книги хакеры / журнал хакер / 155_Optimized

				hang		e
			C				E
		X
	-							d
	F								t
	D								i
										r
P						NOW!				o
					BUY
				to
w Click											m
w
	w									o
	.				Подписка
								.c
		p					g
			df			n		e
				-xcha

					hang		e
				C				E
			X
		-							d
		F								t
		D								i
										r
	P						NOW!			o
						BUY
					to
w Click											m
w				df			n
ГОДОВАЯ		w								o
		.							.c
			p					g
ЭКОНОМИЯ					-x cha				e

500руб.

1.Разборчиво заполни подписной купон и квитанцию, вырезав их из журнала, сделав ксе- 12 НОМЕРОВ — 2200 РУБ. рокопию или распечатав с сайта shop.glc.ru.

2.Оплати подписку через любой банк. 6 НОМЕРОВ — 1260 РУБ.

3.Вышли в редакцию копию подписных доку-

ментов — купона и квитанции — любым из	УЗНАЙ, КАК САМОСТОЯТЕЛЬНО ПОЛУЧИТЬ
нижеперечисленных способов:	ЖУРНАЛ НАМНОГО ДЕШЕВЛЕ!

•на e-mail: [e-mail];

•по факсу: [phone];

• почтой по адресу: 115280, Москва,	¶¡«¦±²«©¦°¬¡¤©®¼¥¬ÀGOOGLE CHROME		ПРИ ПОДПИСКЕ
ул. Ленинская Слобода, 19, Омега плаза,	LULZSEC		НА КОМПЛЕКТ ЖУРНАЛОВ
		¥¬À±§¡«©:	ЖЕЛЕЗО + ХАКЕР + 2 DVD: —
5 эт., офис № 21,	ДЛЯ ИНТЕРФЕЙСА	²¦®¡³²¹¡,
	ПРАВИЛЬНЫЕ ХАКИ	FOXNEWS
	WINDOWS 7
ООО «Гейм Лэнд», отдел подписки.			ОДИН НОМЕР ВСЕГО ЗА 162 РУБЛЯ
	С ПОМОЩЬЮ НОВОГО БАГА
	ВЗЛОМ PHPMYADMIN		(НА 35% ДЕШЕВЛЕ, ЧЕМ В РОЗНИЦУ)
	МОБИЛЬНАЯ МАЛВАРЬ
	ДЛЯ ПЛАТФОРМЫ ANDROID
	ПРЯЧЕМ, ОБФУСЦИРУЕМ
	И КРИПТУЕМ JAVASCRIPT

ВНИМАНИЕ! ЕСЛИ ПРОИЗВЕСТИ ОПЛАТУ В СЕНТЯБРЕ, ТО ПОДПИСКУ МОЖНО ОФОРМИТЬ С НОЯБРЯ.

ЕДИНАЯ ЦЕНА ПО ВСЕЙ РОССИИ. ДОСТАВКА ЗА СЧЕТ ИЗДАТЕЛЯ, В ТОМ ЧИСЛЕ КУРЬЕРОМ ПО МОСКВЕ В ПРЕДЕЛАХ МКАД

ЗА 12 МЕСЯЦЕВ 3890 РУБЛЕЙ (24 НОМЕРА) ЗА 6 МЕСЯЦЕВ 2205 РУБЛЕЙ (12 НОМЕРОВ)

ЕСТЬ ВОПРОСЫ? Пиши на [e-mail] или звони по бесплатным телефонам 8(495)663-82-77 (для москвичей) и 8 (800) 200-3-999 (для жителей других регионов России, абонентов сетей МТС, БиЛайн и Мегафон).

