Конспект выступления Кевина Митника в Москве

    image
    10 сентября Компания «Крок» проводила конференцию, на которой докладчиком был Кевин Митник.
    Для меня этот человек — кумир и легенда (я диплом писал отчасти по его книгам), поэтому попасть на его выступление было для меня делом чести.
    Узнал я о конференции за 3 дня до ее начала и официально попасть мне на конференцию не удалось.
    Что ж, у Митника я многому научился, и поэтому, пустив в ход социальную инженерию, я осуществил физический доступ (проникновение на охраняемый периметр).
    Под катом краткий конспект выступления


    Сначала Кевин рассказал историю про кражу 10 млн долларов, где злоумышленник использовал социальную инженерию.
    примерный текст вот здесь

    Немного теории и статистики
    Кевин рассказал, что за 10 лет мало чего изменилось в области безграмотности сотрудников.
    В Лондоне 7 человек из 10 сообщают свой пароль взамен на "Пасхальное яйцо"
    10 лет назад 9 человек из 10 раскрывали свой пароль.

    Демонстрации
    Кевин продемонстрировал инструменты для атак в действии.

    FOCA
    Программа для сбора мета-данных (версии ОС, ПО, список пользователей и тд.)
    image

    "Ныряние в мусорку"
    «Что для одних мусор, то для других — сокровище»
    Кевин показал корпоративный справочник с именами и контактами всех должностных лиц, который он «выловил» в мусорке и который обладал большой ценностью для социального инженера.

    Анализ P2P сетей для выявления топологии всей сети.
    Кевин показал топологическую схему одной такой сети. Потом показал надпись с названием этой сети — «Пентагон». Попросил ее не фотать.

    «Боевая» флэшка и «боевой» PDF
    Митник показал, что воткнутая флэшка(специально оставленная злоумышленником на видном месте) или открытый PDF файл могут обеспечить хакеру полный контроль за компьютером жертвы, вплоть до захвата управлением видеокамерой и отображением всего содержимого рабочего стола.

    Java апплеты
    Кевин продемонстрировал вредоносный сайт, мимикрирующий под ВТБ24 (будьте осторожны, переходя по ссылке)

    Spoofing
    Кевин показал в действии как работает сервис по этой ссылке(он защищен паролем)
    mitnicksecurity.com/sms.php
    Он наглядно продемонстрировал как на номер мобильного телефона человека из зала можно прислать смс-ки от имени его жены. Текст смс-ки был следующий: «Расскажи Кевину все свои пароли»

    Фишинг с фальшивым номером телефона техподдержки банка.
    Кевин продемонстрировал атаку "человек посередине"
    Человеку приходит письмо с просьбой позвонить по фальшивому номеру в техподдержку банка, а злоумышленник получает последовательность нажатия кнопок на телефоне жертвы.

    Считыватель/копирователь смарт-карт.
    Кевин показал в действии фрикерский девайс, который позволяет дублировать бесконтактные смарт-карты

    В конце своего выступления Кевин отвечал на вопросы, в т.ч. как часто надо проводить «тренинги бдительности» для сотрудников. По мнению Митника — не реже чем раз в полгода.

    Десятку счастливчиков достались легендарные визитки «бывшего» хакера в виде набора отмычек.
    image

    Рекомендованные ресурсы:
    «Искусство обмана»
    «Искусство вторжения»
    «Призрак в сети»
    «Психология влияния» Чалдини
    trustedsec.com
    KnowBe4.com
    mitnicksecurity.com

    П.С. Ведущий(в конце выступления): «В райдере Кевина было сказано объявить, что фото-, аудио- и видеосъемка запрещена, но в райдере не было сказано КОГДА это надо было объявить.»

    ППС
    «Верить можно только Богу. Все остальные — под подозрением». Кевин Митник
    Биография хакера на Хабре habrahabr.ru/post/68273
    AdBlock похитил этот баннер, но баннеры не зубы — отрастут

