Введение
В общем смысле социальная инженерия [СИ] является частью социальной психологии, направленной на изменение поведения человека под действием искусственно создаваемых факторов.
План действий социального инженеринга, который будет описан и показан на примерах здесь, собирает все части проведения СИ-атаки воедино, упрощая ее и позволяющий обойтись без горького опыта неудач. Без него начинающий соц.инженер будет иметь лишь 30% вероятности проведения успешной атаки [если только он не толковый психолог].
Теория
Общий план:
1. Выбрать целевую компанию/фирму/организацию.
2. Установить желаемый результат (получение пароля / доступа к приватной информации, данным, материальным вещам).
3. Найти потенциальных жертв, имеющих доступ к желаемому или полезных в процессе достижения цели.
4. Выбрать индивидуальную цель атаки.
5. Используя пассивные тактики и методы социальной инженерии, собрать как можно больше информации о жертве.
6. Выбрать тип связи с объектом – телефон, электронная почта, веб или реал.
7. Найти наиболее подходящий вид СИ-атаки для использования на конкретной жертве [наглость, напор на жертву; лесть; старый, забытый друг и другие].
8. Проведение атаки.
9. Сохранение, использование полученной информации / данных, в случае, если цель не была достигнута, необходимо вернуться к шагу 4 и попробовать иные пути достижения желаемого результата.
10. Пролистать в голове все подробности и специфику этой атаки [думаю понятно, для чего].
Некоторые из пунктов данного плана нуждаются в пояснениях. Например, чем обусловлен выбор индивидуальной жертвы атаки ? Так как мы не можем, как это делает профессиональный социальный инженер [например, Кевин Митник], опираясь только на опыт и интуицию, на автомате выбрать подходящую жертву. Итоговое решение всегда формируется из количества и качества собранной о жертве информации. Полезно также знать наиболее распространенные стереотипы соц.инженеров:
Начальник: человек, привыкший отдавать команды, ценящий свое время, добивающийся поставленных целей. Манера разговора жесткая, нетерпеливая. Непробиваемая уверенность в себе и легкое [или полное] пренебрежение к рядовым служащим. Всем своим видом показывать, что проблема, с которой обратился - мелкая неувязка, которую нужно решить как можно скорее. Никаких просьб - только суровые вопросы в духе "какого черта". По поводу недоверчивых или проверочных реплик - негодование и запугивание.
Секретарь: обычно блондинка с приятным голосом и большой грудью/попой. Задача - выполнить конкретное поручение шефа не отвлекаясь на условности. Иметь осведомленность о начальнике и некоторых его делах, как бы между прочим ронять достоверные факты [или недостоверные, которые нельзя проверить]. Характер разговора - мягкий, с легким эротическим подтекстом (если собеседник - мужчина). Реакция на нежелание сотрудничать - бурное огорчение, жалоба, что начальство накажет.
Тех. служащий: снисходительное, но дружелюбное отношение к клиентам. Цель проста - устранить неполадку и избавить обе стороны от головной боли. Подчеркнутая специфическими терминами компетентность. На отказ сотрудничать следует реакция удивления, так как сотрудничество в первую очередь выгодно для клиента. Никаких уговоров - просто дать понять, что без твоего участия проблема только усугубится. Можно описать страшные последствия.
Юзер: работник, выполняющий свои обязанности и напуганный неожиданной проблемой. Четко выраженный мотив поскорее решить все невзгоды и вернуться к своей рутиной работенке. Отсутствие представления о характере проблемы, заинтересованность только в ее устранении. Характер общения - "ой, а у меня курсор завис. Это вирус, да?". Показать всю безнадежность своего положения и готовность отдаться в руки специалиста.
Эти стереотипы могут также оказаться применимы к жертве. Нередко ей оказывается недавно принятый сотрудник тех.суппорта или пусть и долго работающая, но глупенькая девушка-секретарь.
Во многих ситуациях, казалось бы, преследуются 'левые' цели для того чтобы свести все нити воедино [ученое название - дедукция] и достигнуть желаемого.
Практика
Сейчас я попытаюсь показать вам на простом примере действенность нашего плана:
1. Наша цель – небольшая компания компания Electronics, производящая диоды, которая конкурирует с другой фирмой, заплатившей нам деньги для получения доступа к некоторым ноу-хау Electronics.
2. Цель – полный доступ к электронной переписке.
3. Лица, имеющие доступ к эл.корреспонденции – ген.директор, его зам, сисадмин и секретарша.
4. Индивидульной целью выбираем сисадмина, как лицо, имеющее полный доступ к эл.почте всех работников.
5. Полученная информация – администратор любит играть в одну малоизвестную, но развивающуюся онлайн-игру (было замечено более сотни постов на форуме игры, где был проставлен адрес мыла с доменом компании Electronics и недвусмыссленным аккаунтом support)
6. Тип связи – электронная почта.
7. Подходящий вид СИ-атаки – впаривание трояна под видом небольшого патча, прикинувшись службой поддержки онлайн-игры.
8. Отсылаем мыло.
9. Видим лог трояна, который автоматически удалился после сбора информации – получены пассы от RAdmin'a, установленного на все компьютеры компании, почтовые пароли и еще много вкусного, но не являющегося итоговой целью атаки.
10. Вывод – онлайн-игры являются неплохим подспорьем при проведении СИ-атаки, так же как и использование анонимного майлера с подменой адреса отправщика.
Заключение
Как видно, СИ-атаки были и остаются неплохим средством заработка или взлома компьютерных, да и не только, систем. Пока будут существовать такие факторы, как Доверчивость, Жадность, Страх, Отзывчивость, Чувство Превосходства, социальная инженерия будет процветать.