ПРОШУ ОФОРМИТЬ ПОДПИСКУ НА ЖУРНАЛ «ХАКЕР»

				hang		e
			C					E
		X
	-								d
	F									t
	D									i
										r
P						NOW!				o
					BUY
				to		UNITSm					/FAQUNITED
w Click
w
	w									o
	.								.c
		p						g
			df	-xcha			n		e

FAQUnited

ЕСТЬВОПРОСЫ—ПРИСЫЛАЙ НА[e-mail]

					hang		e
				C				E
			X
		-							d
		F								t
		D								i
										r
	P						NOW!			o
						BUY
					to
Антон«ant»Жуковw Click											m
	w
		w								o
		.							.c
			p					g
				df			n		e
					-x cha

ЗАИНТЕРЕСОВАЛСЯ ТЕМОЙ Q РЕВЕРСИНГА МАЛВАРИ ПОД ANDROID, О КОТОРОЙ ВЫ РАССКА-

ЗЫВАЛИ В ПРОШЛОМ НОМЕРЕ. ЕСТЬ ЛИ ЕЩЕ КАКИЕ-ТО ИНСТРУМЕНТЫ, КОТОРЫЕ БУДУТ ОСОБЕННО ПОЛЕЗНЫ ДЛЯ ИССЛЕДОВАТЕЛЯ?

Малвари под мобильные платформы A становится все больше и больше, что влечет за собой появление нового софта для исследования этой заразы.

Удобно иметь под рукой что-то вроде лаборатории, в которой было бы все необходимое для исследования. И такая лаборатория

есть — парни из Honeynet Project зарелизили A.R.E (Android Reverse Engineering) и выпустили специальный образ виртуальной машины для реверсинга под Android.

На данный момент в нее входят следующие инструменты: Androguard, Android sdk/ndk, APKInspector, Apktool, Axmlprinter, Ded, Dex2jar, DroidBox, Jad, Smali/Baksmali — воистину настоящий джентльменский набор.

Более подробно ознакомиться с A.R.E можно на официальном сайте — redmine. honeynet.org/projects/are/wiki.

НЕ МОГУ ПОНЯТЬ, НЕУЖЕЛИ Q ТАК ПРОСТО ВЫВЕСТИ ИЗ СТРОЯ ДАЖЕ ПОПУЛЯРНЫЕ ВЕБРЕСУРСЫ, КОТОРЫЕ ЗАБОТЯТСЯ О HIGHLOAD?

Надо понимать, что дело может быть не A только в количестве ботов, которые участвуют в бот-атаке, но и в качественной составляющей, а именно — в методе, который используется злоумышленниками, чтобы завалить сервер.

Вот тебе пример. Не так давно немецкая хакерская группа «The Hacker’s Choice» выпустила релиз инструмента для DDoS, эксплуатирующий уязвимость в SSL-протоколе. Принцип thc-ssl-dos основывается на том, что для установки безопасного SSL-соединения серверу необходимо в 15 раз больше процессорной мощности, чем клиенту.

Данная проблема затрагивает все существующие реализации SSL. Как ни странно, разработчики знали о данной проблеме аж с 2003 года! Сейчас же столь мощный инструмент доступен в паблике и может быть запущен любым желающим одной-единственной командой:

$ ./thc-ssl-dos <IP-адрес сервера> 443

МОЖНО ЛИ КАК-ТО ПОЛУЧИТЬ Q ДОСТУП К АЛЬБОМАМ И ЛИЧНОЙ ИНФОРМАЦИИ ПОЛЬЗОВАТЕЛЯ НА FACEBOOK?

Есть такая хорошая программка — A fbpwn (code.google.com/p/fbpwn). Она занимается тем, что отсылает заданному списку людей запросы на добавление в друзья, а после этого ждет от них подтверж-

дения. Как только жертва подтверждает запрос, приложение быстренько дампит всю личную информацию, фотографии и список друзей из профиля в локальную папку. Даже если человек поймет, что добавил в друзья какого-то левого пользователя, и быстро исправит ошибку, дамп с его данными уже будет снят.

ПО ОКОНЧАНИИ ПРЕДОПЛАЧЕННОГО Q ПЕРИОДА ПРОВАЙДЕР ОТРУБАЕТ ИНТЕРНЕТ, НО ДОСТУП К DNS-СЕРВЕРАМ ОСТАЕТСЯ. ВОЗМОЖНО ЛИ ИСПОЛЬЗОВАТЬ DNS-СЕРВЕРА ДЛЯ ВЫХОДА В СЕТЬ?