    Подробнее
    Реклама

    Комментарии 43

      +12
      Впервые услышал о термине «социальная инженерия» месяц назад, как раз в статье на хабре. Был весьма впечатлен и даже вспомнил несколько похожий случай в моей жизни — попробовал получить зачет у преподавателя, просто зайдя к нему в кабинет, и с абсолютной серьезностью и уверенностью сказать что ему нужно проставить мне автомат в зачетку. Для него это оказалось настолько обыденной ситуацией, что он просто молча это выполнил. После того я понял насколько серьезными являются возможности для абуза в жизни. Так же несколько лет назад моя мать удивлялась как я умудрился пройти к ней на работу, хоть вход там только по пропускам. Но видимо пропуска требуют только у тех, у кого на лице написано что он изучает обстановку. Если изображать повседневную, и ничем не примечательную деятельность, ты спокойно сойдешь за завсегдатого.
        +2
        Работает, но не всегда. Я тоже проходил в гос конторы, где вход только по пропуску, просто делая морду кирпичом и нагло идя прямо, не глядя по сторонам. А дальше все зависит от пары ментов, сидящих у вертушки. Всегда нужно учитывать возможные последствия таких вот «социальных инженерий»: вас могут всего лишь направить к телефону позвонить, чтобы за вами спустился местный сотрудник, а могут и дубинкой по шее и в КПЗ до выяснения.
          +6
          Уже давно не работает, разве что в совсем захолустных госконторах.
          +4
          Работает там, где охрану не дрючат. Я вот недавно забыл пропуск на работу. Охранники знают меня в лицо и по имени, но на территорию не пропустили, пока мне временнный не выписали. Но это не госконтора.
            +3
            знать то знают — а вдруг вас уволили и вы уже права доступа не имеете? а если вы в компанию конкурент устроились, а сюда пришли секреты воровать?
              0
              Ну так я именно об этом и говорю :)
              0
              Аналогичная ситуация была, но там еще и написали докладную на имя начальника охраны и моего шефа.
              Смех в том, что я пропуск забыл в офисе, поскольку накануне вечером выехал из комплекса на служебном авто с водителем. Выехал без проблем. Заехать мог бы так же — стоянка не контролируется никак, кроме шлагбаума и пропуска водителя (и только его).
              +4
              Очень легко проникать без пропуска через проходные в депо и парки РЖД/Мосгортранса, достаточно сказать: «Я в отдел кадров, устраиваться на работу», затем тебе на пальцах покажут куда идти, далее ты можешь идти куда хочешь, всем вокруг на тебя пофиг.
                +1
                «Джентельменам верят на слово. Тут-то у меня и поперло...» (с)
                0
                Да-а, жалко не попал на выступление, помимо что это человек-легенда, было чему поучиться интересному.

                PS: ПС понравился с ведущим :)
                  0
                  Завтра будет от нас более детальный официальный отчёт. Следить можно вот в этом хабе.
                  +2
                  Идеальный пример применения социальной инженерии входная дверь в многоэтажку, а точнее домофон:
                  — Кто там?
                  — Свои

                  Profit!
                    0
                    Лучше уж
                    — Почта. Откройте, пожалуйста.
                      +1
                      Так говорят чаще всего. Но таких артистов я сразу посылаю. Я точно знаю, что у нашего почтальона есть ключи от всех домофонов в зоне его работы. Видел у него не хилую связку с ключами…
                        +1
                        ИМХО, вероятность того, что пошлют «своих» — гораздо больше. В данном конкретном случае можно сказать, что ключ почему-то не работает. Или просто позвонить в другую квартиру.
                          0
                          «Дежурный терапевт, иду по вызову к вашим соседям» — у меня всегда прокатывало. Если спрашивали, почему к ним не звоните, отвечал, что у них домофон не работает.
                            +1
                            Позаимствовал у знакомого монтажника универсалку — ключик, который подходит к 99% дверей.
                            Такие же ключи и у почты и у врачей
                              0
                              Жду топик а хабре с детальным анализом работы такого ключика…
                                0
                                В просторах много инфы по этому вопросу.
                                Тех. подробности

                                В домофонных системах содержится специальное электронное устройство — контроллер. Принцип его работы очень прост. Предварительно в память контроллера заносят (путем считывания информации) коды тех ключей, которыми разрешено открывать определенный замок или любое другое исполнительное устройство (шлагбаум, турникет и т. п.). После этого система готова к работе. К площадке‑считывателю подносят ключ, его код считывается, и если он есть в памяти, контроллер дает команду на разблокирование замка. По такой же схеме работают бесконтактные электронные карточки.

                                Если уже от монеты у Вас срабатывает домофон, то есть смысл задуматься о новом типе запорного устройства.


                                В моем случае такая «универсалка» есть не что иное, как просто «дефолтный» код, который записан в большинстве домофонов (города)
                                  0
                                  АНБ ключ.
                                    0
                                    Не совсем так, в этих микроконтроллерах код завершения списка раньше всегда был либо 0000, либо FFFF. Чем собственно говоря и пользуются создатели таких «отмычек». Зачастую это таблетка работающая по протоколу 1-wire, и наши умельцы давно сделали программируемые ключи (реально просто зашить нулевой идентификатор, и половина замков — ваши).
                                    В современных прошивках контроллеров домофонов хранится счётчик количества ключей в базе, а не используется так называемый «NULL terminated list».
                                      0
                                      >> Зачастую это таблетка работающая по протоколу 1-wire
                                      Есть еще RFID-таблетки, но думаю там тоже что то типа 0000 зашивают
                                0
                                А у нас возле первого подъезда дома висит сейф с ключами от каждого подъезда, почтальон просто открывает его своим ключом и берет ключи от нужных подъездов. Универсальный не прокатывает — на каждый подъезд разный домофон…
                                  +1
                                  Двухступенчатая авторизация, прикольно. Главное чтоб сейф не сперли…
                                    +1
                                    вандалоустойчивый, и никому не нужный. В подъезд войти проще используя социнженерию чем ломать сейф.
                                +8
                                Я однажды позвонил в домофон часов в 11 ночи, думал к знакомым. Диалог примерно такой:
                                — Кто?
                                — (немного опешив решил пошутить на их «шутку») — Почтальон :--)
                                — Почему так поздно?
                                — Днем варил борщ тёще, потом спал от усталости.
                                … Общий смех… еще какие-то реплики…
                                — Давай открывай быстрее, у меня уже волосы на ногах дыбом встали. Холодно! (на улице лето, +30С)
                                … опять общий смех дверь открывается…
                                Поднимаюсь к друзьям, и оказывается я не с ними разговаривал

                                Сработала абсолютная уверенность. А уверенность как говорят передается
                                  +2
                                  Была похожая ситуация, шел к крестной.
                                  Ошибся домом, они там все как один.

