По воровской

Олег Толстых aka NSD

Хакер, номер #078, стр. 078-052-2

Что же делают взломщики-охотники за буржуйскими банковскими аккаунтами? Они протроянивают наивных американцев специально разработанным софтом, который отлавливает пароли, вводимые в web-формы. Затем троян отсылает улов на хакерский сервер, где украденные пароли обрабатываются и заносятся в базу. Слив инфу с большого количества компьютеров, хакер может производить выборку по своей базе, отбирая пассы от нужных ему ресурсов. Сам понимаешь, ничто не мешает завладеть паролями от банковских аккаунтов, платежных систем или аукционов.

Есть и другой, гораздо более сложный способ получения доступа к управлению финансовыми счетами банков. Если на минуту представить, что мне удалось получить шелл-доступ к серверу firstbank.com, поломав его приватным 0day-сплойтом, то я уделаю своими слюнями все вокруг. Ведь за пару минут я заработаю столько денег, сколько обычный человек не заработает за всю жизнь. Достаточно будет просто слить всю базу с логинами и пассами законопослушных клиентов, пользующихся услугами банка.

[фишинг]

Фишинг — это технология, основанная на социальной инженерии и направленная на хищение персональных данных (обычно логина и пароля) для поимки целевого аккаунта. Немалое количество пассов удается выманить у ламеров при массовой рассылке красноречивых писем с поддельным адресом отправителя, содержащих просьбу «уточнить конфиденциальные данные». Представь, что мне нужно поиметь акки пользователей платежной системы E-Gold. Для этого можно разослать американцам письма с просьбой «срочно зайти на акк» и ссылкой на страницу www.e-gold.com/acct/login.html. Кликнув на линк, юзер попадет на совершенно левый сервер, не имеющий никакого отношения к е-голду, к примеру, на http://e-gold.nsd.ru (см. скрин). Лопоухий америкос наивно введет свой пароль, не заметив подвоха, в результате чего я неплохо бухну на его бабки :). А если прикрутить к фишингу еще и технологию URL spoofing, то есть способ подделки адресной строки браузера, одураченными могут оказаться не только ламеры, но и опытные пользователи. Об этой технологии мы рассказывали в прошлогоднем мартовском выпуске (63 номер). Вот таким забавным и простым способом хакеры успешно по сей день получают пассворды от банковских счетов и акков платежных систем.

[взлом инет-магазинов]

Чтобы законный юзер мог произвести покупку в американском интернет-магазине, принимающем в качестве оплаты кредитные карты, ему придется сначала регаться в системе. При регистрации, помимо персональных данных, ему необходимо указать еще и сведения о своей кредитке, которой будет оплачиваться электронная покупка. Все введенные данные заносятся в базу и извлекаются из нее при совершении покупок для перевода денег со счета владельца карты на счет интернет-магазина. Данные кредитной карты хранятся специально для того, чтобы холдеру не приходилось вбивать номер креды заново при совершении очередной покупки. Сам понимаешь, если хакер поломает сервер, на котором крутится магазин, ему не составит труда сдампить таблицу с кредитными картами из базы данных.