Конечно! О DNS-туннелинге мы писали A не раз. Различные вариации этого подхода предоставляют одно и то же — передачу произвольного трафика поверх DNSпротокола. С помощью такого туннеля можно получить полноценный доступ к Интернету из точки, где разрешено преобразование DNS-имен. Единственный момент: для организации туннеля необходимо, чтобы «снаружи» его кто-то принимал. Если говорить о конкретной реализации DNSтуннелинга, то неплохо работает iodine (code. kryo.se/iodine).

Где-то в Инете нужно поднять сервер iodined:

$ iodined -f -m 220 -l 1.2.3.4 -P 123

192.168.0.1 ns.abc.ru

5 ШАГОВ: СОБИРАЕМ ЛОГИ С WINDOWS-СЕРВЕРОВ В ОДНОМ МЕСТЕ

сть задача — собирать логи с моих Е Windows-серверов в одном месте так, чтобы их можно было удобно

анализировать. Необходима возможность строить графики, осуществлять поиск, делать выборки. Идеальный вариант, если логи будут собираться веб-сервисом и будут доступны онлайн.

Есть сразу несколько онлайн- 1 сервисов, которые предлагают

собирать логи с твоих серверов и оформлять для тебя классные отчеты. Один из наиболее нашумевших — сервис Loggly (loggly. com). Сбор логов им осуществляется двумя путями: через механизм syslog/syslog-ng или через API.

В Windows нативно нет поддержки 2 syslog. Поэтому чтобы воспользовать-

ся сервисом, нам предстоить решить небольшую задачу. Либо найти надстройку, позволяющую использовать этот стандарт для передачи логов, либо же написать обертку, которая будет извлекать системные события и через API отправлять loggly.

140	ХАКЕР 12 /155/ 2011

				hang		e
			C				E
		X
	-							d
	F								t
	D								i
									r
P						NOW!			o
					BUY
				to
w Click										m
w
	w								o
	.							.c
		p					g
			df			n		e
				-xcha

Здесь:

•f —флаг,чтобынеуходитьвфоновыйрежим;

•m mtu —использованиепакетовсзаданным MTU(некоторыебрандмауэрырежутслиш- комбольшиеDNS-пакеты);

•l IP —прослушиваниетольконауказанном IP,аненавсех(можетпригодиться,когдана машинеужеработаетDNS-сервер,толькона другихинтерфейсах);

•P —парольдляподключения.

Далее внутри локалки, где бесчинствует брандмауэр, запускаем клиентскую часть — iodine:

$ iodine -P 123 ns.abc.ru

Лучше по возможности использовать короткие имена, поскольку это сокращает накладные расходы на передачу трафика, инкапсулированного внутрь DNS-пакетов. Чрезмерно возросший DNS-трафик, правда, все равно может привлечь внимание админа.

ИЗ ЛОГОВ ПОНЯЛ, ЧТО БОЛЬШОЕ Q КОЛИЧЕСТВО ТРАФИКА НА МОЕМ СЕРВЕРЕ — ЭТО ПЕРЕДАЧА ИЗОБРАЖЕНИЙ, КОТОРЫЕ НА САМОМ ДЕЛЕ ОТОБРАЖАЮТСЯ НА ДРУГИХ САЙТАХ. Т. Е. ВЕБ-МАСТЕРЫ ПРОСТО УСТАНОВИЛИ НА НИХ ПРЯМЫЕ ЛИНКИ. ЕСТЬ ЛИ СПОСОБ ПРЕПЯТСТВОВАТЬ ТАКОЙ ПРАКТИКЕ?