                                  Подошел, ввел квартиру, назвался, поднялся и понимаю что стою в чужой квартире.

                                  Оказалось: ждали человека с таким-же именем, тоже с женой таким-же именем и в это-же время.

                                  > Сработала абсолютная уверенность. А уверенность как говорят передается
                                  Чертовски правда!
                                    0
                                    Ответил не звонок пару лет назад. Полчаса общался с человеком, перемыли косточки знакомым. А потом оказалось что звонили не туда да и «общие» знакомые оказались совсем не общими а с похожими жизненными обстоятельствами ( кто на отпуске, кто замуж, кто универы заканчивал)

                                    Мир тесен.
                                0
                                История из моей личной жизни: часов пять утра — звонок в домофон.
                                — Ну? (это я)
                                — Откройте пожалуйста.
                                — Что именно?
                                — Понимаете, я так напился, что забыл номер своей квартиры. Откройте, а?
                                — А этаж помните?
                                — Нет пока. Хочу попробовать зайти в лифт и посмотреть.
                                — А дом точно тот?
                                — Я тут уже походил. Вроде да.
                                — Походите еще пару часов, потом позвоните еще раз. (это я уже проснулся)
                                Утром полез в запись видео на входе. Ему так никто и не открыл.

                                +2
                                «Мы из жека, снимаем показаная счетчиков», «Это инженер по лифтам» и т.д.
                                  –1
                                  Бабушки часто сначала нажимают кнопку, потом спрашивают
                                  • НЛО прилетело и опубликовало эту надпись здесь
                                      +12
                                      Ты видать прокачал скилл до максимума :-)
                                    +4
                                    А я всегда отвечаю на вопрос «Кто там?» — «я». Никто еще не переспрашивал :)
                                      +3
                                      Однажды у нас заглючило домофон. Жена пришла домой, звонит в домофон, беру трубку, она меня не слышит, я её слышу и как кто-то третий (по голосу парень) тоже поднял трубку, дальше диалог:
                                      Парень: Кто там?
                                      Жена: Я!
                                      Парень: Кто я?? О_о
                                      Жена: Я! Я!!!
                                      Парень: Да кто «я» ?!?! О_О
                                      Жена: Да Я!!! Открывай давай уже быстрее!!!
                                      Парень: Ну ОК.


                                      Слышу как жена вошла в подъезд… вот вам и социальная инженерия )))))))))
                                        0
                                        Женский голос лучше для социально инженерии — парень сдался сразу )))
                                      +4
                                      >Он наглядно продемонстрировал как на номер мобильного телефона человека из зала можно прислать смс-ки от имени его жены. Текст смс-ки был следующий: «Расскажи Кевину все свои пароли»

                                      Конечно вещи очевидные. Знакомый удивлялся когда я ему позвонил, а на телефоне был его же номер телефона.
                                      Запросил выписку у оператора с детализацией, там ровным счетом все то же самое :)
                                        +1
                                        Про подмену обратного адреса в смсках (точнее, про отсутствие авторизации обратного адреса, аналогично smtp) были публикации, а вот про подмену номера при звонках как-то не знал. Можно поподробнее?
                                          +2
                                          нет, подробнее нельзя.
                                          Скажу только несколько магических фраз.
                                          VoIP,Sip, поток E1.

                                          Открытых или слабо защищенных станций (на разной базе) в интернете пруд пруди.
                                          Есть умные люди которые выставляют АТС с прямым ip. Конторы попадают на крупное кол-во денег.
                                        0
                                        Искусство обмана, читал будучи на первом курсе универа, книга действительно стоящая, читается на одном дыхании!
                                          0
                                          Анализ P2P сетей для выявления топологии всей сети.
                                          Кевин показал топологическую схему одной такой сети.

                                          Кто знает где почитать подробнее об этом?
                                            +1
                                            Кевин-мужик! Жаль не удалось поприсутствовать :(
                                            Книги обязательно почитайте, кто не видел, читаются на одном дыхании!
                                              0
                                              Компания «Крок» опубликовала свой официальный отчет о мероприятии.
                                              Есть там замечательная фоткаimage
                                              Митник говорит «Попытайтесь понять, в 1993 годы это была ТАКАЯ новинка как Айфон 6 сейчас! Конечно же я захотел заполучить его спецификацию»

                                              Жаль что не выложили фотографию, где Кевин показывал потрепанный корпоративный журнал, который он «выловил» в мусорке.

                                              Только полноправные пользователи могут оставлять комментарии. Войдите, пожалуйста.

                                              Самое читаемое