Скачать "Боевой OSINT — разведка и сбор информации"
%3Aformat(webp)%2Fi.ytimg.com%252Fvi%252F3TDyeoyyEaU%252Fmaxresdefault.jpg&w=1139&q=75)
Подождите немного, мы готовим ссылки для удобного просмотра видео без рекламы и его скачивания.
Топ скачиваемых видео
%3Aformat(webp)%2Fi.ytimg.com%252Fvi%252FT8I165Qxeo8%252Fmaxresdefault.jpg&w=1139&q=75)
%3Aformat(webp)%2Fi.ytimg.com%252Fvi%252FW_hsGsd39Kg%252Fmaxresdefault.jpg&w=1139&q=75)
%3Aformat(webp)%2Fi.ytimg.com%252Fvi%252FM8r3x4Re8-I%252Fmaxresdefault.jpg&w=1139&q=75)
%3Aformat(webp)%2Fi.ytimg.com%252Fvi%252FAuXhjp4ftqY%252Fmaxresdefault.jpg&w=1139&q=75)
%3Aformat(webp)%2Fi.ytimg.com%252Fvi%252FVGnOpZhsPk4%252Fmaxresdefault.jpg&w=1139&q=75)
%3Aformat(webp)%2Fi.ytimg.com%252Fvi%252FOzRn10axyyA%252Fmaxresdefault.jpg&w=1139&q=75)
%3Aformat(webp)%2Fi.ytimg.com%252Fvi%252FAsKwYoq7hRw%252Fmaxresdefault.jpg&w=1139&q=75)
%3Aformat(webp)%2Fi.ytimg.com%252Fvi%252FSKTzF5u_-zU%252Fmaxresdefault.jpg&w=1139&q=75)
%3Aformat(webp)%2Fi.ytimg.com%252Fvi%252FtqXDZmwJJio%252Fmaxresdefault.jpg&w=1139&q=75)
%3Aformat(webp)%2Fi.ytimg.com%252Fvi%252FGK0s8TI4UMI%252Fmaxresdefault.jpg&w=1139&q=75)
Теги видео
Субтитры
Английский
00:00:08
Всем привет Меня зовут Дима Мой ник00:00:11
саксой Сегодня я расскажу про00:00:13
использование информации в Осин пару00:00:16
слов о себе Я работаю в безопасности00:00:18
занимаюсь разработкой анти-бот и00:00:20
антифрод решений Ну и в качестве хобби00:00:23
занимаюсь асинтом здесь я представляю00:00:28
107495 на этапах которого сообщества00:00:32
обычно рассказываю доклады про поиск00:00:36
информации и про приватность немного о00:00:39
том как будет устроен сегодняшний доклад00:00:41
я расскажу почему мы вообще заводим речь00:00:46
про утечки в поиске информации открытых00:00:49
источников покажу пару примеров про то00:00:51
как сервисы частично раскрывают нашу00:00:53
информацию и про то как сервис00:00:55
раскрывают все про нас что только можно00:00:59
И еще мы обсудим немного в целом00:01:03
экосистемы сервисов крупных тикомпаний00:01:05
что с ними не так и что с этим делать00:01:08
про информационные утечки речь будет00:01:11
идти не о сливах больших количеств00:01:15
данных не о базах которые выкладываются00:01:18
не общедоступных Excel документов00:01:21
зараженными К видам а о классических00:01:24
таких уязвимостях Information00:01:27
по00:01:29
каталогу команд Личностью это00:01:34
cw200 и называется это официальная00:01:37
экспажи в сенсив informational это00:01:40
уязвимость вернее Тип уязвимости который00:01:43
занимает седьмое место из 25 в топе за00:01:46
2020 год и по сути это одна из самых00:01:49
распространенных типов уязвимости но при00:01:52
этом одна из самых00:01:53
недооцененных во-первых потому что00:01:56
большую часть таких уязвимостей00:01:58
представляют какие-то простые случаи с00:02:01
утечкой дебаг информации влогах с00:02:05
малозначительным00:02:06
раскрытием информации которая не поможет00:02:11
залезть хакеру в систему но при этом00:02:14
всегда остается возможность раскрытия00:02:17
очень чувствительной информации например00:02:19
как в случае с раскрытием администратора00:02:23
группы Facebook в исходном коде страницы00:02:26
собственно кейс который построена на00:02:28
этом слайде кейс в котором за 2.5 минуты00:02:31
ресер получил 2.500 баксов просто за то00:02:35
что открыл исход письма и нашёл там в00:02:39
приглашении вступить в группу00:02:41
чувствительные данные которые по сути00:02:43
должны быть скрыты это всех И если такой00:02:47
кейс вас не удивит то вот например00:02:49
другой кейс с нахождением э личных00:02:53
паспортных данных бывшего00:02:55
премьер-министра австрали просто в00:02:57
исходном коде страницы сайта00:03:00
авиаперевозчика ссылочка там тоже00:03:03
приложена довольно интересный случай это00:03:06
причина по которой нельзя публиковать в00:03:08
социальных сетях свои билеты потому что00:03:11
на каждом авиабилете переводчик печатает00:03:14
номер пассажира по00:03:17
международной классификации поэтому00:03:20
номеру пассажира можно совершенно без00:03:22
какого-то пароля зайти на сайт00:03:25
авиаперевозчика и там просмотреть00:03:27
какие-то личные данные по своим полетам00:03:29
Ну и в том числе какие-то перевозчики в00:03:33
исходных годах страниц прям сохраняют00:03:35
все доступные данные из базы Ну00:03:38
собственно в чем роль утечек в осинт00:03:42
именно в текущем комьюнити то есть в00:03:46
сообществе Энтузиастов которые00:03:48
занимаются поиском информации в открытых00:03:50
источниках в качестве примера Я здесь00:03:52
прикрепил скриншот переписки с эйчаром00:03:55
одной из известных компаний российских00:03:58
которые постучался ко мне и в качестве00:04:01
такого описания того Чем они занимаются00:04:03
сказал что они те кто качают асинт в00:04:06
России рассказывают людям про уязвимости00:04:08
и дает возможность пользоваться этими00:04:10
уязвимостями собственно это00:04:13
позиционирование которое сквозит много00:04:16
откуда и не только в российском00:04:18
комьюнити потому что утечки персональных00:04:20
данных это по сути золотая жила Поу00:04:24
легальная неофициальное но позволяющая00:04:27
искать много информации о людях и00:04:31
монетизировать где утекают персональные00:04:35
данные Ну это не так сложно на самом00:04:38
деле практически все сервисы которые00:04:41
имеют у себя базу данных с личными00:04:45
профилями и имеет какую-то00:04:46
функциональность по регистрации00:04:48
авторизации восстановлении пароля этих00:04:51
же местах и допускают утечки вместе с00:04:54
тем и просто в исходных годах единиц00:04:57
бывают скрытые данные которые00:05:00
исходно полагаются приватными и никому00:05:04
не раскрываются плюс часто есть00:05:06
функциональность такая как вот инвайты00:05:09
Фейсбука которые уже озвучил как00:05:12
предоставление каких-то полномочий00:05:14
разрешения Ну и вообще любые00:05:15
пользовательские взаимодействия везде в00:05:18
этих местах мы можем найти00:05:21
пристальном взгляде утечку каких-либо00:05:25
персональных данных простой пример это00:05:28
на самом деле не Утечка потому что здесь00:05:30
нет приватной информации вся на публично00:05:33
но интересно кейс для старта Если вы00:05:36
попробуете зарегистрироваться на сайте00:05:38
вирус Тотал то достаточно начать вводить00:05:41
username в соответствующем поле как на00:05:44
сервер начнут отправляться запросы с00:05:47
этими зернеймом для проверки00:05:48
зарегистрирован он или нет Казалось бы00:05:51
что должен вернуть этот Запрос к серверу00:05:53
Он наверное должен вернуть вам бульва00:05:55
значения да или нет или нет На самом00:05:57
деле он возвращает массив всех доступных00:05:59
данных о пользователе с таким никнеймом00:06:02
если он есть то вот пожалуйста Вам00:06:04
портянка с именем с никнеймом с датой00:06:09
регистрации со статусом и так далее если00:06:12
его нет ну как бы Извините ничего и00:06:16
такие кейсы встречаются достаточно часто00:06:18
иногда в Таких данных прилетают и00:06:22
совершенно неожиданные поля но мы00:06:25
перейдем дальше к частичному раскрытию00:06:27
данных и начнем как раз регистрации00:06:29
авторизации00:06:30
Возможно вы узнаете сервисы которые00:06:34
приведены на этих скриншотах это00:06:36
достаточно простой Flow восстановления00:06:40
пароля который тем не менее предлагает00:06:42
вам убедиться что Вы отправляете00:06:45
какое-то восстановления на тот ящик или00:06:47
на тот телефон который принадлежит вам00:06:49
Facebook например раскрывает почти все00:06:52
реквизиты которые у вас есть закрывая00:06:54
звёздочками00:06:56
по теме звёздочек есть отдельные ритёрчи00:06:58
о том как можно эти звёздочки скажем так00:07:01
раскрывать даже восстанавливать номер00:07:04
полностью используя восстановление00:07:06
пароль на разных сервисах об этом будет00:07:08
чуть позднее Суть в том что практически00:07:10
любой сервис авторизации имеет такую00:07:13
функциональность и позволяет вам зная00:07:15
адрес аккаунта узнать и примерный его э00:07:20
почтовый ящик привязанный и номер00:07:22
телефона00:07:24
это реальный пример одного из российских00:07:28
провайдеров связи э как вы видите на00:07:31
Верхнем слева скриншотики а если человек00:07:36
помнит номер договора или телефон или00:07:38
e-mail то он по сути может восстановить00:07:40
полностью доступ ко всему остальному00:07:42
Поэтому если вы знаете чей-то номер00:07:44
договора чей-то телефон чей-то e-mail то00:07:47
вы его вбиваете продвигаетесь дальше по00:07:49
экрану И вам предлагается строка с00:07:52
закрытыми звёздочками остальными00:07:55
реквизитами но при этом в аяк-запросе00:07:59
в ответе запрос прилетает полная00:08:02
портянка с номером договора без00:08:06
звёздочек с почтовым ящиком который тоже00:08:09
немного закрыт звёздочками вот как00:08:11
Видите Там строка масс звёздочки собака00:08:16
Две звездочки ещё две звёздочки Я думаю00:08:19
всем можно догадаться что это mail.ru а00:08:21
зная фамилию человека00:08:24
которого зарегистрирован этот договор00:08:26
можно и предположить какой email был до00:08:30
собаки собственно что вы можете получить00:08:34
в общем случае когда пользуетесь такой00:08:36
функциональностью Вы можете получить00:08:38
кусочки персональных данных по любому00:08:42
идентификатору который считается00:08:44
первичным системе это либо какой-то00:08:46
айтишник например в случае Фейсбука это00:08:50
юзерный который уникален в пределах00:08:53
сервиса это номер телефона e-mail То00:08:56
есть фактически00:08:57
любые данные которые у вас есть на00:09:00
человека они могут стать входной точкой00:09:02
к тому чтобы остановить все остальные00:09:04
естественно если использовать в связке00:09:07
множество сервисов то вы получаете00:09:09
возможность собрать все все номера все00:09:13
имейлы которые привязаны к человеку по00:09:15
сути всё это сводится к массовой00:09:18
эксплуатации механизма восстановления00:09:20
пароля логина регистрации и по поводу00:09:23
этого есть отли доклад от Мартина Вига00:09:27
который занялся Этой темой в00:09:29
американском сегменте интернета и сделал00:09:32
утилиту которая позволяет восстановить00:09:34
номер телефона Пользуясь восстановлением00:09:37
через eBay PayPal00:09:39
Yahoo и так далее Ну и вот собственно00:09:41
ссылочка на его инструмент и на еще один00:09:43
инструмент под названием Holy he который00:09:46
пользуется функциональностью регистрации00:09:49
плюс извлекает какие-то дополнительные00:09:51
данные пытаясь остановить пароль00:09:54
инструмент кстати активно развивается я00:09:56
в него тоже немножко по контрибьютил Он00:09:59
написан французом но теперь у него00:10:01
поддерживается и российские сервисы так00:10:03
что можете попробовать и важная вещь о00:10:06
которой здесь хочется сказать что00:10:07
двухфакторная и вообще мультифакторная00:10:09
аутентификация про которую часто говорят00:10:11
как про а-а одну из обязательных мер00:10:14
защиты от взлома она при этом может быть00:10:17
ещё и проблемой приватности потому что00:10:20
привязывая какие-то вторичные имейлы00:10:23
вторичные номера смартфонов для00:10:25
восстановления вы даете возможность00:10:27
сервису эти реквизиты показать еще00:10:30
кому-то и соответственно узнать про вас00:10:33
больше информации А мы тем временем00:10:36
начнем говорить про полное раскрытие00:10:38
данных и в качестве примера Я приведу00:10:41
кейс с раскрытием электронного ящика00:10:45
Google по запасному электронному ящику00:10:48
думаю все кто пользовались аккаунтом00:10:50
Google получали время от времени00:10:51
уведомления о том что не хотите00:10:54
проверить свою безопасность настройки00:10:56
приватности а Приведите резервный00:10:59
электронный ящик под руку забудете свой00:11:02
пароль мы вам вышлем00:11:04
для восстановления туда что-нибудь00:11:07
Неудивительно Я думаю что у Гугла в00:11:10
большом количестве его сервисов кое-где00:11:12
просачивается функциональность которая00:11:14
позволяет связать эти два номера в00:11:17
данном кейсе это получение прав доступа00:11:21
в Google analytics тут нет интерфейса00:11:25
только сообщения поэтому расскажу На00:11:27
словах все просто вы хотите предоставить00:11:29
кому-то доступ к аналитике сайта и00:11:31
вбивайте его email если этот email00:11:34
скажем который расположен на mail.ru00:11:37
если он является запасным резервным00:11:40
электронным ящиком какого-то ящика00:11:43
нажимаем ru то появляется подсказка а00:11:45
вот мы знаем что этот ящик является00:11:48
альтернативным по отношению к такому Вот00:11:52
это собственно Казалось бы какое-то00:11:55
раскрытие приватной информации но при00:11:58
этом до сих пор это не пофикшена и00:12:01
официально там у ресерчеры которые ты00:12:03
нашел ответили что ну это да не баг это00:12:06
фича так надо интересная вещь что вместе00:12:09
с электронным ящиком первичным здесь еще00:12:13
раскрывается и уникальный идентификатор00:12:15
пользователя который называется Гая00:12:18
о котором мы еще немножко поговорим00:12:21
собственно что вы можете делать с уте00:12:24
никакого Типа вы можете получить00:12:26
реальный аккаунт человека который00:12:28
анонимен это достаточно частый кейс00:12:30
когда люди используют несколько00:12:32
электронных ящиков И один из них ну00:12:35
привязан к их реальной личности иногда00:12:37
даже содержит в имени их имя и фамилию и00:12:41
достаточно распространенный кейс Когда00:12:44
вы привязываете его в качестве00:12:45
резервного таким образом можно00:12:47
восстановить цепочки по одному ящику00:12:49
найти другой подтвердить например что00:12:52
два ящика принадлежат одному и тому же00:12:55
человеку и более того использовать тот00:12:57
самый айдишник учетной записи Google00:13:00
чтобы получить информацию из других00:13:02
сервисов есть инструменты которые это00:13:05
используют собственно один из них это00:13:08
даже бот в телеграме который позволяет00:13:10
просто вам прислать электронный ящик и в00:13:13
ответ получить бесплатно без регистрации00:13:15
SMS почтовый ящик Google который00:13:19
привязан к этому электронному ящику00:13:23
давайте рассмотрим для сравнения еще00:13:26
одну уязвимость которая тоже позволяет00:13:28
раскрывать почту но при этом00:13:30
действительно была засчитана уязвимостью00:13:32
со стороны Google она была немного00:13:35
сложнее и хитрее и позволяла опять же00:13:38
при знании идентификатора пользователя00:13:41
получить основной email заключалась она00:13:45
в следующем Я думаю многие из вас00:13:48
заходили в настройки в дашборд Google и00:13:51
возможно видели что в урле находится тот00:13:55
самый цифровой идентификатор00:13:57
естественно человек с майнсетом хакера00:14:01
или асинкера он сразу же подумает что00:14:04
получится если этот идентификатор00:14:06
сменить так подумал один из ресерчеров00:14:09
ссылка на райтаб которого ниже на слайде00:14:12
и попробовал заменить его на другой00:14:14
идентификатор абсолютно случайного00:14:16
пользователя его перекинуло на страницу00:14:18
логина с приглашением Добавить новый00:14:21
электронный ящик существующие учетной00:14:24
записи и поле ввода было уже заботливо00:14:26
заполнено основным электронным ящиком00:14:28
того человека которому был составлен00:14:31
этот айдишник собственно возникает00:14:34
вопрос А что еще можно делать с такими00:14:37
айтишниками если они по сути позволяют00:14:41
выяснять00:14:42
всю связку всех данных пользователя00:14:46
касательно самого Гугла его экосистемы00:14:49
на этом скриншотике приведена только00:14:51
часть всех сервисов которыми владеет00:14:53
Google и наверняка в большую часть этих00:14:56
сервисов вы так или иначе заходили пусть00:14:59
даже случайно и вместе с тем у Гугла00:15:02
есть только один аккаунт который00:15:04
позволяет заходить сервисы что Вполне00:15:06
справедливо и Удобно вам не нужно00:15:08
регистрироваться везде вам достаточно00:15:10
иметь просто ящик электронной почты00:15:13
Gmail вместе с тем возникают И00:15:17
разумеется риски которые при00:15:20
комплиментации учетной записи на00:15:22
каком-то одном в этом сервисе позволяют00:15:23
узнать о вас информацию на других00:15:26
сервисах и переходим к использованию00:15:29
того самого идентификатора Гугла что вы00:15:32
можете получить Если у вас есть00:15:33
идентификатор это можно сделать прямо00:15:35
сейчас при наличии абсолютно любого00:15:37
айдишника вы можете узнать имя00:15:39
пользователя время00:15:42
последнего изменения профиля те сервисы00:15:45
которыми00:15:47
юзер пользовался00:15:50
YouTube каналы которые возможно связаны00:15:53
с этим айтишником юзернеймы публичные00:15:55
фотографии даже модели телефонов и00:15:58
прошивки ревью на картах Google и вместе00:16:02
с тем физическое расположение человека и00:16:04
даже события из календаря Google тут00:16:08
надо еще сделать оговорку что при00:16:10
максимальном уровне приватности00:16:12
пользователя когда он закрыл везде00:16:14
доступ конечно часть этих данных вы не00:16:16
увидите но Давайте спросим себя кто00:16:19
настраивает уровень приватности у себя00:16:22
на максималку как только регистрируется00:16:24
в Гугле Ну немногие люди и Собственно00:16:27
как можно эту информацию получить это00:16:30
относительно новая туза называется00:16:32
джихант вам достаточно иметь только ящик00:16:35
электронной почты который привязан к00:16:38
углу он может быть абсолютно на любом00:16:40
домене Вот здесь например приведен на00:16:42
скриншоте пример00:16:43
live.fr французский и по ящику утилита00:16:48
вам найдет всю доступную информацию00:16:49
которая есть в Гугле утилита активно00:16:52
развивается так что не буду удивлен если00:16:55
она начнет подтягивать какие-то совсем00:16:57
экзотические данные в будущем00:17:00
естественно Google Это не единственный00:17:02
пример экосистемы сервисов которая00:17:05
раскрывает О пользователе все что можно00:17:09
и не единственный пример экосистемы в00:17:12
которой на один аккаунт00:17:13
завязаны все остальные сервисы Яндекс00:17:17
берет пример но при этом пытается00:17:20
все-таки обезопасить пользователя за что00:17:22
им Большое спасибо на схеме на сайте00:17:25
представлена связка сервисов00:17:28
Яндекса таких Например музыка коллекции00:17:32
Яндекс Дзен Яндекс отзывы и не во всех00:17:36
этих сервисах можно по никнейму00:17:38
пользователей по его почте получить00:17:40
профили Но вместе с тем они используют00:17:43
некий набор идентификаторов допустим как00:17:46
логин так и внутренняя диешник или00:17:48
паблик ID и по этим идентификаторам так00:17:51
или иначе можно из одного сервиса выйти00:17:53
на другой в одной группе в телеграме00:17:58
которая владеет00:18:00
изменённым Ботом how to find немножко00:18:02
прорекламирую ребята исследовали эту00:18:05
тему Я тоже к этому активно подключался00:18:08
и у них есть00:18:11
целый алгоритм того как можно найти всю00:18:14
информацию о пользователе имея только00:18:16
его одну учетную запись в каком-либо из00:18:19
этих сервисов подчеркну что эта запись00:18:21
может быть абсолютно анонимной То есть00:18:23
она может быть названа совершенно другим00:18:26
именем у нее не будет никнейма будет00:18:29
только некий паблик ID поэтому паблик00:18:31
один можно выйти на все остальные00:18:33
аккаунты и Как пример в ходе00:18:36
исследования ребята зарепортили00:18:38
уязвимость Яндекс Дзен они нашли просто00:18:41
в исходном коде паблик ID создателя00:18:44
статей на цене то есть для примера чтобы00:18:49
всем было понятно анонимные каналы в00:18:51
телеграме Как вы думаете Сколько бы00:18:53
могли заплатить на чёрной бирже за00:18:55
уязвимость которая позволяет найти00:18:57
автора канала в телеграме довольно много00:19:00
ну Яндекс заплатил 100 баксов за что в00:19:04
принципе им большое спасибо что не00:19:05
рассмотрели это уязвимость и закрыли ее00:19:08
но риск того что в любом из этих00:19:11
сервисов может случиться утечка данных и00:19:14
внезапно вы00:19:16
через этот сервис расстройки про себя00:19:18
еще больше личной информации этот риск00:19:21
присутствует Ну и не останавливаясь на00:19:24