Да, зачастую вебмастеры ставят A прямые ссылки на изображения и прочие файлы, чтобы снизить нагрузку на собственный сервер. Отучить их от такой

привычки достаточно просто с помощью этого снифера:

<FilesMatch "\.(gif|jpe?g)$">

SetEnvIf Referer "^http://

([^/]*\.)?mydomain.com/" request_ok = 1 Order Allow, Deny

Allow from env=request_ok

</FilesMatch>

В данном примере запрещается доступ ко всем изображениям (GIF и JPG) для всех запросов, которые пришли со сторонних доменов (mydomain.com). Чтобы все заработало,

				hang		e
			C				E
		X
	-							d
	F								t
	D								i
									r
P						NOW!			o
					BUY
				to
FAQ UNITEDw Click										m
w
	w								o
	.							.c
		p					g
			df			n		e
				-x cha

БОЛЬШОЙ ВОПРОС

ЕСТЬ ЛИ КАКИЕ-НИБУДЬ Q ПРОДВИНУТЫЕ СПОСОБЫ

ИСПОЛЬЗОВАТЬ АЛЬТЕРНАТИВНЫЕ ПОТОКИ NTFS? ХОТЕЛОСЬ БЫ СПРЯТАТЬ ДАННЫЕ ТАК, ЧТОБЫ ИХ НЕЛЬЗЯ БЫЛО НАЙТИ ХОТЯ БЫ СТАНДАРТНЫМИ ИНСТРУМЕНТАМИ ДЛЯ РАБОТЫ С ADS.

Открыл для себя недавно

Aинтересный хак и спешу им

поделиться. Когда ты создаешь альтернативный поток и цепляешь его к файлу, использующему в качестве названия какое-то зарезервированное имя (CON, PRN, AUX, NUL, COM1, LPT1 и т.д.), то данные внутри этого потока становится невидимыми для команды «dir /R» и даже утилиты streams.exe от Марка Руссиновича. Правда, до тех пор, пока ты не будешь использовать «\\?\» в пути к файлу. Итак, создаем файл в ADS:

С:\temp>type C:\Windows\System32\

cmd.exe > \\?\C:\temp\NUL:hidden_

ADS.exe

А теперь попробуем его найти:

C:\temp>dir /r C:\temp

Directory of C:\temp

.

..

5	NUL
1	File(s)	5 bytes

C:\temp>streams C:\temp

Streams v1.56 - Enumerate alternate

(C) 1999-2007 Mark Russinovich

NTFS data streams

No files with streams found.

Вывод команд говорит сам за себя. Есть еще один интересный момент. Если спрятанный файл является исполняемым, то его можно запустить через механизм WMIC:

C:\temp>wmic process call create

\\?\C:\temp\NUL:hidden_ADS.exe

Executing (Win32_Process)->Create()

Method execution successful.

Out Parameters:

instance of __PARAMETERS

{

ProcessId = 1620;

ReturnValue = 0;

};

Темаальтернативныхдисковыхпотоковизъезженавдольипоперек,нодосихпорпоявляютсянекоторые интересныехаки,которыезачастуюоказываютсяполезныминапрактике.

После недолгих поисков быстро нахо- 3 дится NTsyslog (troy.jdmz.net/syslogwin)

— программа, которая запускается как сервис, оформляет системные события Windows в единую строку и отправляет их на удаленный syslog-сервис. Надо лишь выбрать тип событий, которые нас интересуют, и указать адрес основного и запасного syslog-серверов.

Еще один вариант отправить логи с 4 Windows-машин — воспользоваться

проектом Snare (www.intersectalliance. com). Он предлагает коммерческое решение для агрегации логов и бесплатные агенты для разных ОС, которые занимаются тем, что передают журнальные события. Для Windows лучше выбрать Snare Agent.

Использовать онлайн-сервисы вроде 5 Loggly может оказаться дорого. Но

можно поднять подобный сервис самому. Graylog2 (graylog2.org) который собирает все syslog-сообщения в БД, после чего предоставляет классный веб-интерфейс для поиска интересующих сообщений и выполнения различного рода анализа.

ХАКЕР 12 /155/ 2011

141

				hang		e
			C					E
		X
	-								d
	F									t
	D									i
										r
P						NOW!				o
					BUY
				to		UNITSm					/FAQUNITED
w Click
w
	w									o
	.								.c
		p						g
			df	-xcha			n		e

				hang		e
			C				E
		X
	-							d
	F								t
	D								i
									r
P						NOW!			o
					BUY
				to
Антон«ant»Жуковw Click										m
w
	w								o
	.							.c
		p					g
			df			n		e
				-x cha

надо поместить этот код в конфиг Apache'а или файл .htaccess.