В общем смысле социальная инженерия [СИ] является частью социальной психологии, направленной на изменение поведения человека под действием искусственно создаваемых факторов.
План действий социального инженеринга, который будет описан и показан на примерах здесь, собирает все части проведения СИ-атаки воедино, упрощая ее и позволяющий обойтись без горького опыта неудач. Без него начинающий соц.инженер будет иметь лишь 30% вероятности проведения успешной атаки [если только он не толковый психолог].
Теория
Общий план:
1. Выбрать целевую компанию/фирму/организацию.
2. Установить желаемый результат (получение пароля / доступа к приватной информации, данным, материальным вещам).
3. Найти потенциальных жертв, имеющих доступ к желаемому или полезных в процессе достижения цели.
4. Выбрать индивидуальную цель атаки.
5. Используя пассивные тактики и методы социальной инженерии, собрать как можно больше информации о жертве.
6. Выбрать тип связи с объектом – телефон, электронная почта, веб или реал.
7. Найти наиболее подходящий вид СИ-атаки для использования на конкретной жертве [наглость, напор на жертву; лесть; старый, забытый друг и другие].
8. Проведение атаки.
9. Сохранение, использование полученной информации / данных, в случае, если цель не была достигнута, необходимо вернуться к шагу 4 и попробовать иные пути достижения желаемого результата.
10. Пролистать в голове все подробности и специфику этой атаки [думаю понятно, для чего].
Некоторые из пунктов данного плана нуждаются в пояснениях. Например, чем обусловлен выбор индивидуальной жертвы атаки ? Так как мы не можем, как это делает профессиональный социальный инженер [например, Кевин Митник], опираясь только на опыт и интуицию, на автомате выбрать подходящую жертву. Итоговое решение всегда формируется из количества и качества собранной о жертве информации. Полезно также знать наиболее распространенные стереотипы соц.инженеров:
Начальник: человек, привыкший отдавать команды, ценящий свое время, добивающийся поставленных целей. Манера разговора жесткая, нетерпеливая. Непробиваемая уверенность в себе и легкое [или полное] пренебрежение к рядовым служащим. Всем своим видом показывать, что проблема, с которой обратился - мелкая неувязка, которую нужно решить как можно скорее. Никаких просьб - только суровые вопросы в духе "какого черта". По поводу недоверчивых или проверочных реплик - негодование и запугивание.
Секретарь: обычно блондинка с приятным голосом и большой грудью/попой. Задача - выполнить конкретное поручение шефа не отвлекаясь на условности. Иметь осведомленность о начальнике и некоторых его делах, как бы между прочим ронять достоверные факты [или недостоверные, которые нельзя проверить]. Характер разговора - мягкий, с легким эротическим подтекстом (если собеседник - мужчина). Реакция на нежелание сотрудничать - бурное огорчение, жалоба, что начальство накажет.
Тех. служащий: снисходительное, но дружелюбное отношение к клиентам. Цель проста - устранить неполадку и избавить обе стороны от головной боли. Подчеркнутая специфическими терминами компетентность. На отказ сотрудничать следует реакция удивления, так как сотрудничество в первую очередь выгодно для клиента. Никаких уговоров - просто дать понять, что без твоего участия проблема только усугубится. Можно описать страшные последствия.
Юзер: работник, выполняющий свои обязанности и напуганный неожиданной проблемой. Четко выраженный мотив поскорее решить все невзгоды и вернуться к своей рутиной работенке. Отсутствие представления о характере проблемы, заинтересованность только в ее устранении. Характер общения - "ой, а у меня курсор завис. Это вирус, да?". Показать всю безнадежность своего положения и готовность отдаться в руки специалиста.
Эти стереотипы могут также оказаться применимы к жертве. Нередко ей оказывается недавно принятый сотрудник тех.суппорта или пусть и долго работающая, но глупенькая девушка-секретарь.
Во многих ситуациях, казалось бы, преследуются 'левые' цели для того чтобы свести все нити воедино [ученое название - дедукция] и достигнуть желаемого.
Практика
Сейчас я попытаюсь показать вам на простом примере действенность нашего плана:
1. Наша цель – небольшая компания компания Electronics, производящая диоды, которая конкурирует с другой фирмой, заплатившей нам деньги для получения доступа к некоторым ноу-хау Electronics.
2. Цель – полный доступ к электронной переписке.
3. Лица, имеющие доступ к эл.корреспонденции – ген.директор, его зам, сисадмин и секретарша.
4. Индивидульной целью выбираем сисадмина, как лицо, имеющее полный доступ к эл.почте всех работников.
5. Полученная информация – администратор любит играть в одну малоизвестную, но развивающуюся онлайн-игру (было замечено более сотни постов на форуме игры, где был проставлен адрес мыла с доменом компании Electronics и недвусмыссленным аккаунтом support)
6. Тип связи – электронная почта.
7. Подходящий вид СИ-атаки – впаривание трояна под видом небольшого патча, прикинувшись службой поддержки онлайн-игры.
8. Отсылаем мыло.
9. Видим лог трояна, который автоматически удалился после сбора информации – получены пассы от RAdmin'a, установленного на все компьютеры компании, почтовые пароли и еще много вкусного, но не являющегося итоговой целью атаки.
10. Вывод – онлайн-игры являются неплохим подспорьем при проведении СИ-атаки, так же как и использование анонимного майлера с подменой адреса отправщика.
Заключение
Как видно, СИ-атаки были и остаются неплохим средством заработка или взлома компьютерных, да и не только, систем. Пока будут существовать такие факторы, как Доверчивость, Жадность, Страх, Отзывчивость, Чувство Превосходства, социальная инженерия будет процветать.