Яндексе Давайте подумаем о том что00:19:26
находится с нами всегда это наши00:19:29
телефоны и телефоны производят большие00:19:32
вендоры тоже с большой экосистемой00:19:34
сервисов и чаще всего это ну Прямо00:19:37
скажем сервисы не самого высокого00:19:39
качества00:19:40
в ходе ресёрча опять же были найдены00:19:44
несколько таких интересных вещей как00:19:46
например восстановление доступа у одного00:19:49
из вендоров которые раскрывает все00:19:51
привязанные электронные ящики и номера00:19:54
телефонов плюс ещё модели устройств в00:19:56
которой вы входили хоть раз со своей00:19:58
учётной записи и даже точки доступа00:20:01
wi-fi которым Вы подключались То есть00:20:04
все точки доступа которые были сохранены00:20:07
на вашем телефоне они сливались с00:20:09
телефоном и вендору И он теперь может00:20:11
для восстановления доступа их показывать00:20:13
абсолютно всем естественно по точкам00:20:16
доступа можно восстановить даже00:20:17
физическую локацию человека просто00:20:19
ориентируясь на открытые карты с00:20:23
геопозицией разных точек по названию00:20:28
и если этого было мало второй вендор00:20:32
телефонов который позволяет мало того00:20:35
что получить уникальный идентификаторы00:20:37
так ещё и на других сервисах00:20:40
позволяет запрашивать00:20:42
огромными бочами информацию по00:20:46
пользователям просто по00:20:47
User ID то есть достаточно узнать любой00:20:49
идентификатор Вот вы видите что у00:20:51
человека э Хмм телефон фирмы такой-то вы00:20:56
идёте восстанавливаете пароль по email00:20:59
или по номеру телефона видите00:21:01
идентификатор идёте в другой сервис того00:21:04
же вендора и запрашивайте информацию00:21:07
подробную из базы И пожалуйста у вас уже00:21:10
фактически целая досье на человека00:21:11
составленная только на основе знания00:21:14
того а-а какой у него номер телефона и э00:21:17
какая у него модель собственно что с00:21:20
этим делать к разработчикам предложение00:21:23
простое пожалуйста не позволяйте утекать00:21:25
персональным данным00:21:28
логика такая что можно запрашивать00:21:31
всегда какой-то дополнительное00:21:33
подтверждение как это делает например00:21:34
ВКонтакте Когда вы пытаетесь00:21:35
восстановить доступ он уточняет А какая00:21:38
фамилия у того профиля к которому вы00:21:40
пытаетесь этот доступ восстановить либо00:21:42
как тоже делают некоторые сервисы они00:21:45
пишут мы отослали вам уже письмо на тот00:21:48
электронный ящик который привязан как бы00:21:50
если вы его получили то вы Восстановите00:21:52
не получили увы и таким образом00:21:55
информация не раскрывается но не всегда00:21:58
это возможно и поэтому есть простые00:22:01
советы которые можно следовать во-первых00:22:03
делать мониторинг и аллертинг любые00:22:06
запросы они как правило где-то00:22:10
логируются А как правило где-то00:22:13
появляются на графиках и вы видите э Хмм00:22:16
количество запросов в минуту которая00:22:18
приходит на сервис если начинается00:22:20
массовая эксплуатация этого механизма00:22:22
такого как восстановления паролей или00:22:24
запросы какой-то ручки которая обычно00:22:27
дёргается а тут внезапно через нее00:22:30
начали брутить миллионы айдишников чтобы00:22:34
вытащить личную информацию вы должны это00:22:36
увидеть поэтому это определенно нужно00:22:39
логировать мониторить и ставить алерты00:22:41
на превышение какого-то порогового00:22:42
значения00:22:44
Кроме того есть простые механизмы00:22:47
Rate limite Когда вы не позволяете00:22:48
сделать больше запросов чем00:22:50
ну чем вам кажется разумным допустим 10000:22:53
запросов в минуту с айпишника или даже00:22:56
капче река пчев 3 от Google позволяет00:22:59
пользователям заходить на сайт вообще не00:23:02
вводя абсолютно никаких подтверждений00:23:04
того что человек не робот не разгадывая00:23:08
какие-то загадки просто на основе00:23:10
репутации человека которая собирается по00:23:12
посещению других сайтов этим человеком в00:23:16
интернете таким образом можно довольно00:23:18
прозрачно сделать верификацию того что00:23:21
это действительно был запрос от человека00:23:23
и что это не массовая эксплуатация00:23:25
каких-то запросов для получения данных и00:23:28
предложение ресерчером собственно Если00:23:31
вы внезапно нашли какую-то утечку или то00:23:34
что вы думаете является утечкой00:23:36
естественно это лучше всего за репорт и00:23:38
максимально писать Импакт который Вам в00:23:41
этом видится если там действительно есть00:23:43
личные данные которые при этом можно00:23:44
связать с данными другого сервиса и00:23:46
таким образом00:23:47
сделанонить человека то лучше об этом00:23:50
упомянуть чтобы люди ответственные за00:23:53
этот сервис внутри компании поняли что00:23:56
это действительно Серьёзно И что нужно00:23:58
принять какие-то меры Не факт что вы00:24:00
получите за это какое-то вознаграждение00:24:01
э но при этом поменьше мере ваша совесть00:24:05
будет чиста Но если Действительно это00:24:08
уязвимость не посчиталась уязвимостью и00:24:11
это только некая фича сервиса то00:24:13
Остаётся только её положить к себе в00:24:15
Арсенал и написать какой-нибудь00:24:17
инструментик который позволит вам Её при00:24:19
необходимости использовать некоторые00:24:21
ссылочки на материалы которые не пошли00:24:24
на слайды Но которые тоже будут00:24:26
безусловно полезны очень00:24:28
Я советую потом почитать и ознакомиться00:24:30
и собственно на этом все с вами был00:24:35
Дмитрий с Ником саксой напомню что я00:24:38
представляю здесь dc7495 ссылка на сайт00:24:40
на слайде и также еще по рекламирую свой00:24:43
канальчик в телеграме сет и how to find00:24:46
группу ребят которые ищут подобные00:24:49
уязвимости и оказывают о том как можно00:24:52
их использовать для поиска информации00:24:54
спасибо вопросы00:24:57
не находил участки Сбербанк не было тебя00:25:00
опыта для общения с их безопасниками вот00:25:03
интересно просто сказал зарепорте но это00:25:06
мне кажется не всегда хорошая00:25:07
стратегиями00:25:09
Да ты прав Работайте пору это такое и00:25:13
репорте уязвимости в какие-то00:25:16
государственные про государственные или00:25:18
аффилированные компании это конечно00:25:20
чревато в Сбербанке есть несколько фичей00:25:23
по меньшей мере были которые позволяли00:25:25
допустим00:25:26
электронный ящи у четки узнать или00:25:29
вообще довольно простые вещи например в00:25:31
приложении Сбербанк онлайн можно по00:25:34
адресу получить данные человека который00:25:38
владеет вот этой квартирой то есть нужно00:25:41
просто знать куда зайти там выбрать все00:25:43
регионы вести Я хочу оплатить вот за00:25:47
квартиру и тебе вот да вот вы такой-то00:25:49
такой-то такой-то такой-то вот номер00:25:51
договора пожалуйста переводите деньги я00:25:53
на дом клики подобное видел00:25:55
Неудивительно Спасибо00:26:20
работает00:26:22
Что такое осинт а поднимите на всякий00:26:25
случай руки кто вообще сталкивается с00:26:27
этим термином00:26:28
так Ну прикольно да где-то половина или00:26:31
даже больше собственно Что означает00:26:33
термин асинт это разведка на основе00:26:36
открытых источников данных Это можно00:26:39
сказать методология широко используемая00:26:42
более того некий руководитель разведки00:26:45
ЦРУ американской говорил что 9000:26:48
процентов00:26:49
разведданных приходит источников00:26:51
естественно это не все данные которыми00:26:54
оперируют разведка но на их основе00:26:57
вполне можно сделать какие-то00:26:58
политические решения00:26:59
и это те данные которые можем00:27:02
использовать Мы свои повседневной жизни00:27:05
или работе Когда сталкиваемся с00:27:07
какими-то случаями требующими00:27:09
расследования в качестве примера Я бы00:27:12
хотел озвучить очень интересный кейс о00:27:15
том как аналитики ЦРУ всего лишь по00:27:17
одной фотографии вернее стартуя с этой00:27:20
фотографии смогли восстановить схему00:27:23
энергоснабжения Урала и в частности по00:27:26
линиям энергоснабжения определить заводы00:27:30
на которых вероятнее всего производилось00:27:34
что-то относящееся к ядерной программе00:27:35
это была фотографии журнала огонек00:27:38
которые были замазаны название и линии с00:27:42
пульта управления диспетчерской но этого00:27:44
хватило чтобы аналитики смогли00:27:46
восстановить базовую схему и дальше00:27:49
отталкиваясь от других вырезок от00:27:52
каких-то там00:27:53
слов00:27:55
рассказов дипломатических миссий00:27:58
восстановить создать полную схему Ну и00:28:01
дальше уже практически ее проверить00:28:06
прицельно фотографируя со спутников00:28:09
местность и проверяет Что там находится00:28:11
собственно на этом и на следующих00:28:14
слайдах я везде буду приводить ссылки на00:28:17
те источники которые буду упоминать00:28:19
впоследствии презентацию выложит Так что00:28:21
вы сможете обо всем этом прочесть про00:28:25
расследование Кибер инцидентов тут00:28:27
следует немного сказать про мой опыт Я00:28:29
работал в компании занимались защитой00:28:32
сайтов организации от хакерских кота от00:28:36
взломов от мошенничества и за время моей00:28:38
работы было очень много интересных00:28:40
инцидентов которые как раз потребовали00:28:43
применения различных навыков поиска00:28:46
информации в общем использование сети в00:28:50
таком виде чтобы можно было найти00:28:52
человека нарушителя взломщика того кто00:28:57
поставил под угрозу нашу безопасность00:29:01
собственно тут на складе видно я условно00:29:03
разделил на внешних и на внутренних00:29:06
нарушителей но по сути для нас нет00:29:10
особой разницы после того как мы00:29:12
разобрались самим инцидентом нам нужно00:29:14
определить кто это был и часто даже00:29:18
устранение и дальнейшая защита она00:29:21
напрямую зависит от того насколько точно00:29:22
мы локализуем этот субъект в качестве00:29:26
примеров различных соревнований00:29:29
я вот привел уже ставший Наверное таким00:29:34
привычным конкурс конкурентная разведка00:29:37
и конкурс00:29:40
2017 очень00:29:42
интересный00:29:44
сценарий детектива также советую00:29:47
ознакомиться Когда будет время00:29:50
Вот на этом слайде я представил условно00:29:53
схему поиска нарушителя по каким-либо00:29:56
известным нам данным собственно вся00:29:59
дальнейшая презентация и мой рассказ00:30:02
будет построен на основе вот этих вот00:30:04
стрелочек вот этих вот овальчиков то00:30:07
есть я буду рассказывать как из одних00:30:08
данных мы можем получить другие какие-то00:30:11
требуются пояснения наверное Что такое00:30:13
identity этим блоком я Обозначил00:30:16
собственно то что нам необходимо найти00:30:19
то есть это максимально Точная00:30:22
информация которая позволяет00:30:23
идентифицировать субъект нарушитель того00:30:27
самого преступника либо просто человека00:30:29
или группировку которую мы ищем00:30:32
собственно если00:30:34
ничего не понятно в дальнейшем надеюсь00:30:37
будет ясно разберем на каждом отдельном00:30:41
слайде что из чего следует00:30:44
еще пару слов про базовые принципы00:30:47
поиска но наверное все знакомы с00:30:49
операторами для уточнения запросов00:30:52
Google а давайте еще раз руки поднимем00:30:54
Кто знаком00:30:57
по моему даже меньше чем со словом00:30:59
асинте это странно Ну ладно вот ну мало00:31:04
правильно пользоваться операторами надо00:31:06
понимать инструменты когда использовать00:31:09
Google конечно мощная вещь в умелых00:31:12
руках но есть много других полезных00:31:15
сервисов есть много приемов и некоторые00:31:18
приемы они никак не зависят от того что00:31:20
мы используем они у нас главе то есть00:31:23
насколько точно мы ведем поиск понимаем00:31:25
ли какая его конечная цель Можем ли мы00:31:28
его оперативно00:31:31
уточнять00:31:32
Соответственно что предлагается00:31:35
изначально составить план что мы будем00:31:37
искать в каком порядке схема на00:31:40
предыдущем слайде была там очень хорошим00:31:42
примером мы должны уточнять запросы00:31:45
понимать что связке чем находится и как00:31:49
нам из тонной информации которую выдает00:31:52
Google найти то что интересует нас Как00:31:55
там отсекать лишнее Ну простейшем00:31:58
примере это00:32:00
минус-слова в запросах но также этой та00:32:03
информация которая нам принципе не будет00:32:05
нужна нам надо уметь игнорировать и00:32:08
собственно00:32:09
понимать где и что искать но для этого00:32:12
нужно Как говорится иметь представление00:32:14
о предметной области очень хорошим00:32:17
примером тому что сейчас рассказал00:32:21
является блок Ныне уже не работающий00:32:25
локально известного00:32:28
нулевых реверс инженера00:32:31
[музыка]00:32:32
под ником праве00:32:35
он писал про поиск в целом про00:32:40
кратковременный поиск про долгосрочный00:32:42
поиск про реверс Инжиниринг реальности00:32:45
про приемы не знаю как повседневности в00:32:49
общем00:32:50
философия поиска и приемы перемежаются в00:32:54
его с интересными техническими вещами00:32:56
правда многие примеры на данный момент00:32:59
уже устарели потому что Google тоже не00:33:00
стоит на месте Я советую всем00:33:03
ознакомиться с00:33:06
переводом и адаптацией его блока он тоже00:33:10
есть по ссылке там много всего что00:33:13
касается философии поиска и что00:33:15
пригодится вам не только в повседневной00:33:17
жизни в работе00:33:19
так на этом слайде больше всего00:33:21
информации поэтому я постараюсь как-то00:33:23
ее структурировать собственно и адреса00:33:27
все мы знаем что можно вычислить по IP00:33:29
адресу Вот давайте сначала поймем откуда00:33:33
у нас берется00:33:34
как правило эта информация которую нас00:33:37
часто бывает Изначально и00:33:40
в небольшом объеме то есть влог увидели00:33:43
какой-то подозрительный запрос или00:33:45
скажем это то что нам передал наш клиент00:33:50
что каких-то IP адресов там шел00:33:52
Какие запросы какие дампы я даже не знаю00:33:55
собственно что он там еще прислать00:34:00
тесно связаны и домены но я думаю00:34:07
сейчас я только добавлю про00:34:10
подходы к походу сидел То есть это тот00:34:14
случай когда нам известен но нам00:34:18
Хотелось бы получить адрес чтобы00:34:20
пощупать сервер вживую посмотреть какие00:34:23
там открытые00:34:24
сервисы где он вообще находится00:34:26
собственно к этому тут есть опять же два00:34:29
подхода Это чисто00:34:31
механический или поиск там вот ниже00:34:35
приведены сервисы00:34:38
Зума00:34:40
Давайте Так кто знает Последний из этих00:34:43
сервисов поднимите руку00:34:47
один человек два человека00:34:50
Окей собственно это специализированные00:34:54
поисковики давайте я буду так00:34:55
утрированно выражаться это агрегаторы00:34:59
информации00:35:01
отсканировании IP адресов они собирают00:35:05
всевозможные данные как по стандартному00:35:07
портам так и по нестандартным Ну что там00:35:10
наверное не нужно представлять это00:35:12
известный проект он первый вроде на этой00:35:15
теме00:35:16
проект более Академический нужно сказать00:35:19
но у них больше данных именно по00:35:22
стандартам портам и больше таких00:35:23
всеобъемлющих дампов которые вы можете00:35:26
скачать даже вручную и не знаю про00:35:28
крепость проанализировать как вам00:35:30
хочется Zoom и папа это сравнительно00:35:33
новые китайские проекты и они покрытие00:35:36
бывают иногда даже лучше чем первые два00:35:39
за счет того что они собирают информацию00:35:42
не только сканированием00:35:44
Ну то есть из каких-то других источников00:35:47
в том числе и из китайских интерес и в00:35:51
Шот они как тоже наверное Многие знают00:35:53
какие-то результаты фильтруются ну то00:35:56
есть после того как обнаружены порты00:35:58
какой-то известной организации она может00:36:00
мягко попросить чтобы все это убрали из00:36:03
доступа Ну китайцам в этом отношении00:36:05
немножко все равно Поэтому некоторые00:36:08
результаты можно найти через китайские00:36:11
агрегаторы но не найти через00:36:14
мейнстримовые00:36:15
О чем я про обход cdn и Самый наверное00:36:21
популярный самый быстрый способ это00:36:24
просто поискать в таких сервисах нужны00:36:28
нам домен если00:36:29
сайт Был неправильно конфигуренную00:36:32
вернее как бы он изначально был00:36:33
правильно то что при запросе на 80 порт00:36:38
мы видели00:36:40
сертификат выписанный на нужный нам00:36:43
домен собственно все тоже самое видит и00:36:47
агрегатор информации и то же самое можем00:36:49
узнать мы соответственно когда мы ищем00:36:51
сайт который имеет такое имя и мы видим00:36:55
В результатах нужный нам айпишник нужны00:36:58
нам сервер а не тот IP который нам00:37:02
выдает Скажем coldfer00:37:04
вместе со своим сертификатом Ну есть00:37:07
готовый тузы которые позволяют делать не00:37:09
только такие запросы А и выполнять брут00:37:13
под доменов поиск базах данных00:37:16
домены тоже наверное не следует много00:37:18
объяснять собственно опять же00:37:21
человеку свойственно ошибаться вернее Ну00:37:25
делать то что он привык делать по00:37:26
мануалам а потом понимать что он ошибся00:37:28
допустим сконфигурировал несколько00:37:31
поддоменов и они указывают на00:37:35
определенный путь айтишников которые в00:37:37
будущем может хотеть закрыть он00:37:39
закрывает Основной сайт закрывает Те про00:37:41
которые вспомнил скажем какой-нибудь дев00:37:45
точка00:37:47
остается открытым и светится на на IP00:37:51
который нам нужен вернее который он00:37:54
хочет от нас спрятать00:37:56
Окей движемся дальше поиск по00:38:00
местоположению00:38:01
кто-нибудь сталкивался с геолокации на00:38:04
основе wi-fi точек00:38:08
клево Вот и вы наверное знаете что можно00:38:11
делать в обратную сторону вот у вас есть00:38:14
wi-fi точки Вы можете по ним определять00:38:18
можете определять точки рядом00:38:23
а да я не сказал понимать руки Но00:38:25
неважно00:38:26
Суть в том что есть ребята в том числе00:38:29
вот у нас в рунете проект форма античат00:38:32
которые собирают эту информацию и не00:38:34
только они собирают00:38:36
конфигурации роутеров в том числе и IP00:38:40
адреса которые этим ротором выделил00:38:42
провайдер и поэтому на их карте Вот по00:38:46
той ссылке Можно не только посмотреть00:38:50
wi-fi точки в местности которые там00:38:53
допустим вы находитесь любой другой00:38:55
можно посмотреть пароли можно сделать00:38:58
обратный запрос по местоположению00:39:00
определить wi-fi сети находящиеся рядом00:39:04
и диапазоны IP адресов с которых через00:39:07
эти00:39:09
выходили в интернет соответственно00:39:12
вопрос00:39:21
Да все верно я суммировал как бы как00:39:24
проект античатая Да Действительно это00:39:26
отдельная комьюнити у них есть утилита00:39:28
роутер скам через которую они все00:39:29
собирают00:39:31
Да в принципе как бы любой Может00:39:33
познакомиться00:39:37
насчет социальной инженерии в принципе00:39:39
это не относится к методам оси ну вернее00:39:42
как относится с натяжкой мы можем00:39:44
подойти к любому человеку спросить его00:39:46
это будет00:39:47
открытой информации Вот Но я выделил00:39:50
серым чтобы не сильно углубляться здесь00:39:54
есть пример собственно из моего опыта00:39:56
как мы столкнулись с нигерийскими00:39:58
мошенниками про00:40:01
саму обстановку Собственно сам проект я00:40:04
расскажу чуть позже тут я только замечу00:40:07
про IP адреса что мы собственно смогли00:40:10
выделить эту группировку мошенников00:40:12
вообще это явление00:40:14
только через ссылки которые вели на00:40:19
копию одного целевого сайта который мы00:40:22
знали широко используется мошенниками00:40:24
легальным способом мы притворялись00:40:27
жертвами этих мошенников и присылали00:40:30
этот сайт Гляди я тебе перевел деньги00:40:33
мошенники проходили по этой ссылке чтобы00:40:37
Действительно ли им перевели деньги00:40:39
Естественно они денег не видели а потом00:40:42
не понимая что произошло они пересылали00:40:44
эту ссылку там своим друзьям своим грубо00:40:48
говоря начальником и таким образом мы00:40:50
отслеживали перемещение этой ссылке по00:40:52
IP И локализацию вообще всех запросов и00:40:55
мошенников в этой группировке Так мы00:40:58
выяснили что нигерийцы очень любят00:41:01