ЕСТЬ ЗАДАЧА. МНЕ НЕОБХОДИМО Q РАСПРОСТРАНЯТЬ ДИСТРИБУТИВ СВОЕГО ПРИЛОЖЕНИЯ, КОТОРЫЙ ИМЕЕТ ДОВОЛЬНО УВЕСИСТЫЙ РАЗМЕР (2 ГБ). ХОСТИТЬ ЕГО НА СВОИХ СЕРВЕРАХ ИЛИ ОБЛАКЕ — БЕЗУМИЕ. В ПЕРВОМ СЛУЧАЕ НЕ ХВАТИТ РЕСУРСОВ, ВО ВТОРОМ — ДЕНЕГ. ЕСТЬ ЛИ ЕЩЕ ВАРИАНТЫ?

Пожалуй, лучшее, что можно приду- A мать в такой ситуации, — это задействовать для раздачи дистрибутива самих пользователей. Т. е. использовать P2Pпринцип, например торренты. Нет-нет, я не рекомендую вместо нормального дистрибутива предлагать пользователям скачать . torrent-файл (хотя это тоже вариант).

Идея в том, чтобы создать установщик, который имеет небольшой размер, но включает в себя встроенный торрент-клиент, с помощью которого можно автоматически и быстро выкачать полный объем новой версии дистрибутива. Тут я особенно рекомендую сервис Torrent2exe.com — он как раз позволяет преобразовать .torrent в исполняемый файл со встроенным торрентклиентом. В качестве примера могу приве-

сти проект DriverPack Solution 11 (drp.su/ru), у которого инсталлятор построен именно на основе Torrent2exe. Еще бы: размер дистрибутива — чуть меньше 3 Гб.

НЕДАВНО НАТКНУЛСЯ НА НУЖНЫЕ Q СЛАЙДЫ НА SLIDESHARE, НО СКАЧАТЬ ИХ НЕЛЬЗЯ. КАК БЫТЬ?

Авторы частенько запрещают A загрузку своих презентаций, что

довольно раздражает. Но одному человеку это очень не понравилось, и он написал bash-скриптик, с помощью которого подобная защита обходится на раз-два. Сценарий всем доступен на GitHub'е (https:// gist.github.com/1129974).

У МЕНЯ ПРОБЛЕМА С КОДИРОВКОЙ Q В БД. ВМЕСТО НОРМАЛЬНОГО ТЕКСТА ВЫВОДЯТСЯ КРАКОЗЯБРЫ.

НА САЙТЕ ВСЕ ОТОБРАЖАЕТСЯ НОРМАЛЬНО. В ЧЕМ ПРОБЛЕМА?

Скорее всего, данные в кодировке

A cp1251, а у таблиц указана кодировка по умолчанию latin1. Это самая распространенная причина. Ситуация возникает в следующих случаях:

•принеграмотномобновлениисверсии MySQLменьше4.1наболееновые;

•вработев«буржуйских»скриптов,которых вполнеустраиваеткодировкапоумолчанию, иони«забывают»,чтонеплохобыуказывать кодировкукактаблиц,такисоединения;

•припереходесодногосервера(укоторого установленадефолтнаякодировкаcp1251,в частности,таксделановДенвере)надругой (укоторогостоитстандартнаякодировка latin1).

Пофиксить баг — не проблема. Для преобразования нам понадобится Sypex Dumper (sypex.net). На вкладке «Экспорт» выбираем нужные таблицы, а тип кодировки — «auto». Нажимаем «Выполнить» и таким образом получаем резервную копию БД. Далее переходим на вкладку «Импорт», выбираем только что сделанный файл бэкапа, указываем кодировку «cp1251», помечаем опцию «Коррекция кодировки». Готово!

