Кулхацкер

Один очень назойливый знакомый, добавленный в чс, создал фейк и решил постебаться, выдавая себя за девушку. Когда был раскушен, выдал в ходе диалога такой перл

P.S. Забаненные в гугле - возьмите на заметку

Недавно взломали друга моего , теперь пытаются взломать меня. Это уже 3 попытка .
Можно как то (обнаружить и отпиздить) обезопасить свою страницу от этих (уебков)
взломщиков ?

Ну чтож, всем привет. Идея этого поста родилась, когда я прочитал пост @neverless:

https://pikabu.ru/story/poymay_menya_esli_smozhesh_ili_kak_v...

Я не могу сказать, что автор написал полную чушь - это не так. Скорее ввел в заблуждение и неполно изложил информацию. Также как и автор, я являюсь работником сферы информационной безопасности. Моя работа - проводить аудит систем безопасности на предмет уязвимостей в этих системах (пентестер по простому). Теперь к сути.

"Интернет глубоко просочился в наше общество, все мы тут шо то покупаем, шо то продаем и вообще активно обмениваемся мемесами и дико полезной информацией" и бла бла бла...Думаю вступление можно закончить:)

Я - мастер смены тем, поэтому - Антифрод. Модной слово...Серьезное...Такое профессионально-сленговое. Обозначает вполне простую штуку - систему, которая следит, обнаруживает и управляет уровнем фрода (fraud - мошенничество). Прошу заметить - это не обязательно система, следящая за транзакциями, но ориентирована она именно на банки. Ну и будем говорить в скоупе банков, что уж тут, ведь всех в конечном счете интересуют деньги:) Вот краткий список правил, которым руководствуется любой антифрод-сервис, работающий в области мониторинга транзакций:

1) за единицу времени - ограниченное количество транзакций для юзверя или с одной карты;

2) за единицу времени - ограничение на сумму разовой транзакции для одного юзверя или для одной карты;

3) за единицу времени - использованное количество карт, которые может юзать один юзверь;

4) ограничение количества юзверей на одну карту;

5) ну и краеугольный камень ИБ - логи покупок по картам и юзверей (черные, белые, черно-белые списки);

Это так сказать база. Теперь к тому, как же все таки работает фрод. Прежде всего это поиск аномалий (нетипичных событий, действий и пр.) в часто повторяющихся операциях с большим массивом данных с учетом, естественно, вышеописанных правил. Теперь ключевой момент - в каждом отдельном конкретном случае набор анализируемых данных для  системы будет разным(!). Выбор зависит от того, чем же занимается компания, так, для банка это один набор данных (автоматизированная банковская система (АБС)), для платежной системы другой (база данных по транзакциям) и т.д. То есть, антифрод система работает в некоем локальном пространстве, а не на весь Инет. А кукисы, айпишники и прочее...Нет, они конечно есть, но это лишь маааааааааааааалая часть от того количества параметров, которые смотрит антифрод. Вот ссылочка на достаточно интересную статью по системе антифрода:
https://x*a*k*e*p.ru/2017/04/21/antifrod-1/