погружаться в прип-ту с так сказать00:41:05
серый стороны и Обманывать людей которые00:41:08
приходят00:41:09
чтобы вложиться на токенах но к00:41:14
сожалению множество людей подается00:41:16
такому обману про сам сценарий тоже00:41:19
скажут тоже00:41:21
собственно Это я затронул секцию00:41:23
получения ip-адреса То есть откуда он00:41:25
вообще у нас может взяться что мы с ним00:41:28
можем сделать опять же по IP адресу мы00:41:31
можем узнать00:41:32
какие домены Какие сайты на нем00:41:36
расположены Но это собственно базовая00:41:38
вещь мы можем определить примерное00:41:40
местоположение с не очень большой00:41:42
точностью но есть популярные00:41:44
общеиспользуемые базы делает и например00:41:47
Макс майнд всеми известный мы можем00:41:50
примерно понять Из какого города из00:41:53
какой страны человек но Разумеется не00:41:55
касается случаев когда он использует VPN00:41:58
и так далее00:42:00
статистика и Локи очень много сервисов в00:42:04
интернете ведут свои базы данных которые00:42:07
продиктованы их интересами яркий пример00:42:10
тому это сайт00:42:15
клёво00:42:22
Да здорово даже интересно При каком00:42:25
сценарии00:42:32
Но это логично Да00:42:34
вот поэтому не только подобные сервисы00:42:39
которые специально собирают эту00:42:40
информацию тем же очевидно что они эту00:42:42
информацию кому-то потом продают либо00:42:44
Дают возможность мониторить например00:42:47
популярность фильма который слили Пираты00:42:50
чтобы правообладатель понимал Сколько из00:42:53
кого ему взыскивать есть и просто00:42:56
сервисы безобидные которые где-то00:42:58
настроены и Забытые они логируют все00:43:01
запросы которые были произведены и00:43:04
грамотно оперируя запросами через Google00:43:07
поисковыми запросами мы можем понять где00:43:10
с этого ip-адреса гуляли что смотрели00:43:14
что искали где регистрировались вплоть00:43:16
до того что можем найти Локи00:43:20
переписок из которые лежат уже лет 20 на00:43:24
севере всеми Забытый но мы можем по ним00:43:27
практически00:43:30
блэклисты из памбазы собственно тут тоже00:43:34
очевидная вещь есть общее использование00:43:38
баз данных по провайдерам они подробно00:43:41
ведут информацию о том что цветовая пи00:43:43
адреса производилась и запрещенные00:43:45
действия иногда эта информация говорит00:43:47
даже больше чем нам хотелось бы то есть00:43:49
мы понимаем что там с него не только00:43:51
рассылали Спам что с него производился00:43:53
что с него были какие-то специфические00:43:56
вещи вплоть до того что видел00:43:58
комментарии о том что вот на IP камеру в00:44:02
моей организации с этого IP00:44:04
производились многочисленные запросы и00:44:06
как бы администратор сделал Вывод что00:44:09
какой-то хакер на его камере оттачивал00:44:12
свою утилиту для00:44:15
взлома камеры00:44:18
комментарии на сайтах и на форумах тут00:44:21
тоже думаю все очевидно но большинство00:44:24
форумов они не отображают эту информацию00:44:26
тем не менее есть большое количество00:44:30
сайтов которые фактически не видны Ну00:44:32
грубо говоря это какие-то новостные00:44:35
сайты в глубинке это какие-то старые00:44:38
форумы из двухтысячных в которых00:44:40
ip-адрес используется вместо имени00:44:43
просто автоматически проставляется при00:44:45
отправке сообщения чтобы администраторы00:44:47
могли вручную потом пересекать00:44:50
определять кого бы нужно забанить опять00:44:54
же в случае с нигерийцами мы получив их00:44:57
IP адреса смогли довольно быстро понять00:45:00
какие схемы для обмана они используют00:45:02
потому что они часто писали такие же00:45:04
сообщения для обмана людей00:45:06
на форумах Даже некоторые другого00:45:11
характера и собственно можно было00:45:13
восстановить всю последовательность00:45:15
действий и все программу00:45:18
скаму с которой можно было бы уже идти К00:45:22
правоохранительным органам скажем00:45:24
про запущенные сервисы я уже наверное00:45:27
сказал00:45:28
что нам вообще дают шо там сенсис Зума00:45:33
это сведения об открытых портах сервисах00:45:37
на них запущенных Это непосредственно00:45:39
контент веб-страницы если мы говорим о00:45:43
вебе это баннеры других популярных00:45:45
сервисов эта информация весьма подробная00:45:48
О ssl сертификате В общем шо там если я00:45:52
не ошибаюсь он даже показывать не знаю00:45:55
насколько давно00:45:58
Никто не знает Окей соответственно мы не00:46:02
делая никаких запросов от своего имени00:46:04
фактически даже там не запуская чтобы00:46:07
пощупать чужой сервер можем просто00:46:09
забить айтишник поисковик или доменное00:46:12
имя и получить по нему всю техническую00:46:15
информацию естественно актуальную на00:46:16
какой-то момент00:46:20
все движемся дальше по схеме почтовым00:46:24
ящиком но я думаю не стоит сильно00:46:27
углубляться в то что имейл адреса не00:46:29
является таким весьма уникальным старым00:46:32
способом идентификации и Хотя сейчас00:46:35
вытесняются телефонами номерами все00:46:37
равно большинство сервисов так или иначе00:46:39
привязываются к почте и получив почту00:46:42
человека мы потенциально можем понять00:46:44
все места где он обитает где он00:46:47
регистрировался что он использует и как00:46:49
бы это не банально звучало самое00:46:51
очевидное место где мы можем узнать его00:46:54
email это контакты если мы имеем хоть00:46:57
какие-то данные о человеке о00:46:59
злоумышленники то мы можем00:47:01
попытаться найти00:47:04
группу ВКонтакте форум объявления на00:47:08
досках которые он оставлял00:47:10
был даже кейс чуть позже наверное в00:47:15
котором по тексту объявления смогли00:47:18
найти собственно человека потому что он00:47:21
его запостил на нескольких форумах под00:47:23
одним и тем же именем00:47:26
то есть мы находим связанные аккаунты и00:47:29
дальше понимаем что00:47:30
этот email соответствует той информации00:47:33
которая у нас есть00:47:35
про хуис рассказывать тоже много00:47:39
наверное нет смысла разве что вот на00:47:42
предыдущем слайде я упомянул gpr в мае00:47:46
Если не ошибаюсь прошлого года была00:47:48
принято политика00:47:50
Европе вернее это регулирование которое00:47:53
запрещает в открытом виде в частности00:47:56
выводить информацию о том Кто является00:48:00
лицом зарегистрировавшим домен Кто00:48:04
является собственником но при этом00:48:05
естественно в большом количестве сервисы00:48:08
которые ведут историю и у них Эта00:48:10
история до появления GTR осталось и к00:48:15
ней можно вполне получить доступ и через00:48:17
открытые источники если знать искать00:48:19
правильно сделать00:48:21
про восстановление доступа к аккаунтам00:48:23
это вещь очень интересная очень широко00:48:26
используемая но почему-то часто00:48:27
изабываемые00:48:29
почти всегда зная о том где соцсетях00:48:35
формах среди человек мы можем запросить00:48:38
восстановление пароля и если еще00:48:41
несколько лет назад Нам отображался его00:48:43
email полностью сейчас он отображается00:48:45
со звездочками тем не менее мы можем00:48:47
сделать выводы о том допустим почтой00:48:50
какой доменной зоны он пользуется мы00:48:53
часто бывает так что аккаунт с виду00:48:56
выглядящий как Аккаунт какого-то00:48:59
иностранца зарегистрирован на почту00:49:01
Яндекс или mail.ru Сами понимаете сразу00:49:05
нам дает00:49:06
сведения о том какая локализация этого00:49:11
инцидента00:49:13
помимо всего этого есть сервисы Как ни00:49:16
странно которые позволяют нам получать00:49:18
почту простым запросам скажем по доменам00:49:22
Hunter EOS not его это сайты на которых00:49:26
Если не ошибаюсь Есть бесплатные демки00:49:29
мы можем скормить им список доменов00:49:32
взамен сайты нам дадут контактные лица00:49:35
контактные лица связанные какие-то00:49:38
почтовые адреса которые либо кем-то00:49:41
занеслись вручную либо опять же00:49:43
прогребались поиском Нашлись каких-то00:49:46
других сайтах Нашлись и которые есть в00:49:48
базе это очень широко используется в00:49:51
маркетинге Когда у вас есть сайты ваших00:49:54
потенциальных клиентов вы хотите00:49:56
получить почтовые адреса собственно лиц00:50:00
которые этими сайтами владеют чтобы им00:50:03
что-то рекламировать свои услуги в00:50:06
частности разумеется это можем00:50:08
использовать и мы Если знаем о каком-то00:50:11
сайте не говоря в мошенническом который00:50:14
появился день назад о каком-то00:50:17
общедоступном который уже давно в сети00:50:19
на котором мог быть имейл тут кстати00:50:22
есть пример очень свежий буквально вчера00:50:25
Один мой друг рассказал что ему пришло00:50:27
письмо счастье от некой00:50:30
адвокатской конторы было сказано что вот00:50:33
вы владеете сайтом медицинской00:50:35
организации А у вас на сайте не выложены00:50:37
документы которые теперь стали00:50:38
обязательно паспорт безопасности что-то00:50:41
еще соответственно Вы можете00:50:42
воспользоваться нашими услугами конечно00:50:44
чтобы соответствовать закону можете и00:50:46
дальше находиться в серой зоне Мой друг00:50:49
был немного было напряжение потому что00:50:52
он тот сайт знал он его 10 лет назад00:50:54
создал после этого он его не поддерживал00:50:56
и сайт находился чужих руках при этом00:50:58
его имейл вроде как нигде не светился00:51:02
вопрос Собственно как на его email вышли00:51:06
Почему Ему прислали путем пары запросов00:51:10
в Google было найдено что его email00:51:13
проиндексировался проиндексировался00:51:14
из-за сбоя движка который позволял00:51:17
просматривать юзеров соответственно00:51:18
первым юзером на этом сайте оказался сам00:51:21
администратор так это попала в сеть00:51:23
кто-то потом это сгребл если чуть больше00:51:27
поискать то можно найти даже сайты на00:51:29
которых00:51:30
Как сказать00:51:32
справочники телефонов и соответствие00:51:34
этих телефонов неким лицам и00:51:37
соответствие номеру телефона этой00:51:41
медицинской организации был поставлен и00:51:44
мой адрес моего друга соответственно Он00:51:46
давно уже находился в открытом доступе и00:51:49
Любой человек который заинтересуется00:51:50
этой организации выйдет и на создателя00:51:53
сайта Хотя внешне Это нигде не светится00:51:56
Ну и собственно сервисы которые00:51:58
раскрывают утечки паролей вроде00:52:02
ну как минимум нам могут дать понимание00:52:05
того что человек пользовался этим00:52:08
сервисом И что он00:52:11
Ну не знаю давно не менял пароль Вот Но00:52:15
это уже скажем вне тема нашего разговора00:52:19
про использование Я уже сказал про00:52:22
восстановление доступа как правило если00:52:24
мы знаем один реквизит по которому можно00:52:26
идентифицировать аккаунт можем00:52:28
восстановить другие это резервные ящики00:52:31
это телефоны это иногда какие-то другие00:52:34
контакты которые тоже могут00:52:35
использоваться для восстановления в00:52:37
частности00:52:38
аккаунты Google позволяют привязать00:52:41
резервные позволяет привязать телефон00:52:43
они закрывают звездочками но в принципе00:52:46
этой информации достаточно потом чтобы00:52:48
поставить человека с кем-то еще и тут у00:52:51
меня опять же есть примеры нам как-то00:52:54
пожаловался просто человек сети который00:52:57
увидел сайт нашей компании что его00:53:01
обманул некий человек представившийся00:53:03
сотрудником компании пообещал ему00:53:05
двойной бонус если он переведет ему00:53:07
криптовалюту собственно00:53:09
наш бедный человек перевел эту00:53:13
криптовалюту ничего не получив взамен00:53:15
стал искать способы как же ее вернуть у00:53:18
него был только аккаунт и впоследствии00:53:21
моего адрес который выбросил этого00:53:23
мошенника поймал адресу мы смогли00:53:26
восстановить резервный почтовый ящик00:53:28
номер телефона по ящику телефона и по00:53:32
имени00:53:34
ящику и по имени мы смогли восстановить00:53:37
его полное имя ориентирует своими00:53:40
фамилию первого ящика и дальше уже00:53:43
сделать запрос на Крипто биржу на00:53:45
который был зарегистрирован мошенник00:53:47
объяснить ситуацию соответственно Крипто00:53:49
бирже нам прислала всю информацию00:53:52
вошла в положение и прислала даже вплоть00:53:55
доска на транспорта этого мошенника00:53:57
подтвердив что Да он действительно имеет00:54:00
такие имя и фамилию и вот это некий не00:54:05
помню кто из Нигерии00:54:09
никнеймы00:54:11
собственно это вещь очень близкая к00:54:14
почтовому ящику у некоторых принципе00:54:17
никнейм это есть то что записано До00:54:20
собаки Хотя это ну не должно быть так по00:54:24
крайней мере я так не считаю00:54:25
мы можем узнать никнейм человека из00:54:29
многих мест из его аккаунтов на форму00:54:32
соцсетях и так далее из его имейла опять00:54:34
же повторюсь и Можем даже отслеживать00:54:37
изменения этого никнейма например именно00:54:41
переименование аккаунта в Стиме в00:54:43
Инстаграме вот очень говорящий пример у00:54:47
меня на слайде это аккаунт Instagram00:54:50
Рамзана Кадырова который внезапно00:54:54
появился и набрал 12 миллиона00:54:56
подписчиков собственно если зайти в00:54:59
интерфейсе посмотреть как этот аккаунт00:55:01
назывался до этого только что это идеи00:55:03
дизайна ногтей00:55:05
команды Кадырова купила этот00:55:08
И переименовало вот я надеюсь Рамзан00:55:11
Ахматович меня простит за этот пример Мы00:55:13
двигаемся дальше00:55:15
Собственно как мы можем использовать00:55:17
никнеймы как бы это банально не звучало00:55:20
можем искать никнеймы по никнеймом Я уже00:55:22
упомянул человека которого00:55:25
можно было найти на нескольких форумах00:55:28
просто ориентируясь на текст его постов00:55:30
которые он оставлял часто люди не00:55:33
заморачиваются в одном месте00:55:34
регистрируются по одному в другом00:55:36
другому самое лучшее комбо это когда ты00:55:39
меняешь свой ник там в течение00:55:41
нескольких лет и при этом тебя00:55:43
твоим интересом можно следить на всех00:55:46
этих форумах и потом по всем этим00:55:48
Поставить все твои остальные профили00:55:50
такое в принципе распространено00:55:53
есть сервисы которые позволяют массово00:55:56
проверять наличие никнейма в различных00:56:03
смысла называть их все нет00:56:06
достаточно известные популярные Но не00:56:09
все работают идеально Потому что00:56:11
некоторые профиль бывает скрыты00:56:14
некоторые постоянно00:56:16
меняют схемы работы поэтому не всегда00:56:20
можно это отследить автоматически но в00:56:22
крайнем случае можно пробить руками в00:56:24
тех местах которые нас действительно00:56:25
интересуют00:56:27
в качестве еще одного00:56:30
использования метода можно привести00:56:33
упоминание то есть естественно не только00:56:37
мы сами пишем в социальных сетях иногда00:56:39
и нас упоминает это то что широко00:56:42
используется в Твиттере это то что00:56:44
введено например и телеграме в каком-то00:56:47
виде и мы можем эту информацию искать00:56:50
есть даже сайты вроде00:56:52
на которых мы можем посмотреть кто этого00:56:56
человека цикл кто его упоминал00:56:59
собственно отследить него самого даже00:57:02
Круг его связей и людей которые его00:57:04
самого не знает но при этом им00:57:06
интересуется часто бывает так что эти00:57:10
аккаунты на самом деле связаны00:57:14
и насчет авторства00:57:18
недавно появившийся сервис00:57:20
searching у них изначально был год а Кто00:57:24
пользовался этим Ботом или сервисом00:57:27
кто-нибудь пользовался00:57:29
очень интересная вещь они индексируют00:57:32
все сообщения из открытых чатов и00:57:35
каналов Если не ошибаюсь телеграммы00:57:39
собственно что это означает что вас00:57:42
можно найти по вашему сообщению в00:57:44
телеграме как-то бы ни странно звучало00:57:47
там есть отдельно поиск по сообщениям00:57:50
отдельно есть поиск по автору сообщения00:57:52
и более того тот никнейм который вы00:57:55
использовали на момент сообщение Он00:57:57
запоминается00:58:00
Недавно я попробовал поискать себя ему00:58:03
нашел свои сообщения про искать по00:58:05
новому тоже нашел00:58:07
вся информация у них остается и00:58:10
непонятно теперь что не с ней будут00:58:12
делать это довольно интересно00:58:14
есть Еще одна история про поиск по никам00:58:18
Ну собственно00:58:20
близка которая рассказала это00:58:25
участников группировки00:58:29
если я не ошибаюсь00:58:31
кто-нибудь читает канал datalick в00:58:34
телеграме00:58:36
кто-то читает вот там было несколько00:58:39
постов недавно про них и было00:58:42
расследование которое Как ни странно00:58:45
самом дубочитаемом виде находится на00:58:47
Пикабу про то как участников этой00:58:50
украинской хакерской группировки00:58:51
раскрыли это оказались три школьника из00:58:54
России который не слишком00:58:57
сильно заморачивались с подбором00:59:00
юзернеймов из открытостью причем00:59:03
расследование сначала полагают что00:59:05
хакеры запутывают но потом все-таки00:59:08
приходит к выводу что нет даже сильные00:59:11
не скрывались00:59:12
Вот как раз я предлагаю Вот на это00:59:16
расследование ориентироваться если вам00:59:18
захочется Понять насколько аккуратно00:59:20
нужно быть в сети чтобы00:59:25
прицел каких-то людей которые хотят00:59:27
найти чтобы Вам не нашлось информации00:59:32
местоположение тоже одна из интересных00:59:35
тем собственно00:59:37
аккаунты социальные связи та информация00:59:40
которая у нас есть в профиле Даже если00:59:42
мы укажем что мы живем в нью-йорке00:59:44
конечно по вам будет понятно что вы00:59:47
учились в школе номер пять а потом в00:59:50
Техническом университете А еще у вас вот00:59:53
друзья из другой школы допустим из00:59:56
другого университета А еще у вас есть00:59:58
вот люди которые работают в одной и той01:00:01
же компании это конечно при условии01:00:04
отображения ваших социальных связей Вы01:00:07
можете скрыть всех друзей Но даже01:00:09
испытывать друзей можно посмотреть об01:00:11
этом будет польза фотографии01:00:15
Я думаю всем понятно что Если на01:00:17
фотографии с приведено какой-то там01:00:20
местоположение то фотографии можно01:00:22
понять где она находится И не только по01:00:24
внешнему виду Кстати кто вместе01:00:26
участвовал01:00:28
веб-квесте dc749501:00:33
вы дошли до задание с местоположением01:00:37
пожалуйста так Кроме того что мы можем01:00:43
по самой фотографии увидеть где это01:00:45
произошло и как-то догадаться кстати01:00:47
есть даже специальные таски Я не знаю01:00:49
можно назвать01:00:51
есть даже сайты К сожалению в которых01:00:55
это своего рода соревнования вам01:00:57
показывают местность иногда даже это01:01:00
панорамы которые можно перемещаться вам01:01:03
предложено определить где вы находитесь01:01:06
самое Когда вы находитесь на улице в01:01:10
городе там есть собственно на домах01:01:13
таблички с улицами можно практически01:01:16
сразу понять когда вы оказываетесь01:01:18
пустыне или где-нибудь это немного01:01:21
затруднительно фотографии очень часто01:01:24
сохраняются метаданные01:01:26
конечно аккаунты в социальных сетях01:01:29
которых это выкладывается они содержат01:01:33
фотографии01:01:35
то есть01:01:37
сведениями о местоположении о01:01:39
технических характеристиках устройств на01:01:41
которых была произведена съемка но01:01:45
соцсети она заботится они эту информацию01:01:48
перед сжатием извлекают делают отметочки01:01:52
на карте где же мы побывали чтобы мы01:01:54
могли похвастаться друзьям01:01:55
Ну если вам вдруг эта фотография01:01:59
попалась Вы можете вытащить консольными01:02:03
утилитами или онлайн сервисами эту01:02:05
информацию руками понять где была01:02:08
сделана эта фотография и еще не01:02:11
очевидных вещей викимания это сервис01:02:14
который собственно похож на Википедию01:02:16
только является сервисом для свободного01:02:18
редактирования карт информации объектов01:02:20
на них расположена01:02:22
часто бывает что какие-то объекты01:02:25
которых нет на обычных картах есть на01:02:30
карте Вики Мафии и бывает что люди01:02:33
которые отмечают информацию об этих01:02:35
объектах могут быть четко определены Тут01:02:39
даже есть интересные исключения что если01:02:42
человек не зарегистрировался там01:02:43
светится его ip-адрес и это сведет за01:02:46
