnicą
jest fakt, że cyberprzestępcy nie mają
ograniczeń czasowych…

Ataki APT
• Atak APT składa się zazwyczaj z trzech
głównych etapów:
1. Zebranie informacji (głównie open-source
intelligence czyli biały wywiad)
2. Uzyskanie dostępu
3. Kradzież, manipulacja danymi itp.

Ataki APT
• Ataki APT to problem każdego, nie tylko
indywidualnych osób czy małych firm
• To nie tylko suche fakty – pierwszy etap (zbieranie
informacji) na przykładzie firmy Cisco Systems
(amerykańskie przedsiębiorstwo informatyczne,
jedno z największych w branży IT)…

Ataki APT
• Eksport strefy DNS cisco.com – można (było)
znaleźć takie informacje jak:
• Loginy użytkowników
• Topologia sieci
• Wykorzystywany sprzęt
• […]
/* możliwość eksportu strefy DNS zgłosiłem w październiku 2013
zgodnie z polityką „responsible disclosure” – błąd poprawiony */

Ataki APT
• Topologia sieci cisco.com
• Strefa posiada 1,808,339 rekordów DNS
• LAN
• 10.0.0.0/8 – 1,236,395 adresów IP
• 172.16.0.0/12 – 139,426 adresów IP
• 192.168.0.0/16 – 5,070 adresów IP
• 1236395 + 139426 + 5070 = 1,380,891 LAN IP

Ataki APT
• ams-rawouter-vpn.cisco.com (rekord ze strefy DNS)
• https://supportforums.cisco.com/people/rawouter
…sprawdzenie danych
pochodzących ze strefy DNS

Ataki APT
• https://www.linkedin.com/pub/raphael-wouters/2/68b/754
…weryfikacja w serwisie Linkedin

Ataki APT
• https://supportforums.cisco.com/robots.txt
User-agent: *
disallow: /people/
…brak możliwości znalezienia listy
użytkowników przez np. Google

Ataki APT
• https://supportforums.cisco.com/people/aabell 200
• https://supportforums.cisco.com/people/aadamavi 404
• https://supportforums.cisco.com/people/aadegbom 200
• https://supportforums.cisco.com/people/aalassi 200
• https://supportforums.cisco.com/people/aalberio 200
• https://supportforums.cisco.com/people/aalbrech 200
• https://supportforums.cisco.com/people/aalhalaw 200
• https://supportforums.cisco.com/people/aannese 404
• https://supportforums.cisco.com/people/aarafeh 404
• https://supportforums.cisco.com/people/aarcidia 404
• https://supportforums.cisco.com/people/aarlegui 200
• https://supportforums.cisco.com/people/aarrizab 404
• https://supportforums.cisco.com/people/aasfandy 200
• https://supportforums.cisco.com/people/aathwal 200
• https://supportforums.cisco.com/people/aatie 200
• [...]

Ataki APT
1. Skrypt analizujący strefę DNS – pozyskane
dane to m.in. loginy użytkowników (VPN)
2. Skrypt sprawdzający dostępność profili oraz
zapisujący istniejące profile z forum wsparcia
– pozyskane dane to imię i nazwisko oraz
stanowisko
3. Skrypt parsujący pobrane profile i generujący
plik CSV (dane rozdzielone znakiem)
4. Import CSV do Excela…

Ataki APT
kilka tysięcy rekordów…

Najsłabszym ogniwem w bezpieczeństwie IT
jest człowiek, czyli drugi etap ataków APT –
uzyskanie dostępu…

Inżynieria społeczna, inżynieria
socjalna, socjotechnika
• Drugi etap ataku APT – uzyskanie dostępu np.
przez phishing, może mieć postać:
• Po(d)rzucony pendrive z naklejką zachęcającą do
otwarcia np.:
• „Zwolnienia”
• „Wypłaty”
• E-mail z załącznikiem od organizatorów do
uczestników tej konferencji z fałszywego adresu
• Telefon „z banku” z pytaniem „celem weryfikacji”,
aby pozyskać dodatkowe informacje o osobie…

Ataki APT
• Ofiarą ataku APT była np. firma Adobe,
wyciekły takie dane jak:
• Adres e-mail
• Hash hasła (hash to nieodwracalna funkcja skrótu)
• Podpowiedź do hasła
• Podpowiedzi zostały wykorzystane do łamania
hashy haseł, ponieważ hashe się powtarzały…

Ataki APT

Dziękuje za uwagę!
Adam Ziaja <adam@adamziaja.com>
http://adamziaja.com

�ݺ�ߣ

Cyberprzestępczość 2.0 (TAPT 2014)

Recommended

More Related Content

Viewers also liked (17)

Cyberprzestępczość 2.0 (TAPT 2014)