Стоит отметить, что есть еще одна в последнее время набирающая популярность проблема, в связи с повальным увлечением UTF-8. Создатели софта стали переводить свои детища на UTF-8, но и тут не все так гладко, как хотелось бы. Возникает сложность, когда у таблиц указана кодировка UTF-8, данные — тоже в UTF-8, но кодировка соединения установлена по умолчанию latin1. В результате в MySQL присылаются данные в UTF-8, но поскольку указана кодировка соединения latin1, то MySQL пытается преобразовать данные из latin1 в UTF-8.

КАК БЛОКИРОВАТЬ ПОПЫТКИ Q БЛОКИРОВКИ ПОПЫТОК БРУТФОРСА SSH-ДЕМОНА, ЗАПУЩЕННОГО НА LINUX-МАШИНЕ?

В этой ситуации, как и во многих

A других, спасет старый добрый iptables. Итак, прописываем несколько новых правил:

iptables -P INPUT DROP

iptables -A INPUT -m state --state \

ESTABLISHED,RELATED -j ACCEPT

iptables -A INPUT -p tcp -m tcp \

--dport 22 -m state --state NEW \

-m recent --set --name SSH

iptables -A INPUT -p tcp -m tcp \

--dport 22 -m state --state NEW \

-m recent --update --seconds 60 \

--hitcount 4 --rttl --name SSH \

-j DROP

iptables -A INPUT -p tcp -m tcp \

--dport 22 -m state --state NEW \

-j ACCEPT

С этого момента попытки брутфорса будут фиксироваться, а заблокированные адреса сохранятся в файле /proc/net/ipt_recent/SSH.

ДОВОЛЬНО ЧАСТО ПРИХОДИТСЯ

Q ПОМОГАТЬ ДРУЗЬЯМ С НАСТРОЙКОЙ КОМПЬЮТЕРА ПО СЕТИ. ИНОГДА СЛУЧАЛОСЬ, ЧТО ИЗ-ЗА ФАЙРВОЛОВ

ПРОБИТЬСЯ К НИМ БЫЛО НЕВОЗМОЖНО. ЕСТЬ ЛИ КАКАЯ-НИБУДЬ СОФТИНКА ДЛЯ УДАЛЕННОГО АДМИНИСТРИРОВАНИЯ, ОБХОДЯЩАЯ ФАЙРВОЛЫ?

Первое, что приходит на ум, —

A TeamViewer и Chrome Remote Desktop, появившийся недавно в браузере от Google. Стоит также отметить программу DarkCometRAT (www.darkcomet-rat.com), позволяющую незаметно подключиться к удаленной машине, вообще не требуя какой-либо авторизации.

Если на удаленной машине запущен браузер, то сервер DarkComet-RAT может внедриться в него для обхода правил файрвола. Кроме того, утилита позволяет использовать удаленные компьютеры в качестве SOCKS5прокси, при этом передаваемый между клиентской и серверной частями трафик шифруется. Так что ее можно использовать не только для добрых дел :).

ХОЧУ В НЕКОТОРЫХ СЛУЧАЯХ Q ИСПОЛЬЗОВАТЬ TOR. НО НЕ

ПУСКАТЬ ЧЕРЕЗ НЕГО ВЕСЬ ТРАФИК (ЭТО О-О-ОЧЕНЬ МЕДЛЕННО), А НАСТРОИТЬ БЕЗОПАСНУЮ И АНОНИМНУЮ РАБОТУ ТОЛЬКО ДЛЯ СТРОГО ОПРЕДЕЛЕННЫХ ПРИЛОЖЕНИЙ.

Можно использовать тот же самый A принцип, что и при соксофикации приложений — только пускать трафик

приложения не через SOCKS, а через Tor-сеть. Поможет в этом утилита Torsocks (code.google. com/p/torsocks):

$ usewithtor [application]

где application — имя приложения, которое будет работать через Tor.

Или сложнее. Предположим, по ssh к some.ssh.com, и завернуть этот трафик в Tor:

$ usewithtor ssh username @ some.ssh.com

Увы, под винду пока такой утилиты я не нашел.