собой и тянет всю ту цепочку01:02:48
прослеживание по IP про которую мы01:02:50
говорили собственно социальной инженерия01:02:53
тоже та вещь которую мы использовали в01:02:55
борьбе с нигерийскими мошенниками но01:02:57
вернее уточнение геолокации01:03:00
есть собственно методы геологейшн вычтем01:03:06
который позволяет Ну через ваш браузер01:03:10
запросить более точное местоположение и01:03:12
дальше уже без каких-то проблем с01:03:15
высокой точностью вам может прийти01:03:17
информация о том где сидит мошенник с01:03:21
мобильным телефоном01:03:22
про использование информации01:03:24
местоположение опять же Ну как ни01:03:27
странно это геометки в соцсетях это та01:03:29
информация которую мы можем получить01:03:31
практически нигде не регистрируйтесь01:03:33
потому что есть специальные сервисы типа01:03:37
самый популярный у а Миллион твит на01:03:39
который позволяет покрутить карту и01:03:42
посмотреть что люди вместо ответит это01:03:45
полезно и для отслеживания трендов и для01:03:47
отслеживания информации каких-то01:03:49
происшествиях которые внезапно произошли01:03:51
мы можем просто посмотреть что возле01:03:55
интересного нам места происходило то что01:03:58
там писал для ВКонтакте есть очень01:04:02
удобный сервис фото map.ru который01:04:04
позволяет по точке определить снятые01:04:07
рядом фотографии01:04:09
мало того что вы можете посмотреть на те01:04:13
вещи которые вам кажется никто не01:04:14
фотографировал Так вы еще и можете01:04:17
увидеть там человека про которого вы01:04:20
знаете что бывает в этом месте но при01:04:23
этом его аккаунт ВКонтакте может даже01:04:26
отсутствовать01:04:27
Это касается и Ютуба и Фейсбука микро01:04:31
Инстаграма всех сервисов которые нещадно01:04:34
затягивают пользователей внутрь себя и01:04:37
мотивирует их делиться друг с другом01:04:40
своим местоположением чтобы общаться01:04:42
чтобы высказывать другую друг другу свои01:04:45
эмоции и так далее01:04:47
отдельно про региональную специфику01:04:51
Наверное сначала потому что Ну понятное01:04:54
дело местоположение может мы не сможем01:04:56
ничего извлечь конкретно из этой01:04:59
информации потому что это Вне нашей01:05:01
досягаемости но мы можем делать выводы о01:05:04
том какими инструментами дальше нам01:05:05
пользоваться чтобы искать информацию01:05:07
Если мы говорим про СНГ то здесь есть01:05:11
очевидные противопоставление Google01:05:13
Яндекс мы знаем что покрытие Яндекс01:05:18
выше лучше мы будем использовать его01:05:21
если мы понимаем что это Корея или Китай01:05:25
или еще какая-то страна в которой01:05:27
очень хорошо прокачу найти есть свои01:05:29
поисковые сервисы или даже там свои01:05:31
соцсети свои форумы то мы можем01:05:34
использовать их Ну то есть мы можем идти01:05:36
в тот сектор сети в котором мы знаем01:05:40
есть информация по этому региону01:05:45
Окей в качестве примера здесь хотелось01:05:50
рассказать опять же расследование01:05:51
касающиеся нигерийцев но уже не на01:05:55
основе своего опыта Это на что мы01:05:57
наткнулись когда отслеживали связи наших01:06:00
мошенников с другими01:06:02
это больше касается биткоина потому что01:06:05
автор расследования практически по01:06:07
цепочке транзакций смогли восстановить01:06:10
связанные между собой группировки01:06:11
во-первых01:06:13
террористов которые вот как мы видим из01:06:16
фотографии01:06:17
очень Как сказать опрометчиво01:06:20
развернули плакат с биткоин адресом01:06:23
перечисляете нам деньги01:06:26
и перечисляли И причем перечисляли люди01:06:29
которые тоже занимались всякими вещами01:06:33
плюс другие люди очень заботливые01:06:36
оставляли комментарии о том что это были01:06:39
за переводы то есть У кого какие деньги01:06:41
выманивали за что одним из таких кейсов01:06:44
оказались Похитители плюс еще был некий01:06:49
мошенник имеющий аккаунт Фейсбуке и у01:06:53
всех выманивающие деньги опять же для01:06:55
вкладов криптовалюты для обмена01:07:01
про него я наверное чуть позже должен01:07:03
был рассказать ну не суть там тоже01:07:05
интересный кейс с тем что его профиль01:07:08
выглядел как вполне01:07:10
легитимной за исключением того что он01:07:13
случайно где-то оставлял информацию Где01:07:16
на самом деле находится то есть на01:07:17
скриншотах его фотографии на его01:07:20
скриншотах можно было заметить01:07:22
информацию о часовом поясе стране где он01:07:25
расположен можно было заметить что его01:07:27
посты накручивают аккаунты из Нигерии и01:07:30
другие вещи которые позволяли убедиться01:07:33
что Да действительно перед нами фейковый01:07:34
аккаунт они01:07:36
настоящие аккаунт какого-то бизнес01:07:38
трейдер01:07:42
отдельно слайд про персональные данные01:07:45
наверное фамилия имя отчество Это не01:07:48
совсем верно суть именно тот блок01:07:51
iventity который я указывал в центре01:07:54
имея фамилию имя отчество мы в принципе01:07:57
можем пойти однозначно идентифицировать01:07:59
человека что касается по меньшей мере01:08:01
там в рунете хотя да Для нас наверное01:08:04
еще и дата рождения желательно тем не01:08:07
менее у нас не настолько развиты сервисы01:08:10
для поиска именно людей популярный и01:08:13
известный мне это Яндекс который01:08:16
позволяет по разным характеристикам01:08:18
найти человека возраст проживания учеба01:08:22
Но собственно имя фамилия01:08:24
работа какие-то уже известный аккаунты01:08:28
находится очень высокой точностью кстати01:08:30
за рубежом в частности в Америке таких01:08:33
сервисов больше они позволяют абсолютно01:08:35
различным данным находить аккаунты01:08:38
информация в открытом доступе хотя у нас01:08:40
часть таких блокирует01:08:45
про группу идентификаторов которые01:08:48
объединил название в государственные это01:08:51
множество тех вещей которые опять же01:08:53
указывают на нас и иногда являются01:08:55
такими однозначными и не меняющимися01:08:58
вещами как паспорт как ИНН СНИЛС если мы01:09:03
говорим про транспорт то это номер01:09:06
машины это номера кузова какие-то другие01:09:10
вещи технические это учеба где Мы учимся01:09:15
в какой группе по всем этим вещам можно01:09:18
очень точно локализовать человека опять01:09:21
же приведу не дам Не пример по одному01:09:24
скриншоту от человека в телеграме по его01:09:27
перепискам получилось восстановить кто01:09:30
это потому что там был засвечен учебный01:09:34
чатик в котором была часть расписания01:09:37
Соответственно по название удалось01:09:40
понять что01:09:44
это за что это специальность Ну а дальше01:09:47
уже как бы методом перебора удалось01:09:49
достаточно точно локализовать01:09:52
про использование01:09:55
опять же то что мы обговорили это поиск01:09:58
других аккаунтов это получение почтовых01:10:01
ящиков телефонов это отслеживание связей01:10:03
и эта тема тоже довольно01:10:06
глубоко развита опять же за счет того01:10:09
что она коммерчески выгодно компаниям01:10:12
которые хотят подобрать людей01:10:15
интересующихся одними тем же или людей01:10:17
которые01:10:18
все являются подписчиками какого-то01:10:21
человека за счет этого вот в частности01:10:23
через указанные сервисы можно сделать01:10:26
очень точечную выгрузку допустим тех01:10:30
людей которые01:10:31
участвуют в нескольких сообществах01:10:34
одновременно либо тех людей которые были01:10:37
друзьями человека но затем Они исчезли01:10:40
эта информация естественно осталось01:10:42
потому что скрытие друзей Например01:10:44
ВКонтакте насколько я помню Она01:10:46
двухсторонний То есть если есть01:10:49
индексация по всем пользователям то мы01:10:52
мы можем имея такую базу определить01:10:56
какого человека из друзей скрыл01:11:00
тот аккаунт который мы проверяем01:11:04
и здесь собственно я привел ссылки на01:11:07
несколько примеров из которых самое01:11:09
интересное на мой взгляд Это пример с01:11:12
айратом башировым а точнее это01:11:14
информация вернее расследование по кейсу01:11:19
Дмитрия богатого Кто знает про эту01:11:21
историю01:11:25
не буду рассказывать про сами инцидент я01:11:28
расскажу про расследование01:11:31
суть такова что на форуме01:11:35
представившихся рядом некий человек01:11:37
писал такие нежелательные вещи и при01:11:41
этом невозможно было изначально понять01:11:44
кто на самом деле такой01:11:47
но01:11:48
автором расследования удалось сделать01:11:51
когда они сопоставили его сообщение01:11:54
причем не с одного аккаунта с нескольких01:11:56
когда они взяли его фотографии начали01:11:59
искать фотографиям аккаунты а потом что01:12:03
самое интересное следили скрытых друзей01:12:05
скрытые группы и подписки и нашли группы01:12:08
на паблике неких компаний оказалось что01:12:12
этот человек этими компаниями владеет и01:12:15
уже через информацию01:12:20
других01:12:23
сервисов которые доступны это удалось01:12:26
получить все его персональные реквизиты01:12:27
но имя фамилия ИНН телефон в общем все01:12:31
то что человек вроде как скрыл Но на01:12:34
самом деле это все связано с ним все это01:12:36
отслеживается01:12:39
телефонный номер Ну не буду повторяться01:12:42
насчет контактов не буду повторяться01:12:44
насчет у IS значит восстановление01:12:46
доступа01:12:47
есть приемы которые позволяют узнать01:12:51
вернее уточнить имя имея на руках один01:12:54
лишь телефон Ну как01:12:56
самый простой способ это проверить каких01:12:59
мессенджерах зарегистрирован человек01:13:01
Сейчас большинство мессенджеров имеет01:13:04
сразу из коробки привязку к телефону01:13:07
соответственно если мы добавим01:13:09
телефонную книжку человека и проверим01:13:11
зарегистрирован ли он появился в01:13:13
контактах этого мессенджера то мы можем01:13:17
не только там увидеть его никнейм внутри01:13:20
мы можем увидеть его фотографию Ну и01:13:23
получить какую-то дополнительную01:13:24
информацию еще одна вещь не знаю01:13:27
насколько банальная кто слышал про то01:13:30
что можно через интернет банки получить01:13:33
имя отчество человека Ну да это01:13:37
известная штука01:13:39
через мобильное приложение вообще не01:13:41
составляет никакого труда просто01:13:43
пытаетесь сделать перевод по номеру01:13:45
телефона на карточку и перед переводом у01:13:48
вас приложение запросит подтверждение01:13:51
что вот вы хотите действительно01:13:53
Иван Ивановичу и Отправить этот 1 рубль01:13:58
вот01:14:00
ну и Сами понимаете эта информация уже01:14:03
окончательная01:14:04
в 99 процентов случаев И это точно не01:14:08
большие не фальшивые имени отчество01:14:11
насчет по которым можно пробить пробить01:14:16
человека по телефонному номеру номер CC01:14:19
он нам борту Это достаточно тоже01:14:22
известные сервисы причем01:14:24
хотелось бы добавить там есть поиск не01:14:27
просто по номеру по большому количеству01:14:30
реквизитов из коробки Даже его не видно01:14:34
если почитать факт становится понятно01:14:36
что авторы сервиса среагировали очень01:14:39
большое количество данных01:14:41
разработали синтаксис поэтому синтаксису01:14:43
можно очень точно отсеять вплоть до01:14:47
региона до города до дома01:14:50
уточнив все сопутствующие данные Ну и01:14:54
getcontact Кто пользовался01:14:58
никто не пользовался get-контактам01:15:02
только одна рука это приложение которое01:15:05
устанавливается к вам на телефон01:15:07
забирает вашу телефонную книжку вам01:15:09
возможность посмотреть как вы записаны в01:15:11
чужой телефонной книжки был некий хайп01:15:14
на эту тему Где контакт не первое01:15:17
приложение которое это позволяло сделать01:15:18
но тем не менее вплоть до того что в01:15:21
новостях писали про то что нет контакта01:15:23
разрушает семьи потому что Ну ясное дело01:15:25
посмотреть как записана твоя девушка в01:15:29
телефонных книжках других людей01:15:33
с помощью этого можно проверять ту01:15:37
информацию которая у нас уже есть Ну и01:15:40
иногда даже получать как бы01:15:42
дополнительные сведения о тех кто ведет01:15:44
так скажем двойную жизнь в частности в01:15:46
расследовании про украинских кавычках01:15:48
хакеров там был момент когда через год01:15:51
контакт удалось подтвердить что этому01:15:54
номеру соответствует никнейм хакера в01:15:58
кавычках То есть он кого-то телефонных01:16:00
книжках был прям вот подписан так он01:16:02
подписывался на форумах01:16:05
по поводу восстановления доступа тут01:16:08
есть даже один такой момент что в01:16:12
Фейсбуке если не ошибаюсь на данный01:16:14
момент можно прямо по телефону номеру01:16:17
узнать кто зарегистрирован то есть01:16:19
другие социальные сети этого не01:16:20
позволяют но в принципе все они это01:16:23
делают так или иначе через01:16:26
То есть у вас есть контакты если это не01:16:30
телефонная книжка это контакты в Google01:16:32
чем-то другом01:16:35
и01:16:37
соцсеть считает самым верным самым01:16:40
правильным потянуть все сведения о том01:16:42
находятся ли ваши контакты01:16:46
зарегистрированы ли они и предложить вам01:16:48
подписаться подружиться Как же так вот у01:16:52
вас есть друзья наши соц сети не знаете01:16:55
интересный пример по поводу определения01:16:58
местоположения по телефону это сервис01:17:02
Location01:17:04
был предназначен для отслеживания01:17:07
преступников он предназначался для01:17:10
полицейских органов насколько я помню и01:17:12
у него на главной странице была демка01:17:14
через эту демку якобы только01:17:16
авторизованные пользователи со01:17:19
специальным доступом могли убить телефон01:17:22
человека из Америки из крупнейших01:17:25
четырех вроде как сотовых операторов и01:17:28
получить данные положение01:17:31
не до конца в ней были некоторые баги в01:17:34
общем Сами понимаете Любой человек мог01:17:37
зайти на этот сайт вбить туда01:17:39
практически любой01:17:41
американский и узнать где в данный01:17:44
момент находится человек это было в01:17:46
открытом доступе конечно после того как01:17:48
эта информация утекла это закрыли Но вот01:17:51
тем не менее насколько я понимаю если01:17:54
говорить о том как это работало у этого01:17:56
сервиса было договоренность с01:17:59
операторами и они могли передавать01:18:02
данные по конкрет по номерам то есть с01:18:06
точки зрения законов все было легально01:18:08
но с точки зрения использования в01:18:11
открытом виде не очень01:18:14
про фотографии тоже Мы с вами уже01:18:16
Немного поговорили мы можем их получить01:18:19
из аккаунтов различных сервисах мы можем01:18:24
эти фотографии получить по01:18:26
местоположению и мы можем по ним искать01:18:29
поиск по изображением тоже наверное уже01:18:31
привычная вещь тут хотелось бы от себя01:18:34
добавить 5 копеек разницу того как01:18:37
работает Google Яндекс и допустим поиск01:18:39
по изображением ВК Google более точный у01:18:46
него больше индексация но при этом у01:18:48
Яндекса ну скажем01:18:51
возможности поиску не четкому намного01:18:55
лучше на мой взгляд То есть если мы01:18:57
загрузим даже немного измененные01:18:59
изображения не то что с уменьшенным01:19:02
качеством а просто чуть обрезанная чуть01:19:04
сдвинутая01:19:05
выдаст нам много очень похожих01:19:09
изображений часто это то что нужно то01:19:10
что не может найти Google ВКонтакте тоже01:19:14
и не очень точно и иногда приходится01:19:17
найти пару копий нужного нам изображения01:19:20
чтобы мы могли загрузить ВК и через ВК01:19:23
найти людей у которых есть одна из таких01:19:27
фотографий это тоже очень часто бывает01:19:30
полезно поиск по лицам тема которая01:19:33
началась довольно давно года три уже01:19:35
назад по крайней мере в рунете активно01:19:38
обсуждается01:19:39
Это был сервис01:19:41
Ныне уже закрытый и насколько я знаю его01:19:45
разработчики помогают Московскому01:19:47
организовать систему для распознавания01:19:49
лиц транспорте на улицах сейчас работают01:19:54
по меньшей мере в открытом доступе два01:19:57
сервиса альтернативных это01:20:03
бывшие01:20:04
недавно про него тоже очень много писали01:20:07
кто слышал пользовался01:20:10
и как вам01:20:15
смысле закрыли что закрыли01:20:22
Ну там все равно из демо запроса01:20:24
правильно01:20:26
У меня нет профиля ВК и я немного01:20:30
удивился потому что нашел профили своих01:20:32
старых друзей знакомых которых я остался01:20:35
запечатлен Еще очень-очень стародавние01:20:38
времена и естественно эту информацию Я01:20:40
уже никак не могу удалить а Любой01:20:42
человек которого будет моя фотография он01:20:44
сможет узнать кто такой01:20:46
связи Потому что если у тебя есть хотя01:20:50
бы несколько кругов общения в которых01:20:52
человек отметился ты можешь очень быстро01:20:54
сопоставить его скажем так траекторию01:20:56
движения где он был с кем общался и где01:20:59
он может быть сейчас01:21:01
про Яндекс еще раз добавлю потому что у01:21:06
Яндекса есть свой движок поиска по лицам01:21:09
насколько Я полагаю потому что01:21:11
информация об этом вроде как нет в01:21:13
открытом сети может я не видел просто но01:21:17
Яндекс очень точно находятся профиле01:21:22
и Яндекс предлагает вам некие Кто01:21:26
находится на этой фотографии и сразу01:21:28
выдает профили выдает вашу имя фамилию01:21:31
опять же недавно по одному своему01:21:34
знакомому удалось найти не только его01:21:37
старые профили даже профили которые01:21:39
кто-то делал чтобы его не знаю поставить01:21:42
дублировать Без понятия с его01:21:45
фотографией но который делал Не он Ну и01:21:48
не так сложно на самом деле сделать01:21:50
собственный сервис для поиска по01:21:52
фотографиям я там привел ссылку на01:21:55
статью из одного кстати очень хорошего01:21:56
канала в телеграме советую посмотреть01:22:00
потом подписаться01:22:03
автор рассказывает как он взял01:22:06
уже готовый классификатор уже01:22:09
натренированную нейронную сеть как он01:22:11
выкачивал01:22:13
мест как он все это01:22:17
смог использовать довольно с высокой01:22:19
точностью для поиска тех людей которые01:22:22
интересует и Сами понимаете это уже01:22:24
касается не просто ВКонтакте это01:22:26
абсолютно любых источников данных Вы01:22:28
можете поднять свой локальный сервис01:22:30
грузить туда фотографии01:22:33
оттуда откуда вам нужно и потом01:22:36
продавать кому-то доступ допустим чтобы01:22:37
искать пользователей в телеграме по01:22:40
лицам01:22:41
про метаданные exip мы уже говорили про01:22:45
контент тоже говорили и это как01:22:49
банальные случаи про который я уже01:22:50
упоминал там где на скриншотах01:22:53
часовой пояс видно из какой страны01:22:56
человек так и довольно еще более01:22:59
банальные случаи когда кто-нибудь01:23:01
фотографирует свои билеты или там свою01:23:04
карту и на ней уже видны все01:23:07
персональные данные которые могут быть01:23:09
интересны не только нам и мошенникам и01:23:11
любым другим лицам которые потом с ними01:23:15
что-то будут совершать01:23:18
метаданные тут не так много хотелось бы01:23:21
добавить потому что это уже скорее01:23:23
Техническая вещь01:23:25
расскажу о том что мне пригодилось это01:23:29
как ни странно информация о том Кто01:23:32
владеет аккаунтами много про соцсети про01:23:36
форму сейчас говорили01:23:37
очень часто выкладывается допустим01:23:40
расшаривается некий файл на облаке или01:23:43
что касается мошенников с которыми мы01:23:45
сталкивались они выкладывали фейковые01:23:47
PDF презентации того проекта01:23:50
чьими руководителями они притворялись01:23:53
Если мы смотрим просто файл мы никак не01:23:56
можем узнать вернее мы можем на глаз01:23:59
примерно определить что он поддельный но01:24:02
при этом часто очень сбывается что мы01:24:04
можем посмотреть кто этот файл хостит01:24:07
какой аккаунт если Мы открываем файл01:24:09
американского сила очень успешного а01:24:13
потом открываем сведения владельцы видим01:24:15
что его владелец некий01:24:18
английский парень то понимаем что что-то01:24:21
не так01:24:22
Это же касается и01:24:27
файлов которые выложены в облако01:24:30
например был кейс с внутренним01:24:34
нарушительным человеком который01:24:35
попытался публиковать компромат на свою01:24:39
компанию при этом он не учел во-первых01:24:42
что в вордовских документах которые он01:24:45
