HARD CORE SECURITY LAB

Być może czasem zastanawiacie się... jak do licha robią to komputerowi przestępcy? Jak to możliwe, że udaje im się przejmować kontrolę nad tysiącami komputerów należących do nic nie podejrzewających internautów, a następnie śledzić ich każdy ruch, wykradać hasła oraz opróżniać konta bankowe. Jak ogromną wiedzę oraz jak błyskotliwą inteligencję muszą posiadać tego typu crackerzy (tych złych nazywamy crackerami, tych dobrych hakerami - przyp. red.)? Okazuje się jednak, że przeprowadzenie typowych ataków internetowych wcale nie wymaga niezwykłych umiejętności. Na dowód tej tezy, w kilku krokach przedstawiam poniżej (ku przestrodze, a nie na zachętę!) przykładowy atak phishingowy, pozwalający na zwabienie ofiary na uprzednio przygotowaną, fałszywą stronę Twittera.

Ataki phishingowe, czyli takie podczas których komputerowi przestępcy starają się zwabić internautów na utworzoną przez siebie witrynę podszywającą się pod inny serwis internetowy, w celu przechwycenia danych logowania, są coraz to popularniejsze. Wbrew pozorom, dane logowania do popularnych serwisów, takich jak Twitter, przedstawiają realną wartość i mogą osiągnąć na czarnym rynku cenę nawet 1000 USD za dane dostępowe do pojedynczego, w miarę popularnego konta. Wbrew obiegowej opinii wykonanie tego rodzaju ataku wcale nie wymaga jednak od crackerów ani niezwykłych umiejętności, ani nawet dużego nakładu pracy. Zobaczmy więc w jak prosty sposób można utworzyć złośliwą witrynę internetową stworzoną z myślą o masowym przechwytywaniu poświadczeń internautów. Celem przedstawionego poniżej przykładu jest oczywiście szerzenie świadomości o grożących nam wszystkim zagrożeniach, a nie promocja przestępczych, phishingowych ataków.

Na pierwszy rzut oka wydaje się, że cracker chcący wabić internautów na fałszywą witrynę Twittera, musi zadać sobie trud utworzenia stworzenia strony bardzo podobnej do oryginału. Nic bardziej mylnego...

Otóż wystarczy tylko sklonować oryginalną stronę logowania Twittera za pomocą programu super phisher 1.0. Super phiser powstał z myślą o maksymalnym uproszczeniu procesu tworzenia infrastruktury przeznaczonej do ataków phishingowych i rzeczywiście spełnia swe zadanie znakomicie. Wystarczy tylko w następujący sposób wypełnić formularz, podając wprost adres strony do sklonowania i nacisnąć przycisk Build Phisher:
W wyniku tak prostego zabiegu, we wskazanym w komunikacie folderze, zostanie utworzona następująca strona internetowa:
Zrzut naprawdę przedstawia utworzoną przez nas przed chwilą fałszywą witrynę Twittera! Pytanie tylko, kto zdoła ją odróżnić od oryginału? Oczywiście formularz logowania jest w pełnie funkcjonalny, a nasza fałszywa strona jest od razu wyposażona w mechanizm logowania wprowadzanych za jej pomocą poświadczeń...

Komputerowy przestępca jest więc w stanie w ciągu kilku minut utworzyć witrynę idealnie nadającą się do skutecznego ataku phishingowego. Teraz wystarczy już tylko opublikować taką stronę w Internecie oraz rozpocząć wabienie internautów. Potencjalne ofiary są zazwyczaj przyciągane za pomocą masowo rozsyłanych wiadomości e-mail, IM lub też coraz częściej za pośrednictwem masowych kampanii odbywających się w ramach serwisów społecznościowych.

Jak już wspomniałem, popularne konto na Twitterze może na czarnym rynku osiągnąć cenę nawet 1000 USD, czyli potencjalny zysk z tego typu przestępczej działalności może być naprawdę pokaźny...

Jak możemy się obronić przed tego typu atakami? Przede wszystkim, nigdy nie wolno podawać danych dostępowych (login, hasło) w ramach witryn odwiedzanych za pośrednictwem przesłanych nam przez kogokolwiek odnośników! Poza tym, w razie jakichkolwiek wątpliwości, możemy w stosunkowo prosty sposób sprawdzić, czy dana strona internetowa nie stanowi dla nas żadnego zagrożenia. Wreszcie, należy zwracać baczną uwagę na adresy URL odwiedzanych przez nas witryn. Crackerzy mogą bowiem starać się umieszczać swe fałszywe witryny pod adresami przypominającymi w mniejszym lub większym stopniu adres strony oryginalnej, jednak zawsze adresy te będą się różnić.

Mam nadzieję, że wszystkie osoby, które zdadzą sobie dzięki powyższemu przykładowi sprawę z tego, jak łatwo można tego typu atak przygotować, zaczną przywiązywać większą wagę do ciągle narastającego problemu, jakim jest właśnie phishing. Pamiętajmy również, że na ataki phishingowe narażony jest każdy, niezależnie od rodzaju używanego systemu operacyjnego oraz rodzaju stosowanej przeglądarki internetowej! Pozostaje nam więc tylko wzmożenie czujności oraz surfowanie z zachowaniem zdrowego rozsądku...

Artykuł autorski HCSL - Wojciech Smol