ЕСТЬ SWF-ФАЙЛ, КОТОРЫЙ КАКИМ- Q ТО ОБРАЗОМ ОБФУСЦИРОВАН, ЧТОБЫ ПРЕПЯТСТВОВАТЬ ЕГО ДЕКОМПИЛЯЦИИ.

Советую попробовать проект as3-proxy A (github.com/alun/as3-proxy). Он основан на фреймворке-оптимизаторе

Apparat (code.google.com/p/apparat) и зачастую позволяет сломать используемую защиту без проблем.

К тому же сами декомпиляторы серьезно развиваются, в них встраиваются алгоритмы для обхода типичных вариантов обфусцировать код. z

142	ХАКЕР 12 /155/ 2011

				hang		e
			C				E
		X
	-							d
	F								t
	D								i
									r
P						NOW!			o
					BUY
				to
w Click										m
w
	w								o
	.							.c
		p					g
			df			n		e
				-xcha

				hang		e
			C				E
		X
	-							d
	F								t
	D								i
									r
P						NOW!			o
					BUY
				to
w Click										m
w
	w								o
	.							.c
		p					g
			df			n		e
				-x cha

				hang		e
			C					E
		X
	-								d
	F									t
	D									i
										r
P						NOW!				o
					BUY
				to		UNITSm					/ПРОЦЕСС
w Click
w
	w									o
	.								.c
		p						g
			df	-xcha			n		e

				hang		e
			C				E
		X
	-							d
	F								t
	D								i
									r
P						NOW!			o
					BUY
				to
w Click										m
w
	w								o
	.							.c
		p					g
			df			n		e
				-x cha

Газель+Bluetooth= разводчерезSMS

Вцентремониторингаодногоизоператоровсотовойсвязиобнаружилистраннуюактивность.Клиентыизодногоитогожеместа вгороденеожиданноначалиотправлятьSMSнанекоторыйплатныйномер.Сложнообъяснимаяситуацияоказаласьпримером изящногомошенничества,откоторогопострадалитысячилюдей.

1

Влюдномместебылаприпаркована газельснесколькимиантеннамина крыше.СканируяэфирBluetooth, специальныйноутбукотправлял запроснаустановкусвязи(pairing) всемобнаруженнымустройствам. Ничегонеподозревая,людичасто соглашалисьпринятьподключение.

2

Спомощьюустановленного соединениязлоумышленники передавалинателефоныжертв последовательностьAT-команд, отправляющуюSMS-сообщенияна платныйномер.Чтобынепотерять связь,использовалисьмощные Bluetooth-антенны.

3

Платныйномербыларендован злоумышленникамидлявывода денегчерезподставныхлиц.Номер намереннобылвыбранмаксимально«дешевым»,чтобыжертвыне обращаливниманиенанебольшое изменениесвоегобаланса.

1

4

2

3

4

Дляудаленногоуправленияноутбуками,спомощьюкоторыхпроводиласьатака,злоумышленники использовалиTeamViewer.Вгазели находилисьлишьмалочтопонимающиеисполнительиводитель. Онибылиарестованы.Организатор схемыпоканасвободе.

144	ХАКЕР 11/154/2011

				hang		e
			C				E
		X
	-							d
	F								t
	D								i
									r
P						NOW!			o
					BUY
				to
w Click										m
w
	w								o
	.							.c
		p					g
			df			n		e
				-xcha

> codin

				hang		e
			C				E
		X
	-							d
	F								t
	D								i
									r
P						NOW!			o
					BUY
				to
w Click										m
w
	w								o
	.							.c
		p					g
			df			n		e
				-x cha

				hang		e
			C				E
		X
	-							d
	F								t
	D								i
									r
P						NOW!			o
					BUY
				to
w Click										m
w
	w								o
	.							.c
		p					g
			df			n		e
				-xcha

					hang		e
				C				E
			X
		-							d
		F								t
		D								i
										r
	P						NOW!			o
						BUY
					to
w Click											m
w
		w								o
		.							.c
			p					g
				df			n		e
					-x cha