подредактировал чтобы они выглядели хуже01:24:47
сохраняется автор и редактор но думаю01:24:51
все понимают где это посмотреть как это01:24:53
узнать И ничего того что в01:24:55
аккаунте Яндекс диска в котором это01:24:58
выкладывал тоже можно посмотреть к этому01:25:00
публиковал и если01:25:03
имени и фамилии пользователя компьютера01:25:06
в котором был создан файл Лорда еще01:25:08
можно поделать То есть можно подумать01:25:09
что кто-то хотел подставить то никнейму01:25:13
аккаунта на Яндекс диске практически01:25:14
однозначно получилось сопоставить01:25:17
человека с01:25:19
подтвердить что это человек есть там01:25:22
было довольно интересная цепочка01:25:24
никнейму пользователя на Яндекс01:25:27
его профиль на auto.ru если я не01:25:30
ошибаюсь на вторую он очень много писал01:25:32
про01:25:35
про свои автомобили и потом кстати нам01:25:38
люди из01:25:41
организации подтвердили что да он был01:25:43
там автомобилиста любитель и он в01:25:48
некоторых местах публиковал полный01:25:50
скриншоты каких-то свидетельств чего-то01:25:54
еще относящегося там к авариям не помню01:25:56
точности помню что там были все01:25:59
персональные данные собственно если бы01:26:02
кто-то захотел подставить человека то01:26:04
поставить таким образом его аккаунт01:26:07
Яндекс диска01:26:11
был бы слишком сложно На мой взгляд01:26:16
отдельная история потому что очень часто01:26:19
люди забывают на самом деле работает Они01:26:21
удаляют свою персональную информацию или01:26:24
файлы Новым годом информация остается в01:26:27
индексе Ну Сами понимаете как бы если мы01:26:30
можем посмотреть истории изменений01:26:31
во-первых можем посмотреть кто Под каким01:26:34
именем таким мелом это камитель что тоже01:26:37
почему-то очень часто бывает во-вторых01:26:40
можем посмотреть какие были правки01:26:42
касающиеся удаления информации и у них01:26:45
тоже часто содержится01:26:47
любопытная информация если кто-нибудь01:26:50
решит проходить в квест то там который01:26:52
есть про использование метаданных я01:26:55
сейчас рассказал Ну ладно тут есть01:26:59
интересный пример статья на хакере даже01:27:02
вышла про это даже по моему несколько01:27:04
статей про довольно сильного вируса01:27:07
писателя который я не помню01:27:11
представлялся что там связано с енотом01:27:15
тоже очень быстро удалось Поставить все01:27:18
его профили более того там01:27:21
была одна очень интересная вещь трояном01:27:25
который он распространял для своих01:27:27
клиентов продавал то что клиенты очень01:27:29
часто этот район проверяли на своем же01:27:31
компьютере Насколько быстро и незаметно01:27:34
он во все персональные файлы01:27:36
действительно быстро и незаметно их01:27:38
воровал в том числе у самих владельцев01:27:41
отправляя их на сервера которым потом01:27:43
получили доступ исследователя из01:27:45
компании Доктор Веб насколько я помню01:27:48
соответственно они сами помогли01:27:51
восстановить всю цепочку и понять это01:27:53
использовать01:27:57
профиль пользователя это некий уже01:28:00
подводящий итоги на самом деле слайд то01:28:03
есть мы поговорили про персональные01:28:05
данные про то как однозначно можно01:28:06
определить человека01:28:08
что дальше с этой информацией мы можем01:28:11
делать01:28:12
из всех тех данных которые мы получили01:28:16
мы можем сделать вывод о том Чем01:28:19
занимается человек можем предоставить01:28:21
информацию правоохранительные органы01:28:23
можем дать информацию нашему клиенту01:28:25
дальше уже сам решит что делать и01:28:30
можем продолжать расследовать дальше в01:28:32
том числе и подтверждать что01:28:34
действительно в других случаях тоже это01:28:36
было и сопоставления у меня есть01:28:40
несколько интересных примеров километре01:28:42
это определение по стилю текста по01:28:45
написанию01:28:46
онлайн сервисов которые позволяют это01:28:49
делать достаточно большой точностью но01:28:51
предполагаю что01:28:53
имея вот новые сервисы вроде бузим01:28:58
который позволяет редактировать все01:29:00
сообщения в телеграме в открытых чатах01:29:02
Они скоро появятся Ну то есть по стилю01:29:06
вашего текста о его можно01:29:09
определить вытащив достаточно большой01:29:12
корпус просто запросить по вашему01:29:14
юзернейму Можно потом понять С каких01:29:17
других профилей вы пишете И не только в01:29:20
телеграме в любых других сетях других01:29:23
любых местах01:29:24
Этот способ01:29:27
биометрии на самом деле уже много где01:29:29
внедряется и говорят что в банках он же01:29:32
работает01:29:34
опять же в открытом виде я Это нигде не01:29:38
наблюдал Но вот так и напрашивается на01:29:41
самом деле Вот который будет01:29:42
подтверждать что человек голосовое01:29:45
сообщение это действительно тот человек01:29:47
который обладает этим голосом потому что01:29:51
есть люди которые очень часто пользуются01:29:54
голосовыми А есть люди которые01:29:57
чужими голосовыми не знаю ситуации но01:30:00
вот у меня были такие случаи и статус01:30:03
онлайн01:30:05
на самом деле пример он является частью01:30:09
расследования ну вернее как исследование01:30:12
безопасность мессенджера Telegram01:30:14
которая была сделана Достаточно давно но01:30:16
актуально Сейчас как вы наверное знаете01:30:19
Кроме того что вы можете посмотреть01:30:21
информацию базовую профиле аккаунтов01:30:24
Telegram01:30:27
вы еще можете узнать онлайн или нет эта01:30:31
информация можно скрыть Но если вы01:30:33
находитесь в одной группе с человеком вы01:30:35
все равно это будете видеть01:30:36
в одной группе соответственно если у нас01:30:41
есть два аккаунта которые мы подозреваем01:30:42
в общении или два аккаунта которые мы01:30:45
как подозреваем является01:30:47
принадлежат человеку то просто фиксируя01:30:51
время выхода в онлайн01:30:55
Мы можем с большой точностью определить01:30:59
пересекались01:31:01
эти моменты и авторы исследования они01:31:05
приводят даже формулы в конце того как01:31:08
это можно сделать как-то можно вычислить01:31:10
я писал прототип плохого сервиса Но это01:31:14
был скорее просто скрипт наброски на01:31:16
коленке и он кстати подтвердил что эти01:31:18
два аккаунта не принадлежат одному01:31:20
человеку01:31:21
про использование01:31:23
Про некоторые вещи я упомянул Ну то есть01:31:26
это01:31:27
продажа каких-то услуг это реклама01:31:30
понятно что не только мы в01:31:35
целях защиты безопасности эту информацию01:31:38
можно найти использование скорей В общем01:31:41
рассказываю не то что мы собираемся01:31:43
продавать рекламировать очень часто01:31:46
опять же данных данных по социальным01:31:50
сетям собирая про поисковикам01:31:53
получается некие базы эти базы означает01:31:57
потенциальных клиентов для какого-либо01:32:00
сегмента бизнеса эти данные потом01:32:02
продаются перепродаются01:32:05
производится реклама сами знаете01:32:08
корпорация добра Google она очень01:32:10
тщательно отслеживает куда вы ходите01:32:12
чтобы улучшать не только ваш язык01:32:14
понимать какие у вас есть интересы какую01:32:18
рекламу вам показать сейчас какая01:32:20
реклама будет01:32:21
на всех сайтах партнеров довольно долгое01:32:25
время01:32:26
кейс Кембридж аналитики тоже наверное01:32:28
всем известен это ну как сказать утечка01:32:32
это данные из Фейсбука которые попали в01:32:36
стороннюю аналитическую компанию и01:32:38
которая помогала трампу организовать01:32:41
предвыборную кампанию в частности01:32:42
насколько я помню таргетировать рекламу01:32:45
Ну на потенциальных Избирателей01:32:48
соответственно01:32:49
утверждается что они качественного01:32:52
увеличили результаты привели к победе01:32:55
как оно было на самом деле неизвестно но01:32:57
известно что эти данные попали в01:32:59
Кембридж аналитики01:33:01
не постольку поскольку это было01:33:05
и насчет разбора внутренних инцидентов01:33:08
которые я уже говорил01:33:10
был кстати недавно на интересные лекции01:33:13
компанию они занимаются разработкой01:33:16
систем и другими01:33:19
вещами для безопасности у них есть свой01:33:24
сервис который позволяет очень быстро01:33:26
составить портрет человека и в01:33:29
дальнейшем Если произойдет какой-то01:33:31
инцидент01:33:32
отсеять и локализовать тех людей которые01:33:35
всего трудового коллектива даже очень01:33:37
большого01:33:39
потенциально могут быть виновниками01:33:42
приводился пример когда из01:33:44
тысячи что ли человек нет человек было01:33:49
меньше Но определили сразу сходу 5 и 301:33:53
или 4 из них на01:33:55
допросе раскололся сейчас прозвучила не01:33:58
очень мирно ладно01:34:01
Это нигерийский мошенник слева01:34:05
а справа это01:34:08
разнообразные аватарки уже более01:34:10
легитимных пользователей которые01:34:11
использовались01:34:13
было такое хобби во время работы над вот01:34:18
этими разбирательствами составлять01:34:20
коллажи из тех аватарок которые ставят01:34:22
мошенники Чуть более повторно про то что01:34:25
было01:34:27
собственно нигерийцы очень давно01:34:30
зарабатывают01:34:32
на жизнь есть такое понятие нигирийский01:34:36
скам 419 по названию статьи Уголовного01:34:39
кодексе которые якобы должны запрещать01:34:41
это делать это явление наблюдается еще с01:34:47
второй половины 20 века заключалась01:34:50
изначально в том что вам приходили01:34:52
письма в которых рассказывалось очень01:34:55
Печальная история принца некого01:34:58
африканского государства которого01:35:00
извержения руководства01:35:03
[музыка]01:35:05
вы сейчас где-то скрывается но ему к01:35:07
сожалению не хватает денег чтобы01:35:08
организовать Восстание прийти к власти и01:35:11
стать полноправным01:35:13
царем не знаю правителем Ну он конечно01:35:17
обещает вам прислать в 10 раз больше01:35:19
если вы ему немного поможете К сожалению01:35:22
сейчас такие письма они приобрели уже не01:35:25
знаю более01:35:26
менее01:35:30
отслеживаемый мошеннический характер01:35:32
частности очень много подобного скама на01:35:36
сайтах знакомств там где дистанционно01:35:40
какой-то человек рассказывает он к вам01:35:42
прилетит и вы вообще его вторая01:35:44
половинка которая искал всю жизнь денег01:35:47
на перелет эти же мошенники они очень01:35:51
быстро въехали скажем так поняли где01:35:56
происходит01:35:58
чаще всего в частности01:36:01
проведение и общение происходит в01:36:06
группах в телеграме по меньшей мере01:36:07
происходили Вот это расследование про01:36:10
которое рассказываю оно было в01:36:13
весной летом того года когда тема из01:36:17
всего пошла уже чуть на спад прошел пик01:36:19
но тем не менее людей было очень большое01:36:22
количество многие регистрировались01:36:24
телеграме только ради того чтобы01:36:26
вступить в группу некоего чтобы01:36:29
приобрести токены и потом когда это01:36:34
это проект выйдет на биржу эти токины01:36:37
Они могли обвинять на услуги либо01:36:39
продать по более выгодной цене01:36:42
суть на самом деле примерно сводится к01:36:45
финансовой пирамиде но это уже другая01:36:49
тема что делали мошенники они01:36:54
смотрели кто отмечен звёздочкой01:36:57
появляется администратором чаще всего01:36:59
это те же самые лица которые являются и01:37:02
руководителями все компании комьюнити01:37:05
менеджеры они меняли свои имена они меня01:37:09
аватарки Как вы может быть знаете в01:37:12
мобильных клиентов Telegram практически01:37:21
многие люди верили когда им писал01:37:24
руководитель проекта всего что вот01:37:28
ты наш сотый не знаю подписчика или01:37:32
что-то попроще что сейчас всем01:37:34
предлагаем специальные условия что ты01:37:38
сейчас переводишь нам напрямую деньги мы01:37:40
тебе обещаем 10 раз больше токенов01:37:43
а так как перевод этих средств он01:37:46
происходил практически всегда через01:37:49
блокчейн через скажем или через биржи то01:37:54
люди которые были обмануты они уже с01:37:57
этим фактически ничего не могли поделать01:37:58
как-то выглядело внешне есть группа в01:38:02
которой допустим 10 тысяч человек в ней01:38:05
сидят админы сидят полноправные01:38:07
участники и те кто приходит интересуются01:38:09
туда же приходит и мошенник он может01:38:12
даже не вступать потому что группы01:38:14
телеграме можно читать01:38:16
не Джони с них и после этого начинает01:38:21
писать всем кто недавно вступил01:38:23
естественно человек который только что01:38:26
пришел не знакомился со всеми условиями01:38:28
А может быть которые вообще только что01:38:30
зарегистрировался в телеграме он видит01:38:33
такое он-то воспринимается правду он01:38:36
переводит деньги и Вуаля у проекта01:38:40
большие потери из-за того что приходит01:38:43
мошенники и вот таким вот банальным01:38:45
способом Обманывать людей01:38:46
но01:38:48
суть этого доклада в другом ссылку01:38:52
Простите в том что всю информацию надо01:38:55
сохранять и в определенный момент мы01:38:57
поняли что эти мошенники часто01:38:59
переименовываются когда они приходят в01:39:01
один проект и видит что там активность01:39:04
небольшая это уже не рентабельно скажем01:39:06
так для них обманывать там людей они01:39:09
переходят на другой всего01:39:11
переименовываются и у нас был отдельный01:39:14
канал в телеграме который позволял01:39:16
отслеживать миграции мошенников из01:39:18
одного проекта на другой то есть скажем01:39:20
так мы знали кто сейчас является целью01:39:23
мы знали кого сейчас нужно защищать01:39:26
плюс пробежимся вообще по другим01:39:30
сервисом который позволяет сохранять01:39:31
информацию это01:39:33
навигаторы всевозможных соцсетей досок01:39:36
объявлений как например Avito с которого01:39:38
очень часто объявления удаляются и01:39:41
затираются но мы тем не менее можем01:39:42
найти на них старые объявление старую01:39:46
информацию это известные сайты порг01:39:48
архив из которых хранятся копии сайтов и01:39:52
любой может сохранить сайт если он01:39:54
понимает что завтра информация может01:39:55
быть изменена системы01:39:58
уже говорили про мониторинг тоже01:40:01
рассказал01:40:03
это кстати очень удобная расширение на01:40:06
Chrome которое позволяет в процессе01:40:09
расследования делать заметки и сохранить01:40:11
информацию01:40:13
еще вопрос01:40:28
я услышал01:40:31
насчет того что они сохраняли копии01:40:34
профили Google пуль плюс Да Слушай на01:40:37
самом деле01:40:39
не помню ну то есть надо наверное01:40:41
почитать А им пришлось потом это удалить01:40:47
[музыка]01:41:08
шайтан машина да01:41:16
но они сказали то что мы вот будем01:41:20
сканировать через неделю Типа если вы не01:41:23
хотите чтобы ваши данные сохранились01:41:25
можете удалить Google Плюс аккаунты все01:41:30
как бы на этом все было сказано01:41:31
во-первых Они вроде хотели сохранить01:41:34
историю то что это было и профили01:41:37
пользователи Насколько помню они еще01:41:40
ориентируются на робот C то есть они01:41:43
не архивируют И вообще не запрашивать01:41:47
никакой контент если указано что доступ01:41:49
к нему поисковым роботом запрещен01:41:54
хоть и не массовый Но там нет этого01:41:57
игнорирования плюс там есть даже01:41:59
какие-то стройные профили в соцсетях01:42:01
которые позволяют сохранять информацию о01:42:03
людях которые они поставили доступной01:42:06
только для лиц зарегистрированных ВК01:42:09
например про утечки баз данных01:42:13
любые пользовательские данные товар это01:42:16
написано на слайде но я еще раз зачитаю01:42:18
потому что когда дело касается01:42:22
продажи сведений о клиентах то уже01:42:25
говорят не о людях а лидах то есть01:42:27
потенциальные покупатели есть очень01:42:30
много баз данных в более-менее открытом01:42:33
доступе и01:42:36
слиты они из самых разнообразных мест01:42:38
гос органов специализированных сервисов01:42:41
поэтому Если говорить о том Какую01:42:43
информацию можно получить01:42:45
скажем так не из Гугла01:42:48
специальность источников из баз то тут01:42:51
уже фактически доступны совершенно01:42:53
разные схемы пробива когда по какому-то01:42:58
идентификатору ты можешь получить01:43:01
все данные01:43:03
идентификатор даже01:43:06
и каналы еще раз его прорекламирую01:43:10
просто мне очень нравится контент01:43:13
который выкладывают ребята01:43:15
следующим способом и читая01:43:18
многочисленные случаи о том как нашлась01:43:21
одна база mongo Better чаще или что-то01:43:24
еще понимаешь что тот кого ты01:43:26
интересовал он уже давно сканирует сеть01:43:28
он уже давно сливает данные из всех этих01:43:29
баз и про инструменты автоматизацию01:43:33
коротко есть много фреймворков и много01:43:37
облачных сервисов которые позволяют все01:43:39
то о чем рассказал01:43:40
какой-то степени автоматизировать это01:43:43
либо просто запросы всех возможных01:43:45
источников01:43:47
с агрегацией виде просто текстового01:43:50
файла который тоже как хочешь01:43:52
форматируешь так и Вполне себе удобные01:43:56
графические интерфейсы в которых можно01:43:58
выстраивать01:43:59
какие-то схемы и с которыми можно01:44:03
взаимодействовать01:44:05
как-то сказать01:44:08
но это довольно известная допустим вещь01:44:12
Вроде мальтега это более новые вещи01:44:14
которые я бы хотел посоветовать пощупать01:44:16
риск IQ и lampire и насчет подборок01:44:20
очень большое количество статей01:44:22
материалов по поводу осинта01:44:24
расследования и поисков есть вот По01:44:26
приведенным ссылкам советую ознакомиться01:44:29
собственно на этом все Если есть вопросы01:44:32
Давайте да01:44:38
Скажи пожалуйста01:44:41
запрашивали на биржу криптовалюты чтобы01:44:44
выдали информацию01:44:45
насколько понимаю01:44:48
частное лицо Это запрашивали и как01:44:52
согласилась01:44:53
бирже криптовалюты предоставить01:44:56
персональные данные То есть получается01:44:58
либо01:45:00
не совсем законная деятельность нет01:45:05
как согласилась не сразу но мы объяснили01:45:08
ситуацию01:45:09
получается условно Любой человек может01:45:13
придумать достаточно качественную01:45:15
Легенду01:45:17
спровоцировать на то чтобы предоставили01:45:20
персональные данные01:45:22
насколько я понимаю в то время может01:45:25
быть сейчас поменьше такие случаи01:45:27
мошенничества были очень широко01:45:28
распространены и биржу очень часто01:45:30
обращались с подобными запросами если01:45:33
этот мошенник обманул Не первого того01:45:36
человека который01:45:38
то биржа могла взять на себя01:45:40
ответственность эти данные опубликовать01:45:42
предоставить конечно в идеале Она не01:45:44
должна была этого делать Я согласен И01:45:47
второй вопрос Сколько примерно по01:45:49
времени уходит что Ну допустим есть01:45:51
только там никнейм или там фрагмент01:45:53
переписки чтобы по всем различным01:45:57
агрегаторам собрать информацию и чтобы01:46:00
скажем так выйти на человека на01:46:03
организацию Слушай не знаю это такой01:46:06
вопрос01:46:07
сложный потому что процесс прежде всего01:46:10
творческий иногда требующие как01:46:12
системного подхода про то что я01:46:13
рассказывал как и не знаю небольших01:46:15
хаков вот допустим кейс который недавно01:46:17
был у меня найти номер телефона вообще01:46:20
все сведения по имени фамилию человека я01:46:22
не мог найти хотя человек очень много01:46:24
где упоминался сайтов новостных довольно01:46:27
крупного уровня Но как только я запросил01:46:29
имя и фамилию человека и добавил туда01:46:31
начало телефонного номера с кодом01:46:34
оператора то вот высветилось сразу01:46:36
страница все лишние фильтровалась оно01:46:38
нашлось Я могу потратить очень много01:46:40
времени не найти но как бы просто01:46:42
использовал какой-то из приемов Ну то01:46:44
есть получается поиск там условно дня до01:46:47
там месяца Можно затянуться тот как01:46:50
повезетный за 5 минут найти там вот была01:46:53
статья пятиминутный кейс по финту очень01:46:56
сильно советую ознакомиться там вот прям01:46:58
просто человек01:47:00
и нашел Кто является тем человеком01:47:04
Спасибо01:47:18
Спасибо01:47:28
Ты знаешь01:47:30
как продолжать жить спокойно Я думаю в01:47:33
какой-то момент все понимают что их01:47:36
читают как открытую книгу зависит от01:47:38
обстоятельств и от того01:47:40
жизненная философия Ну это достаточно01:47:43
