Фишинг в соцсетях. Как социальные сети помогают хакерам

За­чем зло­умыш­ленни­ку ата­ковать сот­рудни­ка в соци­аль­ной сети?

• Сот­рудник может отпра­вить «кол­леге» кон­фиден­циаль­ную информа­цию.
• Зло­умыш­ленник может получить дос­туп к лич­ному телефо­ну или компь­юте­ру сот­рудни­ка. Если на устрой­стве есть VPN, который под­клю­чает­ся к сети орга­низа­ции, счи­тай, что зло­умыш­ленник уже «гуля­ет» по кор­поратив­ному сер­веру или рас­сыла­ет фишин­говые пись­ма дру­гим сот­рудни­кам.
• Ес­ли в орга­низа­ции сла­бая пароль­ная полити­ка, то сот­рудник будет исполь­зовать оди­нако­вый или схо­жий пароль к соц­сети и к ресур­сам орга­низа­ции.

Вот такое сооб­щение может прис­лать зло­умыш­ленник, что­бы пре­одо­леть двух­фактор­ную аутен­тифика­цию, исполь­зующую авто­мати­чес­кий зво­нок как вто­рой фак­тор.

При­веден­ный выше при­мер, конеч­но, не для кор­поратив­ного мира, а для прос­тых граж­дан, но он может при­годить­ся, ког­да нуж­но прой­ти такой вид аутен­тифика­ции в кор­поратив­ном ПО.

Подготовка

Пе­ред тем как про­верять осве­дом­ленность сот­рудни­ка в соц­сети, нам, конеч­но, понадо­бит­ся акка­унт в ней (ско­рее даже нес­коль­ко). Акка­унт мож­но соз­дать или купить (пишешь в поис­ковике «купить акка­унт в ...»). Толь­ко не покупай «лом» (взло­ман­ный акка­унт), за угнанные акка­унты по голове не пог­ладят даже при исполь­зовании в закон­ном пен­тесте.

Пот­ребу­ются жен­ские акка­унты, неваж­но, какого пола наша цель. В боль­шинс­тве слу­чаев нашему фей­ку дол­жно быть око­ло 35–45 лет. Эро­тичес­ких фото раз­мещать не надо. Обыч­ная жен­щина.

Фо­тог­рафию на ава­тар­ку генери­руем с помощью ней­рон­ных сетей на сай­те thispersondoesnotexist.com. Резуль­тат генера­ции, как пра­вило, выг­лядит доволь­но реалис­тичным.

С исполь­зовани­ем такой фотог­рафии соц­сеть авто­мати­чес­ки не забанит тебя за воровс­тво фото из дру­гих акка­унтов. Осталь­ные фотог­рафии берем с людь­ми, но без лиц. Трех‑пяти сним­ков будет дос­таточ­но. Для получе­ния уни­каль­ных фото отлично подой­дут скрин­шоты из видео.

Под­писывать фотог­рафии важ­но «по‑челове­чес­ки», эмо­циональ­но, что­бы соз­давалось впе­чат­ление, что они не фей­ковые. Неп­рофес­сиональ­ные фотог­рафии при­роды тоже подой­дут, но не забыва­ем о под­писях, нап­ример «Зима в раз­гаре».

За­пол­няем осталь­ные поля в про­филе по нас­тро­ению: шко­ла, вуз и так далее. Мес­то работы не пишем, но мож­но написать, что ты HR, если собира­ешь­ся общать­ся с жер­тва­ми в этой роли.

Ес­ли ты соз­дал акка­унт с нуля, нуж­но добавить ему «исто­рию». На сте­не дол­жны быть какие‑то записи в про­шед­шем вре­мени. В «зап­рещен­ной в Рос­сии соц­сети» лег­че все­го соз­дать себе акка­унт десяти­лет­ней дав­ности. Алго­ритм дей­ствий очень прос­той.

Пуб­лику­ем пост с нас­трой­кой видимос­ти «Толь­ко я».

Жмем на рас­положен­ную спра­ва кноп­ку вызова меню и меня­ем дату на три‑четыре года назад.

Раз­меща­ем таким обра­зом 8–10 пос­тов.

Те­перь нуж­но «набить» дру­зей в акка­унт. Кто у нас любит зна­комить­ся с новыми людь­ми, даже если не зна­ет их? Пра­виль­но, учас­тни­ки соот­ветс­тву­ющих темати­чес­ких групп.

До­бав­ляем­ся в пер­вую попав­шуюся груп­пу и в раз­деле «Учас­тни­ки» видим десят­ки тысяч наших потен­циаль­ных дру­зей. Откры­ваем их про­фили и нап­рашива­емся в друзья к 20–30 людям. Как толь­ко тебя добавит нес­коль­ко человек, иди к ним в про­фили в раз­дел «Друзья» и отправ­ляй заяв­ки в друзья их друзь­ям (как мно­го слов «друзья» в одном пред­ложении, но что поделать, даль­ше будет еще боль­ше).

Лю­ди, которым будут при­ходить твои заяв­ки, уви­дят, что у вас есть общий друг, и с боль­шей веро­ятностью добавят тебя в свой круг обще­ния. Спус­тя час я таким спо­собом набирал по 500–600 человек.

Но для наших целей дос­таточ­но и 100–200 человек. Что­бы облегчить старт рас­крут­ки, мож­но купить акка­унт с друзь­ями. Сто­ит он око­ло 40–50 руб­лей, а в друзь­ях уже будет 50–100 про­филей.

Те­перь нуж­но добав­лять целевых дру­зей. Для это­го ищем людей по наз­ванию орга­низа­ции.

До­бав­ляем человек десять, не боль­ше, и ждем, ког­да нас при­мут в друзья. Теперь отправ­ляем заяв­ки всем осталь­ным, кого мы смог­ли най­ти. Доверия к нашему про­филю будет боль­ше, если у нас в друзь­ях уже чис­лится кол­лега из орга­низа­ции жер­твы. Если сот­рудни­ков таким спо­собом наш­лось нем­ного, при­дет­ся идти в дру­гие соц­сети и искать людей там.

На стра­нице орга­низа­ции видим спи­сок сот­рудни­ков и пыта­емся най­ти их в основной соци­аль­ной сети, что­бы добавить в друзья.

А еще сов­сем нехоро­ший человек может стать SMM-рей­дером, то есть прис­воить себе груп­пу в LinkedIn, у которой пока нет вла­дель­ца (см. скрин­шот ниже), но сей­час не об этом.