Вроде с антифродом разобрались чутка. Теперь перейдем к "отпечаткам" (но мы же с вами уже пашти что кулхацкеры и будем говорить крутое слово "фингерпринтам") и нахрена они вообще нужны. Предположим, вы установили World of Warcraft. Сделали себе лютого аццкогонагибатора, дали ему не менее лютый ник ну и собсно ходите и всех нагибаете. Сервер, на котором вы играете, собирает вашу статистику побед, поражений и тд - это на деле. В теории, он может собирать инфу вида - это перец предпочитает топор мечу, легкую броню тяжелой, красный цвет зеленому, грудастых тауренш...ой простите, фантазия разыгралась...ну вы поняли:) У фингерпринтинга тот же принцип. Компании получают инфу вида - вот этот вот парень предпочитает БМВ - Мерседесу, Мальдивы - Гоа и тд и тп. Как они это узнают? Бинго! Анализ фингерпринтов. Да, вас обмеряли, взвесили и прочее, но не как Васю Пупкина из Урюпинска, а как некоего участника сети Интернет не более. То есть цепочка атаки нарушения конфиденциальности Интернет -> Фингерпринт -> Участник сети -> ? Под знаком вопроса скрываетесь вы и компаниям в сущности пофиг, кто это - Вы. К тому же, не все фингерпринты уникальны. А вот если захотят узнать, кто этот Вы это уже так называемая таргетированная атак, что гораздо сложнее. Разобрались с тем, что от этого фингерпринта вам не горячо и не холодно так-то. Но вы зададите резонный вопрос - чувак, вот ты тут изложил уже целую простыню текста со всякими страшными словечками, но откуда же узнают наши контакты?! Да все просто - почту создавали? В операторе связи регистрировались? У провайдера интернетик покупаете? Так вот, эти господа преспокойно торгуют вашими личными данными, без зазрения совести. Сволочи! Надо их наказать!...Согласен...Докажите, что именно МТС продал ваш номер ООО "РогаИКопыта" которые продают чудо-браслеты...Можете? - Не-а. Вот в этом и загвоздка. К сожалению и так уже дофига текста вышло. Если пост зайдет, расскажу отдельно про фингерпринтинг, кликджекинг, кардинг и прочие веселые штуки ибо не согласен с автором, что эти понятия можно уложить в один пост;) Здесь, кстати, можете посмотреть свой, так называемый Canvas фингерпринт:

https://browserleaks.com/canvas

и увидеть, что вы нифига не уникальны...Достаточно просто обратить внимание на графу Uniqueness - там увидите количество агентов с таким же фингерпринтом, как у вас;)

Важная информация для пользователей приложения накопительных карт данной сети!

Срочно меняйте пароль на вход в мобильное приложение или обналичивайте накопленные баллы!

Дело в том, что в прошлые выходные хакеры начали продавать аккаунты пользователей с накопленными баллами.

В данный момент, стоимость логина и пароля составляет примерно 30-35% от имеющегося на аккаунте балланса. Пример: злоумышленник, купив за 280р данные вашей записи может приобрести товара на 700-800р за ваш счет.

Внимательный читатель, кстати, заметит, что на скриншоте помимо аккаунтов "карусели" и других магазинов \ сервисов, предлагается услуга "смена номера Юлмарт". Рискну предположить, что у пикабушника @Cppnasm из поста https://pikabu.ru/story/yulmart_terabaytnyiy_hdd_i_razvyazka... этим (или схожим) образом сменили номер и затарились на его баллы.

Но, вернемся к "Карусели".

Как утверждает продавец аккаунтов, за год работы методом перебора паролей были взломаны до 80% всех аккаунтов, и самые жирные балансы с накопленными 10-20 тысячами рублей он оставляет для личного пользования.

Также, есть неподтвержденная информация о том, что даже клиенты незарегестрированные в приложении, подверглись атаке, так как стандартный пароль при заходе в приложение - это последние 4 цифры номера бонусной карты.

В чатах телеграмм довольные "клиенты" хвастаются чеками, оплаченными за чужой счет и сетуют на то, что ещё не все кассиры обучены списывать баллы с приложения и некоторые требуют физическую карту.

Похожая ситуация была этим летом с накопительными картами сети Перекресток (сейчас ввели дополнительную авторизацию в приложении), аккаунтами DNS (сейчас требуется подтверждение номера телефона при оформлении заказа), аккаунтами Эльдорадо (исправлено частично: всё ещё можно "купить" за чужой счет, но не более, чем на 400р) и так далее.

Учитывая, что "Карусель" и "Перекресток" - магазины одной сети x5retail group, непонятно, почему разработчики не учли прошлые ошибки коллег, и не ввели хотя бы минимальную капчу после нескольких неправильных попыток ввода пароля, что не позволило бы украсть тысячи аккаунтов.

P.S.: Вроде я замазал все ники и ссылки, но, даже если вы найдете данный магазин в интернете, хочу напомнить, что совершая покупки с использованием чужих баллов, вы, фактически, совершаете кражу - преступление, предусматривающее наказание согласно Статьи 158 УК РФ (лишение свободы на срок до двух лет). А при ущербе более 2500р - ч.2 этой же статьи (лишение свободы на срок до пяти лет)

P.P.S.: наверное, попрошу вывода в топ. Пусть этот увидят как можно больше клиентов "карусели" и бегом сменят пароли и\или обналичат бонусные баллы. Для минусов комменты оставляю.