сложный вопрос и он точно не в рамках01:47:45
этого доклада01:47:46
то есть стоит просто смириться01:47:50
а ты делаешь что-то плохое01:47:52
так вот01:47:54
Хороший ответ01:47:57
просто Мы все знаем Тайны переписки о01:48:02
свободе слова01:48:03
в рамках этого доклада мы узнали что как01:48:05
бы нет01:48:07
Ну как бы да01:48:11
мы можем собой это обсудить но Что01:48:14
касаемо тайной переписки Свободы слова и01:48:17
вообще любых тем которые затрагивают01:48:19
сведения которые нас может получить01:48:22
Государство это такая большая и Очень01:48:25
актуальная тема которой можно спорить01:48:28
Спасибо01:48:32
Спасибо за доклад Расскажи пожалуйста01:48:35
какой у вас обычно опыт взаимодействия с01:48:39
хостерами провайдерами Ну то есть01:48:41
условно там01:48:43
фишинговый сайт какой вот вам повезло в01:48:46
России оказался это облегчает как-нибудь01:48:48
вашу задачу опыт взаимодействия ты01:48:51
имеешь ввиду были ли у нас какие-то01:48:53
знакомства там внутри или Ну нет01:48:56
например01:48:58
[музыка]01:49:04
и мы дарили на себя брали на себя все01:49:08
обязательства по устранению этого сайта01:49:09
то есть мы обращались к Острову мы01:49:13
обращались к доменам регистратором мы01:49:15
обращались к тем организациям которые в01:49:18
этой доменной зоне вообще регулируют01:49:19
безопасность и собственно предоставив01:49:23
все подтверждающие документы что это01:49:26
сайт поддельный что это мошенники все01:49:29
доказательства как бы мы педалировали01:49:31
тему чтобы сайт включали самое быстрое01:49:34
по моему было минут за 5 Вот мы01:49:36
буквально прислали постеру ответил01:49:39
спасибо большое мы так и думали что Это01:49:41
мошенник типа сомневались01:50:01
Да еще один01:50:04
Да без проблем последний вопрос01:50:10
вы встречались ситуации когда такой01:50:13
поиск приводит к противоречиям данным И01:50:17
что же Что делать если мы нашли якобы01:50:23
персональные данные01:50:25
кого кого-то нехорошего и из разных01:50:30
источников они оказались Мы проверяли и01:50:33
подтверждали но то есть я уже приводил01:50:35
пример несколько методов Когда мы можем01:50:38
противоречить данные сравнить проверить01:50:41
их других внешних источников Ну и 10 раз01:50:44
подтвердить что это человек или нет01:50:48
естественно это то что обязательно нужно01:50:51
делать нужно перепроверять01:50:57
искупаем аплодисменты01:51:07
Меня зовут саксой я вам буду01:51:10
рассказывать сегодня про боевой асинт но01:51:13
по правде говоря я просто буду01:51:14
рассказывать о том как использовать01:51:16
разные01:51:17
не очень тривиальные приемы для того01:51:20
чтобы вытащить эту информацию которая01:51:22
нам требуется01:51:24
немного про себя Я увлекаюсь поиском01:51:27
информации как хобби сами себе всю жизнь01:51:30
считал разработчиком но понял что сбор и01:51:35
анализ информации достаточно интересная01:51:38
тема которая и имеет большой простор для01:51:42
автоматизации и помогает в жизни и в01:51:46
работе в частности расследование01:51:47
студентов и каких-то других областях01:51:51
немного про01:51:54
Если кто-то вдруг не сталкивался01:52:03
свет подкрутить01:52:07
Давайте попробуем освещение выключить01:52:17
Если слабо можешь попробовать еще на01:52:20
проекторе наверное увеличить01:52:22
это разведывательная дисциплина сбор01:52:26
информации из открытых источников и по01:52:29
некоторым сведениям от ЦРУ там более 9001:52:33
процентов данных вообще приходит именно01:52:36
из открытых источников и Один из таких01:52:38
хрестоматийных примеров которые я люблю01:52:40
упоминать это схема электроснабжения01:52:43
советско-ядерной программы которая была01:52:45
составлена на основе снимка и журнала01:52:48
огонек аналитиком ЦРУ01:52:50
суть такова что нужно было за что-то01:52:54
зацепиться и этим чем-то стало схема01:52:59
диспетчерской в Свердловской области01:53:02
которая собственно01:53:04
позволяла сделать выводы о том какие01:53:07
есть вообще объекты за Уралом между01:53:10
собой не соотносятся где Какие мощности01:53:12
и так далее и из этих данных уже нужно01:53:15
было сделать выводы01:53:17
о том какие есть атомные объекты какие01:53:21
есть линии электростанции и собственно01:53:24
аналитик это сделал естественно не в01:53:27
течение там одного-двух дней в течение01:53:29
нескольких лет для этого ему нужно было01:53:32
естественно верифицировать эти данные01:53:35
поэтому когда мы говорим про асинт мы01:53:38
говорим про то что мы находим какую-то01:53:39
базовую информацию и потом эта01:53:42
информация обогащается и дополняется01:53:43
потому что нам необходимо быть01:53:45
уверенными что информация из открытых01:53:48
источников достоверна01:53:50
я поделил доклад на несколько таких01:53:53
упражнений это какие-то сферические01:53:56
вакууме кейсы того что мы можем делать01:54:00
что он может понадобиться и собственно01:54:03
оставил еще некий простор для фантазии01:54:07
Давайте попробуем в формате рассуждения01:54:11
немножечко У нас есть код с токеном от01:54:15
Telegram Ну допустим мы обнаружили на01:54:18
нашем сервере некий майнер который01:54:21
постоянно соединяется с телеграмом01:54:23
кто-то туда ссылается мы смогли вытащить01:54:25
из него Токио нам нужно понять что это01:54:29
за01:54:30
что это за штука вообще что она делает01:54:33
кто ее владелец и частные случаи нам01:54:37
нужно собрать вот конкретную информацию01:54:39
владельца пользователях Бота а то01:54:42
информация которую Он передаёт У кого01:54:43
есть идеи Как мы можем это сделать01:54:47
звонить Павлу Здорово для получения01:54:49
названия Бота01:54:53
OK название Вот тебе даст информацию о01:54:56
владельце01:54:58
может и не дать Ну окей Ну считается01:55:10
не спойлере но сейчас я расскажу01:55:13
Ладно01:55:22
пик который представляет телеграмму он01:55:25
является упрощенным специально01:55:27
предназначенным для того чтобы01:55:28
разработчики могли быстро выкатить01:55:30
своего Бота который реагирует на01:55:31
сообщения пользователей что-то им01:55:33
отвечает это http в нем нет таких01:55:37
методов как получения диалогов получения01:55:40
подробной информации есть только что-то01:55:42
дефолтное типа узнать название01:55:45
и соответственно если мы будем01:55:48
придерживаться тех01:55:50
средств которые нам доступны по01:55:53
умолчанию мы можем только предполагать01:55:55
какие у нас есть диалоги01:55:58
пользователями Для этого нам нужно знать01:56:01
айтишники этих пользователей01:56:02
соответственно если мы будем перебирать01:56:04
эти гаишники мы можем найти в какой-то01:56:06
момент диалог который Действительно01:56:08
существует в котором есть сообщения и01:56:11
дальше вытащить информацию01:56:13
Но01:56:14
другие возможности нам по умолчанию01:56:17
недоступны Дело в том что у телеграма01:56:21
есть МТ прототип но собственно Это01:56:22
протокол который реализован Павлом01:56:26
братом Павла Дурова и он01:56:31
используется для клиентов Но с некоторых01:56:35
пор в неофициальных релизах библиотеки01:56:38
для работы с Telegram появились01:56:40
возможности для подключения ботов через01:56:43
этот API напрямую и соответственно у нас01:56:46
появляется много методов с помощью01:56:48
которых можно работать не только вообще01:56:51
с историей с диалогами но и со всей01:56:54
остальной информации которая есть01:56:55
телеграмме которая доступна ботам01:56:58
Соответственно что мы делаем мы пишем01:57:00
свой скрипт который01:57:02
просто проходит по списку всех диалогов01:57:06
вытаскивает всю информацию сливает все01:57:08
данные и сохраняет их Ну и собственно01:57:11
там есть ссылочка это01:57:14
просто01:57:16
какая-то реализация видео mvp которую я01:57:20
сделал чтобы продемонстрировать01:57:21
возможности Ну и небольшая схема чтобы01:57:25
было понятно01:57:27
http AP это то что предоставляется по01:57:31
умолчанию то что реализуется там01:57:33
простыми библиотеками типа телепот и01:57:36
когда вы подставляете туда токен он идет01:57:39
по факту не на сервер на котором01:57:41
работает внутренняя и телеграмма А на01:57:45
сервер на котором есть некая настройка01:57:46
она уже внутри решает За вас какие01:57:50
сообщения вам отдать как правило это те01:57:52
сообщения которые считываются там с того01:57:55
момента как вы прочитали все остальные01:57:59
последние То есть вы можете получать01:58:01
только обновления сообщений и вы не01:58:03
можете узнать01:58:05
какие пользователи с Ботом общались01:58:09
Ну и что мы делаем мы берем и01:58:11
подключаемся напрямую01:58:12
немного имитируя тот способ которым мы01:58:15
подключаемся как легитимные клиенты И01:58:19
еще есть несколько01:58:20
интересных фактов01:58:22
Все вы наверное знаете что в Telegram01:58:25
была добавлена возможность удалять01:58:27
сообщения у ваших собеседников Вот это01:58:30
не включено И в официальных клиентов01:58:32
сделать этого нельзя То есть если что-то01:58:34
попало к боту вы не сможете у него это01:58:36
удалить это останется у него хранится в01:58:39
диалогах и разработчиков всегда это01:58:40
сможет вытащить через01:58:47
ещё одна интересная фишка это то что01:58:50
http опил телеграма по умолчанию01:58:53
позволяет только одно подключение Если01:58:55
вы попробуете запустить 2 инстанции под01:58:57
одним токеном то вы увидите что они01:59:00
конфликтуют MT proto API позволяет подключаться из01:59:03
нескольких мест одновременно собственно01:59:05
то что мы делаем с помощью клиентов01:59:07
мобильных доступных и так далее Поэтому01:59:09
если у вас в руках токены какого-то Бота01:59:13
А на том же гитхабе их исходниках01:59:15
огромное количество то вы можете01:59:19
подключиться просматривать отправлять01:59:21
сообщения владелец Бота этого даже не01:59:24
заметит при том что он у него будет01:59:27
полнофункциональной работать01:59:29
Ну еще одна интересная штука это01:59:32
имитация команд Потому что часто код01:59:35
написан Так что он реагирует Просто на01:59:38
новое сообщение заданного шаблона текста01:59:40
в конкретном диалоге Поэтому если вы01:59:44
отправите Ну грубо говоря команду Старт01:59:47
в каком-то уже готовом диалоге из-под01:59:49
имени Бота то код Бота который запущен01:59:53
владельцем он на это отреагирует так как01:59:55
будто пользователь01:59:57
вел Старт соответственно со всеми02:00:00
вытекающими Вы можете не только сдам02:00:02
пить всю историю уже02:00:04
существующую вы можете перебрать команды02:00:07
самого Бота и вытащить все то что вот02:00:11
ещё не сообщил02:00:14
вот собственно02:00:17
части рассказал часть на основе того что02:00:20
я сам нашел на гитхабе там допустим был02:00:24
личный Task Tracker и мало того что02:00:26
человек писал туда свои задачи там он02:00:30
добавлял возможность так скажем02:00:32
подтверждение выполнения задач с помощью02:00:34
его контактов он расшаривал туда номера02:00:37
из своей телефонной книжки Кроме того он02:00:41
расстраивает геопозицию и собственно по02:00:44
одному токину который нашел себе в02:00:48
старом репозитории можно было вытащить02:00:49
по нему огромное количество информации02:00:53
и собственно совсем недавно у него у02:00:57
этого скрипта который написал качестве02:00:59
mvp02:01:00
появились активные пользователи которые02:01:03
занимаются тем что сливают информацию из02:01:07
ботов стилеров собственно там огромное02:01:10
количество архивов в которых находится02:01:13
чьи-то стащинные с десктопов текстовые02:01:17
файлы пароли и так далее02:01:20
вот собственно по поводу этой темы Я уже02:01:24
делал доклад на 107 495 если Кому02:01:28
интересно можете послушать чуть больше02:01:30
потому что у NT Pro TV для ботов гораздо02:01:34
больше возможностей и простор для02:01:37
фантазии02:01:39
двигаемся дальше это02:01:43
технически наверное вопрос тот который02:01:47
более подробно могут рассказать другие02:01:50
на этом слоте смысле В этом зале я02:01:54
расскажу только про практическую02:01:56
применимость У нас есть информация о том02:02:00
что некий человек сидящий с нами грубо02:02:03
говоря в одном зале пользуются02:02:07
телефоном номер которого нам не известен02:02:10
Ну грубо говоря Мы просто хотим не02:02:13
общаясь с этим человеком узнать номер02:02:15
телефона что мы можем предпринять для02:02:18
этого ваши предположения02:02:22
нет предположения02:02:30
к сети Окей сколько ты на это потратишь02:02:42
относительно телеграмма02:02:52
просто просто рядом вот ты сидишь вот я02:02:56
хочу узнать твой номер телефона02:03:13
в зависимости02:03:27
я рассказываю про частные случаи и02:03:36
дополнительная информация которая02:03:37
конкретизирует наш случай это то что у02:03:40
этого человека iPhone не кастомная02:03:42
сборка Андроида02:03:43
именно так да02:03:47
некоторое время назад появилась02:03:49
информация о ресёрче относительно того02:03:52
какими данными между собой обмениваются02:03:54
устройства Apple и Выяснилось что Они02:03:57
передают в три байта США от телефона02:04:01
почты Apple ID Соответственно что мы02:04:06
можем сделать Мы можем по этим трем02:04:09
байтам определить сколько возможных02:04:12
номеров которых естественно намного02:04:14
меньше чем всех возможных номеров02:04:16
российских операторов мы можем в02:04:19
дальнейшем пробить этот номер с помощью02:04:22
специальных услуг сотовых операторов Ну02:04:25
и дальше верифицировать его через02:04:26
мессенджеры и через другие возможные02:04:29
каналы так это примерно выглядит02:04:33
будучи запущенным02:04:37
Это скрипт от создателей этого ресёрча02:04:41
собственно это то что было в кафешке тут02:04:46
есть Айфоны airpods за которые кстати02:04:50
постоянно передают свой статус находится02:04:52
ли они внутри кейса вынуты ли они Айфоны02:04:55
сообщают о том на каком экране они02:04:57
находятся подключены ли они к Вайфаю ну02:05:01
и соответственно периодически эти02:05:03
устройства могут передавать три байта02:05:06
телефона они передаются специфических02:05:08
случаях конкретно при02:05:12
прошаривании пароля если они ошибаюсь Ну02:05:15
в общем-то я посидел минут 15 наверное в02:05:19
Маке по снег был трафик нашел02:05:22
Хеш от одного из телефонов проверил его02:05:27
по той базе которая опять же предлагают02:05:29
сгенерировать02:05:31
автора Ну и определилась около там02:05:35
тридцати возможных номеров в которых в02:05:37
дальнейшем уже можно отсеять ручками02:05:40
Кроме того что у нас здесь возможно02:05:43
телефоны еще раз за свечу У нас тут02:05:47
почта Apple ID то есть то о чем я02:05:50
говорил в начале мы можем не просто02:05:53
попытаться понять что это за телефон Мы02:05:56
можем в дальнейшем уже верифицировать и02:05:58
через какие-то дополнительные02:05:59
возможности там восстановление привязок02:06:02
телефона почте или что-нибудь связанное02:06:05
с Apple удостовериться что это именно02:06:08
тот человек который нам нужен это та02:06:10
информация которую мы искали02:06:15
и еще один из02:06:17
интересных примеров которые недавно на02:06:22
самом деле Достаточно давно02:06:24
публиковался это то что в московском02:06:28
метро02:06:30
забыл кто у нас владелец этого вайфая02:06:35
Максима Телеком Именно они собирают в02:06:39
огромном количестве данные о02:06:40
пользователях собственно это та02:06:42
информация которую помогает Создать02:06:44
рекламный профиль и потом продавать02:06:46
разным компаниям ваши профили для того02:06:49
чтобы просто рекламировать какую-то02:06:51
ерунду Они передают в открытом виде02:06:54
огромное количество данных ну и02:06:57
собственно все что вам нужно чтобы02:06:59
узнать что-то о человеке сидящем02:07:01
напротив вагоне метро это собрать трафик02:07:05
вокруг естественно если он подключен к02:07:06
wi-fi02:07:08
взять перебрать несколько Мак адресов и02:07:11
по этим mac-адресом мак-адресан дернуть02:07:14
специфи страницы02:07:17
wi-fi.ru собственно того портала в02:07:20
котором вы подключаетесь в Московском02:07:22
wi-fi и из него Ну сейчас по моему уже02:07:25
закодированном виде можно было вытащить02:07:28
кучу флажков потом кто вы такой все02:07:32
сделано на основании тех вопросов02:07:34
допустим которые предлагаются на момент02:07:37
авторизации Кто проходил в опросники в02:07:39
wi-fi в метро02:07:42
Здорово02:07:45
Молодец дают02:07:47
Окей в общем действительно возможности02:07:50
масса02:07:51
соединенного рецепта Нет я рассказал про02:07:55
один конкретный случай который02:07:56
более-менее сейчас актуален интересно02:08:00
а еще одна специфическая вещь02:08:03
допустим у нас есть некий человек Мы02:08:07
хотим получить по нему базовую02:08:09
информацию начиная с того где он хранит02:08:12
свой код какой-нибудь email мы знаем про02:08:15
него только то что он разработчик02:08:17
Допустим мы познакомились с какими-то02:08:20
разработчиками и хотим нанять его на02:08:22
проект и там нужно узнать про него02:08:24
информацию02:08:26
Как мы можем это сделать Давайте02:08:29
попробуем прогнозировать02:08:36
давай так данных Нет давай попытаемся02:08:40
это сделать социальный инженерии02:08:46
происходят02:08:57
Ну да я спрашиваю не для того чтобы вы02:09:01
угадали то что я буду рассказывать для02:09:02
того чтобы рассказали какие способы есть02:09:04
потому что я думаю всем интересно02:09:06
сидящим в зале послушать02:09:09
не все что ты знаешь02:09:14
Окей Ладно если никто не прочитал02:09:18
название Давайте попробуем сразу пройти02:09:21
к сути02:09:22
Мы можем с помощью социальной инженерии02:09:26
заставить человека подключиться к нашему02:09:29
серверу при подключении по умолчанию02:09:33
стаж клиент перебирает те ключи которые02:09:36
сейчас у него активированы в02:09:39
Агенте и который предаются02:09:42
серверу в том виде в котором они02:09:45
сохранены02:09:46
публичные ключи профилей02:09:49
хранятся публично и могут быть собраны02:09:53
без каких-то затруднений02:09:56
соответственно мы парсим github gitlab02:10:00
информация о том у кого мы их парсим эти02:10:03
Ключи уже есть потому что по каждому02:10:05
профилю Они открыты и через02:10:10
подключение к нашему серверу мы просто02:10:13
собираем все ключи которые есть у02:10:16
человека и в дальнейшем сопоставляем02:10:18
получаем информацию о том какими02:10:21
аккаунтами он пользуется02:10:24
собственно Все просто есть уже тестовый02:10:29
сервачок Достаточно давно которому можно02:10:32
подключиться и он покажет насколько02:10:35
плохо Вы02:10:37
настроили Саша конфиг потому что02:10:40
естественно без практики это прописывать02:10:44
конкретные хаски с конкретными ключами02:10:46
но о чем часто люди забывают02:10:50
соответственно Вы можете посмотреть те02:10:53
ключи которые вы залили в личный профиль02:10:56
Если вы думали что они никому не02:10:59
доступны Вы можете просто поставить02:11:04
и увидеть все то что вы добавляли02:11:13
Окей не будем Наверное долго на этом02:11:16
останавливаться02:11:18
еще02:11:19
одна возможность которая часто очень02:11:24
дает дополнительную информацию вернее02:11:26
это02:11:28
те так скажем медосмотры которыми часто02:11:35
те вещи которые пренебрегают02:11:37
разработчики это использование разных02:11:40
имен или вообще это02:11:44
то о чем люди забывают во-первых есть02:11:48
дети автор И комиттер это две разные02:11:52
сущности и они иногда не совпадают и02:11:56
практика показывает что в репозиториях02:11:59
которых часто отображается только один02:12:03
человек в качестве02:12:09
содержит также дополнительную информацию02:12:12
которую Человек забыл удалить из медных02:12:16
и позволяет зацепиться за email за имя и02:12:19
сопоставить его с какими-то с другими02:12:21
данными Ну и собственно Иногда люди02:12:24
просто забывают поменять автора02:12:30
новых02:12:34
опять немного вернемся к Telegram тут02:12:38
уже скорее вещи сторонние У нас есть02:12:42
аккаунт который недавно сменил имя и02:12:45
username А мы знаем что Telegram это у02:12:46
нас очень приватный мессенджер он не02:12:49
позволяет нам посмотреть историю02:12:50
позволяет много всего другого мы уже02:12:53
Немного обсудили нам нужно собрать02:12:55
максимум информации о пользователе А02:12:57
желательно как бы всю информацию что она02:13:00
доступна мы имеем только его айдишник ну02:13:04
скажем зашел к нам в группу и мы видим02:13:07
его имя юзернейм который скорее всего02:13:11
установлен только сейчас но мы02:13:13
предполагаем что этого аккаунта есть уже02:13:14
долгая история использования02:13:16
Какие есть варианты02:13:22
есть предположение02:13:41
Да с некоторого времени появились02:13:44
поисковики по истории сообщений Telegram02:13:48
Некоторые из них конечно позволяют02:13:50
искать свой день но такие штуки типа02:13:54
searchin позволяет искать только по02:13:57
имени по тексту сообщений так что даже02:14:00
если у вас есть один факт что вы там02:14:02
найдете сообщение пользователя но тем не02:14:05
менее Если бы у вас были02:14:07
старое имя02:14:09
был бы нашли все сообщения пользователя02:14:13
в открытых чатах вы смогли восстановить02:14:15
какую-то информацию дальнейшего02:14:17
оттолкнуться02:14:19
поиск по ID который можно получить с02:14:22
помощью user-infobot это такая тема достаточно02:14:26
обширная где этот ID могут засветиться02:14:28
это нас приводит к02:14:32
групповым ботам которые добавляются02:14:35
больших количествах для того чтобы02:14:36
допустим считать кармочку или просто02:14:39
модерировать или делать другие вещи и02:14:42
они иногда этими логичными02:14:45
но часто бывают и02:14:49
более серьезные возможности02:14:52
Один мой знакомый наткнулся на портал02:14:57
группового фото Ну конкретно Это был02:14:59
такой02:15:01
одностраничник который позволял искать02:15:05
по имени пользователя определять то есть02:15:08
ты знаешь что ты стоишь нескольких02:15:10
группах ты хочешь посмотреть свою карму02:15:11
Но почему ты не хочешь делать это через02:15:13
Telegram через год ты можешь зайти на02:15:16
официальный сайт этого Бота и там стиль02:15:19
имя02:15:21
и если ты немножечко повозишься то ты02:15:25
поймешь что там есть02:15:28
соответственно Я думаю все понимают мы02:15:31
можем вытащить всю возможную информацию02:15:33
о том какие пользователи состояли в02:15:36
группах02:15:37
мы можем вытащить это во-первых просто с02:15:41
помощью02:15:42
дополнения в котором и была инъекция и02:15:46
мы можем в дальнейшем через инъекцию02:15:48
вытащить всю базу02:15:51
вот собственно почему это произошло я не02:15:55
буду рассказывать схему схемы очевидна02:15:57
потому что разработчики любят сохранять02:16:00
все возможные данные которые попадают им02:16:03
в руки Ну вдруг они пригодятся нашим02:16:05
конкретном случае сохранялась еще02:16:06
история переименований Эта история у нас02:16:09
не была видна снаружи то есть мы могли02:16:12
по некому конкретному одному из имен02:16:16
пользователя даже не последнему02:16:17
попытаться получить эту информацию02:16:20
но если мы получали доступ к базе мы02:16:24
могли вытащить02:16:27
все имена которыми пользовался02:16:29
аккаунт в конкретном ID и соответственно02:16:33
дальше уже по ним сделать поиск через те02:16:35
инструменты которые было на предыдущем02:16:37
сайте свадеб в том числе это02:16:43
собственно Вывод что02:16:46
отслеживание ваших действий есть везде02:16:49
даже в telegram-ботах и Особенно в02:16:52
больших групповых чатах в которых не02:16:55
только записываются все сообщения чтобы02:16:57
допустим определять вашу активность на02:17:01
основании этого делать вывод о02:17:03
жизнеспособности аудитории и собственно02:17:05
другие какие-то фичи относящиеся к э-э02:17:08
маркетингу к02:17:11
вообще02:17:13
камень-менеджменту и про личные данные Я02:17:18
сказал и собственно очевидный вывод02:17:20
который подтверждается разными кейсами02:17:22
на практике что э побочная02:17:24
функциональность особенно у02:17:26
telegram-ботов оно как правило они02:17:29
проработаны потому что через http02:17:31
написать вот просто А вот сделать02:17:34
нормально их защищённый э всякий который02:17:37
позволяет вытаскивать информацию из базы02:17:39
этого Бота это уже не такая тривиальная02:17:42
задача02:17:44
еще один кейс от одного знакомого это02:17:49
опять же сферический вакуумный случай02:17:52
когда у нас было минимум информации по02:17:54
человеку у нас был аккаунт на форуме02:17:58
в классическом форуме и данные этого02:18:02
аккаунта были скрыты от остальных то02:18:03
есть мы знаем есть некий юзернейм мы02:18:06
знаем что у него в профиле записаны02:18:08
какие-то данные типа телефонов почтового02:18:11
ящика но они видны только ему потому что02:18:13
выставлены такие настройки приватности02:18:14
нам нужно найти email нам нужно найти02:18:17
все остальные данные аккаунта02:18:20
Ну давайте еще что-нибудь02:18:22
пофантазировать может у кого-нибудь есть02:18:24
идеи или вы похожий случай02:18:35
Ну окей да достаточно очевидно02:18:39
ссылки на его профильные на форме может02:18:41
быть ID какой-то02:18:43
Да может быть а что связано с социальной02:18:46
инженерией02:18:50
Ну кроме того что мы можем просить02:18:53
написать02:18:57
но вот кстати да интересная тема вообще02:19:00
я с километре не видел ни одного02:19:02
готового продукта который позволял02:19:05
скажем так историю сообщения из02:19:07
телеграма или каких-то форумов02:19:09
проанализировать определить какие-то02:19:11
характеристики стиля пользователя и02:19:15
попытаться поискать там в каком-то02:19:18
большом осколке другого текста02:19:21
поставит этого же человека может02:19:23
кто-нибудь знает02:19:27
Почему мы используем Ну да02:19:30
если там какая-то там башка друзей02:19:35
да да социальные связи Это тоже02:19:39
интересно есть кстати02:19:41
готовые гайды по восстановлению02:19:45
социального графа даже в контакте Где02:19:48
сейчас можно скрыть своих друзей через02:19:51
различных знакомых через там общие02:19:54
группы восстанавливается там02:19:56
полносвязанный Граф из него на основании02:19:59
ссылок на другие профили уже делается02:20:01
выводы о том э-э как может замазать с02:20:05
собой конкретный аккаунт в ВКонтакте на02:20:08
конкретный аккаунт скажем в Инстаграме02:20:09
просто на основании того как-то связано02:20:13
все эти аккаунты02:20:15
OK02:20:23
спасибо02:20:25
то чем мы еще не поговорили это утечки02:20:30
вас что очень часто бывает и Кроме того02:20:34
что мы можем попытаться найти базу02:20:39
самого этого форума может пытаться найти02:20:41
базы каких-то других02:20:43
форумов сайтов которые сейчас уже02:20:48
с миром но в которых мог встретиться02:20:51
юзернейм этого человека Ну и собственно02:20:55
Все наверное знают сайт02:20:58
на котором мы можем проверить какие-то02:21:01
предполагаемые комбинации02:21:04
из username и почтового домена чтобы02:21:08
попытаться вообще восстановить тот02:21:11
e-mail который нам нужно узнать на02:21:14
других сайтах Окей мы обговорили Ну и02:21:17
конкретно в этом случае была такая02:21:19
возможность в виде xss в поле телефона а02:21:24
давайте еще попробуем пофантазировать02:21:25
что нам это дает02:21:37
Ну да только не напрямую из базы форума02:21:40
и Допустим мы знаем что это человек к02:21:44
нам скорее всего не зайдет Ну02:21:47
грубо говоря даже если мы ему напишем Он02:21:50
подозревает что02:21:53
кто-то хочет узнать информацию поэтому02:21:56
не будет делать никаких действий даже02:21:58
если увидеть наши сообщения Какие ещё02:22:01
есть возможность02:22:07
клёво категорично02:22:09
сразу видно вот рука серьезного02:22:12
специалиста02:22:13
Окей02:22:15
конкретно в этом случае все пошло по02:22:19
касательно и Админа не затронула но02:22:21
админ Конечно все это в дальнейшем02:22:24
пропалил и пофиксил02:22:26
был написан скрипт собственно очевидно02:22:29
который был внедрен на страницу через X02:22:33
этот скрипт отправлял пользовательские02:22:36
данные того кого сработал СССР на02:22:39
сервер и он дописывал себя в поле02:22:44
телефон к тому пользователю которого он02:22:46
сработал02:22:48
понимаете да ну и собственно таким вот02:22:52
образом распространялась волна заражений02:22:54
по всему форуму и от одного02:22:58
максимально так скажем02:23:01
эпатажного пользователя который зашёл на02:23:03
форуме и написал интересное сообщение02:23:05
пошли02:23:07
э-э огромные Как сказать количество02:23:11
просмотров профилей и в дальнейшем все02:23:14
пользователи естественно же они02:23:16
открывают периодический профиль других02:23:19
около половины форума было заражено этой02:23:22
штукой и в конечном счете по-моему это02:23:25
было через день или через два и нужный02:23:28
нам пользователи тоже посмотрел чей-то02:23:30
профиль уже заражённого аккаунта и02:23:32
получил э ну и отправил нам личные02:23:36
данные02:23:37
понятно что не во всех форумах есть xss02:23:42
но вирусное распространение очень сильно02:23:46
ускоряет социальную инженерию если мы02:23:47
можем сделать это они все хотят админа02:23:50
то э-э можно попробовать Ну и конечно02:23:53
для того чтобы такие кейсы были02:23:56
реализованы нужно везение02:24:02
К сожалению это все02:24:05
Меня зовут саксой я вам буду02:24:08
рассказывать сегодня про боевой асинт но02:24:10
по правде говоря я просто буду02:24:12
рассказывать о том как использовать02:24:13
разные02:24:15
не очень тривиальные приемы для того02:24:18
чтобы вытащить эту информацию которая02:24:20
нам требуется02:24:22
немного про себя Я увлекаюсь поиском02:24:25
информации как хобби сами себе всю свою02:24:28
жизнь считал разработчиком но понял что02:24:31
сбор и анализ информации достаточно02:24:35
интересная тема которая и имеет большой02:24:39
простой для автоматизации и помогает в02:24:42
жизни и в работе в частности02:24:44
расследование какие были инцидентов и02:24:46
какие-то других02:24:48
областях немного про02:24:52
Если кто-то вдруг не сталкивался02:25:06
Давайте попробуем освещение выключить02:25:15
Если слабо можешь попробовать еще на02:25:18
проекторе наверное увеличить02:25:20
это разведывательная дисциплина сбор02:25:24
информации из открытых источников и по02:25:27
некоторым сведениям от ЦРУ там более 9002:25:31
процентов данных вообще приходит именно02:25:34
из открытых источников и Один из таких02:25:36
хрестоматийных примеров которые я люблю02:25:38
упоминать это схема электроснабжения02:25:41
советско-ядерной программы которая была02:25:43
составлена на основе снимка и журнала02:25:45
огонек аналитиком ЦРУ02:25:48
суть такова что нужно было за что-то02:25:52
зацепиться и этим чем-то стало схема02:25:57
диспетчерской в Свердловской области02:26:00
которая собственно02:26:02
позволяла сделать выводы о том какие02:26:04
есть вообще объекты за Уралом между02:26:07
собой не соотносятся где Какие мощности02:26:10
и так далее из этих данных уже нужно02:26:13
было сделать выводы о том какие есть02:26:16
атомные объекты какие есть линии02:26:20
электростанции и собственно аналитик это02:26:23
сделал естественно не в течение там02:26:25
одного-двух дней в течение нескольких02:26:28
лет для этого ему нужно было естественно02:26:31
верифицировать эти данные поэтому когда02:26:34
мы говорим про асинт мы говорим про то02:26:36
что мы находим какую-то базовую02:26:38
информацию и потом эта информация02:26:39
обогащается и дополняется потому что нам02:26:42
необходимо быть уверенными что02:26:44
информация из открытых источников02:26:46
достоверно02:26:48
я поделил доклад на несколько таких02:26:51
упражнений это какие-то сферические02:26:54
вакууме кейсы того что мы можем делать02:26:58
что он может понадобиться и собственно02:27:01
оставил еще некий простор для фантазии02:27:05
Давайте попробуем в формате рассуждения02:27:09
немножечко У нас есть код с токеном от02:27:13
Telegram Ну допустим мы обнаружили на02:27:16
нашем сервере некий манер который02:27:19
постоянно соединяется с телеграмом02:27:21
что-то туда отсылает мы смогли вытащить02:27:23
из него Токио нам нужно понять что это02:27:27
за02:27:28
что это за штука вообще что она делает02:27:31
Кто её владелец и частные случаи нам02:27:35
нужно собрать вот конкретную информацию02:27:37
о владелица пользователях Бота а то02:27:39
информацию которую Он передаёт У кого02:27:41
есть идеи Как мы можем это сделать02:27:45
звонить Павлу Здорово для получения02:27:47
названия Бота02:27:51
OK название Вот тебе даст информацию о02:27:54
владельце02:27:56
может и не дать Ну окей Ну считается02:27:59
клёво02:28:08
не спойлеры Сейчас я расскажу Ладно02:28:19
загвоздка в том что дефолтный Бота пи02:28:21
который представляет телеграмму он02:28:23
является упрощенным специально02:28:25
предназначенным для того чтобы02:28:26
разработчики могли быстро выкатить02:28:27
своего Бота который реагирует на02:28:29
сообщение пользователей что-то им02:28:31
отвечает это httpi в нём нет таких02:28:35
методов как получения диалогов получения02:28:38
подробной информации есть только что-то02:28:40
дефолтное типа узнать название а-а и02:28:44
соответственно если мы будем02:28:45
придерживаться э тех э02:28:48
средств которые нам доступны по02:28:50
умолчанию мы можем только предполагать02:28:53
какие у нас есть диалоги э у Бота с02:28:56
пользователями э Для этого нам нужно02:28:58
знать айтишники этих пользователей02:29:00
соответственно если мы будем перебирать02:29:01
эти аишники мы можем найти в какой-то02:29:03
момент диалог э который Действительно02:29:06
существует и в котором есть сообщения и02:29:08
дальше вытащить информацию02:29:11
Но02:29:12
другие возможности нам по умолчанию02:29:15
недоступны Дело в том что у телеграма02:29:18
есть MT prototy но собственно Это02:29:20
протокол который реализован Павлом02:29:24
братом Павла Дурова и он02:29:29
используется для клиентов Но с некоторых02:29:33
пор в неофициальных релизах библиотеки02:29:36
для работы с Telegram появились02:29:38
возможности для подключения ботов через02:29:41
этот API напрямую и соответственно у нас02:29:44
появляется много методов с помощью02:29:45
которых можно работать не только вообще02:29:49
с историей с диалогами но и со всей02:29:51
остальной информации которая есть в02:29:53
телеграме которая доступна ботам02:29:55
Соответственно что мы делаем мы пишем02:29:58
свой скрипт который02:30:00
просто проходит по списку всех диалогов02:30:04
вытаскивает всю информацию сливает все02:30:06
данные и сохраняет их Ну и собственно02:30:09
там есть ссылочка это02:30:12
просто02:30:14
какая-то реализация видео mvp которую я02:30:17
сделал чтобы продемонстрировать02:30:19
возможности Ну и небольшая схема чтобы02:30:23
было понятно02:30:25
теперь это то что предоставляется по02:30:29
умолчанию то что реализуется там02:30:31
простыми библиотеками типа телепот и02:30:34
когда вы подставляете туда токен он идет02:30:37
по факту не на сервер на котором02:30:39
работает внутренняя и телеграмма А на02:30:42
сервер на котором есть некая настройка02:30:44
она уже внутри решает За вас какие02:30:48
сообщения вам отдать02:30:49
как правило это те сообщения которые02:30:51
считываются там с того момента как вы02:30:55
прочитали все остальные последние То02:30:58
есть вы можете получать только02:30:59
обновления сообщений и вы не можете02:31:01
узнать02:31:03
какие пользователи с Ботом общались02:31:07
Ну и что мы делаем мы берем и02:31:09
подключаемся напрямую немного имитируя02:31:12
тот способ которым мы подключаемся как02:31:15
легитимные клиенты И еще есть несколько02:31:18
интересных фактов02:31:20
Все вы наверное знаете что в Telegram02:31:23
была добавлена возможность удалять02:31:25
сообщения у ваших собеседников Вот это02:31:28
не включено И в официальных клиентов02:31:30
сделать этого нельзя То есть если что-то02:31:32
попало к боту вы не сможете у него это02:31:34
удалить это останется у него хранится в02:31:37
диалогах и разработчиков всегда это02:31:38
сможет вытащить через02:31:45
ещё одна интересная фишка это то что02:31:48
http опил телеграма по умолчанию02:31:50
позволяет только одно подключение Если02:31:53
вы попробуете запустить два02:31:55
инструментами токеном то вы увидите что02:31:57
они конфликтуют02:31:58
MT proto API позволяет подключаться из02:32:01
нескольких мест одновременно собственно02:32:03
то что мы делаем с помощью клиентов02:32:05
мобильных доступных и так далее Поэтому02:32:07
если у вас в руках токен какого-то Бота02:32:11
А на том же гитхабе их в исходниках02:32:13
огромное количество то вы можете02:32:17
подключиться просматривать отправлять02:32:19
сообщения владелец Бота этого даже не02:32:22
заметит при том что он у него будет02:32:25
полнофункциональной работать02:32:27
Ну еще одна интересная штука это02:32:30
имитация команд Потому что часто код02:32:33
написан Так что он реагирует Просто на02:32:36
новое сообщение заданного шаблона текста02:32:38
в конкретном диалоге Поэтому если вы02:32:42
отправите Ну грубо говоря команду Старт02:32:45
в каком-то уже готовом диалоге из-под02:32:47
имени Бота то код Бота который запущен02:32:51
владельцем он на это отреагирует так как02:32:53
будто пользователь02:32:55
ввел так соответственно со всеми02:32:57
вытекающими Вы можете не только сдам02:33:00
пить всю историю уже02:33:02
существующую вы можете перебрать команды02:33:05
самого Бота и вытащить все то что вот02:33:09
еще не сообщила02:33:12
Ну собственно02:33:14
части рассказал часть на основе того что02:33:18
я сам нашел на гитхабе там допустим был02:33:21
личный Task Tracker и мало того что02:33:24
человек писал туда свои задачи там02:33:27
добавлял возможность так скажем02:33:30
подтверждение выполнения задач с помощью02:33:32
его контактов он расшаривал туда номера02:33:35
из своей телефонной книжки Кроме того он02:33:39
расстраивает геопозицию и собственно по02:33:42
одному токину который нашел себе в02:33:45
старом репозитории можно было вытащить02:33:47
по нему огромное количество информации02:33:50
и собственно совсем недавно у него у02:33:55
этого скрипта который написал качестве02:33:57
mvp02:33:58
появились активные пользователи которые02:34:01
занимаются тем что сливают информацию из02:34:05
ботов стилеров собственно там огромное02:34:08
количество архивов в которых находится02:34:11
чьи-то стащинные с десктопов текстовые02:34:15
файлы пароли и так далее02:34:18
вот собственно по поводу этой темы Я уже02:34:22
делал доклад на 107 495 если Кому02:34:26
интересно можете послушать чуть больше02:34:28
потому что у NT proto API для ботов02:34:31
гораздо больше возможностей и простор02:34:34
для фантазии02:34:37
двигаемся дальше это02:34:41
технически наверное вопрос тот который02:34:45
более подробно могут рассказать другие02:34:48
на этом слоте смысле В этом зале я02:34:52
расскажу только про практическую02:34:54
применимость У нас есть информация о том02:34:58
что некий человек сидящий с нами грубо02:35:01
говоря в одном зале02:35:02
пользуются02:35:05
телефоном номер которого нам не известен02:35:08
Ну грубо говоря Мы просто хотим не02:35:11
общаясь с этим человеком узнать номер02:35:13
телефона02:35:14
что мы можем предпринять для этого ваше02:35:17
предположение02:35:20
нет предположения02:35:24
как02:35:28
сети Окей сколько ты на это потратишь02:35:39
это безотносительный телеграмма02:35:50
просто просто рядом вот ты сидишь вот я02:35:54
хочу узнать твой номер телефона02:36:23
согласен02:36:25
я рассказываю про частный случай и02:36:34
дополнительная информация которая02:36:35
конкретизирует наш случай это то что02:36:37
этого человека iPhone не кастомная02:36:40
сборка Андроида а именно так да02:36:44
некоторое время назад появилась02:36:46
информация о ресёрче относительно того02:36:50
какими данными между собой обмениваются02:36:52
устройства Apple и Выяснилось что Они02:36:55
передают в 3 байта США от телефона почты02:37:00
Apple ID Соответственно что мы можем02:37:04
сделать Мы можем по этим трем байтам02:37:07
определить сколько возможных номеров02:37:10
которые естественно намного меньше чем02:37:12
всех возможных номеров российских02:37:14
операторов мы можем в дальнейшем пробить02:37:17
этот номер с помощью02:37:19
специальных услуг сотовых операторов Ну02:37:23
и дальше верифицировать его через02:37:24
мессенджеры и через другие возможные02:37:27
каналы так это примерно выглядит02:37:31
Будучи за02:37:35
скрипт от создателей этого ресёрча02:37:39
собственно это то что было в кафешке тут02:37:44
есть Айфоны airpods за которые кстати в02:37:48
сеть постоянно передают свой статус02:37:49
находится ли они внутри кейса вынуты ли02:37:51
они Айфоны сообщают о том на каком02:37:54
экране они находятся подключены ли они к02:37:58
Вайфаю ну и соответственно периодически02:38:00
эти устройства могут передавать три02:38:04
байта телефона Они передают02:38:05
специфических случаях конкретно при02:38:10
прошаривании пароля если я не ошибаюсь02:38:12
Ну в общем-то я посидел минут 1502:38:16
наверное в матке возникло трафик нашел02:38:20
Хеш от одного из телефонов02:38:24
проверил его по той базе которую опять02:38:26
же предлагают сгенерировать02:38:29
авторы research Ну и определилась около02:38:32
30 возможных номеров которые в02:38:34
дальнейшем уже можно было отсеять02:38:36
ручками02:38:38
Кроме того что у нас здесь возможно02:38:41
телефоны еще раз за свечу У нас тут02:38:45
почта Apple ID то есть то чем я говорил02:38:48
в начале мы можем не просто попытаться02:38:52
понять что это за телефон Мы можем в02:38:54
дальнейшем уже верифицировать и через02:38:56
какие-то дополнительные возможности там02:38:58
восстановление привязок телефона почте02:39:02
или что-нибудь связанное с Apple02:39:04
удостовериться что это именно тот02:39:06
человек который нам нужен это та02:39:08
информация которую мы искали02:39:13
еще один из02:39:15
интересных примеров которые недавно на02:39:20
самом деле Достаточно давно02:39:22
публиковался это то что в московском02:39:26
метро02:39:28
забыл кто у нас владелец этого вайфая02:39:33
Максима Телеком Именно они собирают в02:39:36
огромном количестве данные о02:39:38
пользователях собственно это та02:39:39
информация которую помогает Создать02:39:42
рекламный профиль и потом продавать02:39:43
разным компаниям ваши профили для того02:39:47
чтобы просто рекламировать какую-то02:39:48
ерунду Они передают в открытом виде02:39:52
огромное количество данных ну и02:39:54
собственно все что вам нужно чтобы02:39:57
узнать что-то о человеке сидящем02:39:59
напротив вагоне метро это собрать трафик02:40:03
вокруг естественно если он включен к02:40:04
wi-fi02:40:06
взять перебрать несколько Мак адресов и02:40:09
по этим mac-адресом мак-адресан дернуть02:40:13
страницы02:40:15
wi-fi.ru собственно того портала в02:40:18
котором вы подключаетесь в Московском02:40:19
wi-fi и из него Ну сейчас по моему уже02:40:23
закодированном виде можно было вытащить02:40:26
кучу флажков потом кто вы такой все02:40:29
сделано на основании тех вопросов02:40:32
допустим которые предлагаются на момент02:40:35
авторизации Кто проходил в опросники в02:40:37
wi-fi в метро02:40:40
Здорово02:40:42
Молодец дают02:40:45
Окей в общем действительно возможностей02:40:48
масса02:40:49
соединенного рецепта Нет я рассказал про02:40:52
один конкретный случай который02:40:54
более-менее сейчас актуален интересно02:40:58
а еще одна специфическая вещь02:41:00
допустим у нас есть некий человек Мы02:41:05
хотим получить по нему базовую02:41:07
информацию начиная с того где он хранит02:41:09
свой код какой-нибудь email мы знаем про02:41:12
него только то что он разработчик02:41:15
Допустим мы познакомились с какими-то02:41:18
разработчиками и хотим нанять его на02:41:20
проект и там нужно узнать про него02:41:22
информацию02:41:24
Как мы можем это сделать Давайте02:41:26
попробуем прогнозировать02:41:34
давай так данных Нет давай попытаемся02:41:37
это сделать социальные инженерии02:41:44
происходить02:41:55
Ну да я спрашиваю не для того чтобы вы02:41:59
угадали то что я буду рассказывать для02:42:00
того чтобы рассказали какие способы есть02:42:02
потому что я думаю всем интересно02:42:04
сидящим в зале послушать02:42:07
не все что ты знаешь02:42:12
Окей Ладно если никто не прочитал02:42:15
название Давайте попробуем сразу пройти02:42:19
к сути02:42:20
Мы можем с помощью социальной инженерки02:42:24
заставить человека подключиться к нашему02:42:27
серверу при подключении по умолчанию02:42:31
Саша клиент перебирает те ключи которые02:42:34
сейчас у него активированы в02:42:37
Агенте и который предаются02:42:40
серверу в том виде в котором они02:42:42
сохранены02:42:44
публичные ключи профилей02:42:47
хранятся публично и могут быть собраны02:42:51
без каких-то затруднений02:42:53
соответственно мы парсим github gitlab02:42:57
информация о том у кого мы их парсим эти02:43:00
Ключи уже есть потому что по каждому02:43:02
профилю Они открыты и через02:43:07
подключение к нашему серверу мы просто02:43:11
собираем те ключи которые есть у02:43:13
человека и в дальнейшем сопоставляем02:43:15
получаем информацию о том какими02:43:19
аккаунтами он пользуется02:43:22
собственно Все просто есть уже тестовый02:43:27
сервачок Достаточно давно которому можно02:43:30
подключиться и он покажет насколько02:43:33
плохо Вы02:43:34
настроили Саша конфиг потому что02:43:38
естественно это прописывать02:43:42
конкретные хаски с конкретными ключами02:43:44
но о чем часто люди забывают02:43:48
соответственно Вы можете посмотреть те02:43:51
ключи которые вы залили в личный профиль02:43:54
Если вы думали что они никому не02:43:57
доступны Вы можете просто поставить02:44:02
и увидеть все то что вы добавляли02:44:10
Окей не будем Наверное долго на этом02:44:14
останавливаться02:44:16
еще02:44:17
одна возможность которая часто очень02:44:22
дает дополнительную информацию вернее02:44:23
это02:44:25
те так скажем недосмотры которыми часто02:44:33
те вещи которые пренебрегают02:44:35
разработчики это использование разных02:44:38
имен или вообще это02:44:42
то о чем люди забывают во-первых есть02:44:46
дети автор И кометер это две разные02:44:50
сущности и они иногда не совпадают и02:44:54
практика показывает что в репозиториях02:44:57
которых часто отображается только один02:45:01
человек в качестве02:45:07
содержит также дополнительную информацию02:45:09
ту которую Человек забыл удалить из02:45:13
мятой и позволяет дальше зацепиться за02:45:16
email за имя и сопоставить его с02:45:19
какими-то другими данными Ну и02:45:21
собственно Иногда люди просто забывают02:45:22
поменять02:45:24
автора и02:45:28
новых02:45:32
опять немного вернемся к Telegram тут02:45:35
уже скорее вещи сторонние У нас есть02:45:40
аккаунт который недавно сменил имя и02:45:43
username А мы знаем что Telegram это у02:45:44
нас очень приватный мессенджер он не02:45:46
позволяет нам посмотреть историю но02:45:49
позволяет много всего другого мы уже02:45:51
Немного обсудили нам нужно собрать02:45:53
максимум информации о пользователе А02:45:55
желательно как бы всю информацию что она02:45:58
доступна мы имеем только его скажем02:46:02
зашел к нам в группу и мы видим его имя02:46:07
юзернейм который скорее всего установлен02:46:09
только сейчас но мы предполагаем что у02:46:12
этого аккаунта есть уже долгое истории02:46:13
использования02:46:14
Какие есть варианты02:46:20
есть предположение02:46:34
Окей02:46:37
снегу02:46:40
времени появились поисковики по истории02:46:45
сообщений Telegram Некоторые из них02:46:46
конечно позволяют искать02:46:49
но такие штуки типа searchin позволяет02:46:54
искать только по имени по тексту02:46:56
сообщений так что даже если у вас есть02:46:58
не факт что вы там найдете сообщение02:47:01
пользователя но тем не менее Если бы у02:47:04
вас были02:47:05
старое место02:47:07
буквы нашли все сообщения пользователя в02:47:11
открытых чатах вы смогли восстановить02:47:13
какую-то информацию дальнейшего не02:47:15
оттолкнуться02:47:16
поиск по ID который можно получить с02:47:19
помощью02:47:20
user-infobot это такая тема достаточно02:47:23
обширная где этот айди мог засветиться02:47:26
это нас приводит к02:47:30
групповым ботам которые добавляются02:47:32
больших количествах для того чтобы02:47:34
допустим считать кармочку или просто02:47:37
модерировать или делать другие вещи и02:47:40
они иногда этими сообщения02:47:43
но часто бывают и02:47:47
более серьезные возможности02:47:50
Один мой знакомый наткнулся на портал02:47:54
группового конкретно Это был такой02:47:59
одностраничник который позволял искать02:48:03
по имени пользователя определять то есть02:48:05
ты знаешь что ты стоишь нескольких02:48:07
группах ты хочешь посмотреть свою карму02:48:09
Но почему ты не хочешь делать это через02:48:11
Telegram через год ты можешь зайти на02:48:14
официальный сайт этого Бота и там стиль02:48:17
имя02:48:18
и если ты немножечко повозишься то ты02:48:23
поймешь что там есть espel инъекция02:48:25
соответственно Я думаю все понимают мы02:48:28
можем вытащить всю возможную информацию02:48:31
о том какие пользователи состояли в02:48:34
группах02:48:35
мы можем вытащить это во-первых просто с02:48:39
помощью02:48:40
дополнения в котором и была инфекция и02:48:43
мы можем в дальнейшем через инъекцию02:48:46
вытащить всю базу02:48:49
а собственно почему это произошло я не02:48:53
буду рассказывать схему схемы очевидна02:48:55
потому что разработчики любят сохранять02:48:58
все возможные данные которые попадают им02:49:01
в руки Ну вдруг они пригодятся нашим02:49:03
конкретном случае сохранялась еще02:49:04
история переименований Эта история у нас02:49:07
не была видна снаружи то есть мы могли02:49:10
по некому конкретному одному из имен02:49:14
пользователя даже не последнему02:49:15
попытаться получить эту информацию02:49:18
но если мы получали доступ к базе мы02:49:22
могли вытащить02:49:24
все имена которыми пользовался02:49:27
аккаунт в конкретном ID и соответственно02:49:30
дальше уже по ним сделать поиск через те02:49:33
инструменты которые было на предыдущем02:49:35
сайте свадеб в том числе это02:49:41
собственно Вывод что02:49:44
отслеживание ваших действий есть везде02:49:47
даже в telegram-ботах и Особенно в02:49:50
больших групповых чатах которых не02:49:52
только записываются все сообщения чтобы02:49:55
допустим определять вашу активность на02:49:59
основании этого делать вывод о02:50:01
жизнеспособности аудитории и собственно02:50:03
другие какие-то фичи относящиеся к02:50:06
маркетингу к02:50:09
вообще02:50:11
камень-менеджменту и про личные данные Я02:50:15
сказал и собственно очевидный вывод02:50:18
который подтверждается разными кейсами02:50:20
на практике что побочная02:50:22
функциональность особенно у02:50:24
telegram-ботов она как правило они02:50:27
проработана потому что через http02:50:29
написать вот просто А вот сделать02:50:32
нормально их защищённый э-э сайте02:50:34
который позволяет вытаскивать информацию02:50:36
из базы этого Бота это уже не такая02:50:39
тривиальная задача02:50:42
еще один кейс от одного знакомого это02:50:47
опять же сферический вакуумный случай02:50:50
когда у нас было минимум информации по02:50:52
человеку у нас был аккаунт на форуме02:50:56
в классическом форуме и данные этого02:51:00
аккаунта были скрыты от остальных то02:51:01
есть мы знаем есть некие username мы02:51:04
знаем что у него в профиле записаны02:51:06
какие-то данные типа телефонов почтового02:51:08
ящика они видны только ему потому что02:51:11
выставлены такие настройки приватности02:51:12
нам нужно найти email нам нужно найти02:51:15
все остальные данные аккаунта02:51:17
Ну давайте еще что-нибудь02:51:20
пофантазировать может у кого-нибудь есть02:51:22
идеи или вы похожий случай02:51:32
Ну окей да достаточно очевидно02:51:36
ссылки на его профильные наборы может02:51:39
быть ID какой-то02:51:41
Да может быть а что не связано с02:51:44
социальной инженерией02:51:48
Ну кроме того что мы можем просить02:51:51
написать02:51:54
но вот кстати да интересная тема вообще02:51:58
я постилометрия не видел ни одного02:52:00
готового продукта который позволял02:52:03
скажем ведь историю сообщения из02:52:05
телеграма или каких-то форумов02:52:06
проанализировать определить какие-то02:52:09
характеристики стиля пользователя и02:52:12
попытаться поискать там в каком-то02:52:16
большому скупе другого текста02:52:19
поставит этого человека может кто-нибудь02:52:22
знает02:52:24
мы используем и тогда02:52:28
если там какая-то там башка друзей02:52:33
да да социальные связи Это тоже02:52:36
интересно есть кстати02:52:39
готовые гайды по восстановлению02:52:43
социального графа даже в контакте Где02:52:46
сейчас можно скрыть своих друзей через02:52:49
различных знакомых через там общие02:52:52
группы восстанавливается там02:52:54
полносвязанный Граф из него на основании02:52:57
ссылок на другие профили уже делаются02:52:59
выводы о том э-э как может замазаться02:53:03
вот конкретный аккаунт в ВКонтакте на02:53:06
конкретный аккаунт скажем в Инстаграме02:53:07
просто на основании того как связаны все02:53:11
эти акты02:53:12
минут OK02:53:21
спасибо02:53:23
то чем мы еще не поговорили это утечки02:53:27
вас что очень часто бывает и Кроме того02:53:32
что мы можем попытаться найти базу02:53:37
самого этого форума может пытаться найти02:53:39
базы каких-то других02:53:41
форумов сайтов которые сейчас уже02:53:46
с миром но в которых мог встретиться02:53:49
юзернейм этого человека Ну и собственно02:53:52
Все наверное знают сайт02:53:55
на котором мы можем проверить какие-то02:53:59
предполагаемые комбинации02:54:02
из username и почтового домена чтобы02:54:06
попытаться вообще восстановить тот02:54:08
e-mail который нам нужно узнать на02:54:12
других сайтах Окей мы обговорили Ну и02:54:15
конкретно в этом случае была такая02:54:17
возможность в виде xss в поле телефона02:54:21
Давайте еще попробуем пофантазировать02:54:23
что нам это дает02:54:28
человек02:54:35
Ну да только не напрямую из базы форума02:54:38
и Допустим мы знаем что этот человек к02:54:41
нам скорее всего не зайдет Ну02:54:44
грубо говоря даже если мы ему напишем Он02:54:48
подозревает что02:54:50
кто-то хочет узнать информацию поэтому02:54:54
не будет делать никаких действий даже02:54:56
если увидеть наше сообщение Какие ещё02:54:58
есть возможность02:55:05
клёво категорично02:55:07
сразу видно вот рука серьезного02:55:10
специалиста02:55:11
Окей02:55:13
конкретно в этом случае все пошло по02:55:16
касательно и Админа не затронула но02:55:19
админ Конечно все это в дальнейшем02:55:22
пропалил и пофиксил02:55:24
был написан скрипт собственно очевидно02:55:27
который был внедрен на страницу через02:55:30
Excess to этот скрипт отправлял02:55:32
пользовательские данные того кого02:55:34
сработал Excess это на02:55:36
сервер и он дописывал себя в поле02:55:42
телефон к тому пользователю которого он02:55:44
сработал02:55:46
понимаете да ну и собственно таким вот02:55:50
образом распространялась волна заражений02:55:52
по всему форуму и от одного02:55:56
максимально так скажем02:55:59
эпатажного пользователя который зашел на02:56:01
форуме и написал интересное сообщение02:56:03
пошли02:56:06
огромные Как сказать количество02:56:09
просмотров профилей и в дальнейшем все02:56:12
пользователи естественно же они02:56:14
открывают периодически профили других02:56:16
около половины форума было заражено этой02:56:20
штукой и в конечном счете по-моему это02:56:23
было через день или через два и нужный02:56:26
нам пользователи тоже просмотрел чей-то02:56:28
профиль уже зараженного аккаунта и02:56:30
получил Ну xss отправил нам личные02:56:34
данные02:56:35
понятно что не во всех форумах есть xss02:56:40
но вирусное распространение очень сильно02:56:43
ускоряет социальную инженерию если мы02:56:45
можем сделать это они админа то можно02:56:49
попробовать Ну и конечно для того чтобы02:56:52
такие кейсы были реализованы нужно02:56:54
везение02:56:59
К сожалению это все Если вам понравилось02:57:02
это видео ставьте лайки и пишите02:57:04
комментарии Всем пока02:57:06
[музыка]Описание:
OSINT (англ. Open source intelligence) или разведка на основе открытых источников включает в себя поиск, сбор и анализ информации, полученной из общедоступных источников. Ключевой целью является поиск информации, которая представляет ценность для злоумышленника либо конкурента. Сбор информации во многом является ключевым элементом проведения пентеста. От того, насколько качественно он был осуществлён, может зависеть, как эффективность пентеста в целом, так и эффективность отработки отдельных векторов атаки (социальная инженерия, брутфорс, атака на Web-приложения и пр.). В разрезе кибербезопасности/пентеста OSINT чаще всего применяется для сбора публичных данных о компании, и это касается не только информации о email-адресах ее сотрудников. Не менее интересной будет информация о: DNS-именах и IP-адресах; доменах и субдоменах, зарегистрированных за компанией; фактах компрометации почтовых адресов; открытых портах и сервисах на них; публичных эксплойтах для найденных сервисов; конфиденциальных документах; имеющихся механизмах безопасности и т.д. Сегодня посмотрим с помощью каких инструментов и какую информацию можно найти в открытых источниках на примере нашей компании. Видео носит информационный характер. Не нарушайте законодательство. Телеграмм канал: https://t.me/Hacking_School666 Донат Visa: 4890 4947 6096 6986 Ethereum (ERC20): 0x95c2c0a2de94840543d5f6ec69cdba9ff6f34692 Bitcoin(BTC): 3Bxr8E73NjWnQTv2Hoxm49gitNgCYZkfUR Dogecoin(DOGE): DQMvdBLNF6HptH5kRok66KQcePvYS4eQrp Cardano (ADA): DdzFFzCqrht9NC4q3LGk2GoY2LTSo6ipoPaxj8G43mcCacKwbtNeJNuVEwMHsTAvw7pLyA1zAv6AwYEFfsxzEmKzvocRSsVRAVSFQVyr
Готовим варианты загрузки
* — Если видео проигрывается в новой вкладке, перейдите в неё, а затем кликните по видео правой кнопкой мыши и выберите пункт "Сохранить видео как..."
** — Ссылка предназначенная для онлайн воспроизведения в специализированных плеерах
Вопросы о скачивании видео
Как можно скачать видео "Боевой OSINT — разведка и сбор информации"?
Сайт http://unidownloader.com/ — лучший способ скачать видео или отдельно аудиодорожку, если хочется обойтись без установки программ и расширений. Расширение UDL Helper — удобная кнопка, которая органично встраивается на сайты YouTube, Instagram и OK.ru для быстрого скачивания контента.
Программа UDL Client (для Windows) — самое мощное решение, поддерживающее более 900 сайтов, социальных сетей и видеохостингов, а также любое качество видео, которое доступно в источнике.
UDL Lite — представляет собой удобный доступ к сайту с мобильного устройства. С его помощью вы можете легко скачивать видео прямо на смартфон.
Какой формат видео "Боевой OSINT — разведка и сбор информации" выбрать?
Наилучшее качество имеют форматы FullHD (1080p), 2K (1440p), 4K (2160p) и 8K (4320p). Чем больше разрешение вашего экрана, тем выше должно быть качество видео. Однако следует учесть и другие факторы: скорость скачивания, количество свободного места, а также производительность устройства при воспроизведении.
Почему компьютер зависает при загрузке видео "Боевой OSINT — разведка и сбор информации"?
Полностью зависать браузер/компьютер не должен! Если это произошло, просьба сообщить об этом, указав ссылку на видео. Иногда видео нельзя скачать напрямую в подходящем формате, поэтому мы добавили возможность конвертации файла в нужный формат. В отдельных случаях этот процесс может активно использовать ресурсы компьютера.
Как скачать видео "Боевой OSINT — разведка и сбор информации" на телефон?
Вы можете скачать видео на свой смартфон с помощью сайта или pwa-приложения UDL Lite. Также есть возможность отправить ссылку на скачивание через QR-код с помощью расширения UDL Helper.
Как скачать аудиодорожку (музыку) в MP3 "Боевой OSINT — разведка и сбор информации"?
Самый удобный способ — воспользоваться программой UDL Client, которая поддерживает конвертацию видео в формат MP3. В некоторых случаях MP3 можно скачать и через расширение UDL Helper.
Как сохранить кадр из видео "Боевой OSINT — разведка и сбор информации"?
Эта функция доступна в расширении UDL Helper. Убедитесь, что в настройках отмечен пункт «Отображать кнопку сохранения скриншота из видео». В правом нижнем углу плеера левее иконки «Настройки» должна появиться иконка камеры, по нажатию на которую текущий кадр из видео будет сохранён на ваш компьютер в формате JPEG.
Сколько это всё стоит?
Нисколько. Наши сервисы абсолютно бесплатны для всех пользователей. Здесь нет PRO подписок, нет ограничений на количество или максимальную длину скачиваемого видео.