Ломаем клиент-банк

В клиент-банках используется криптография buggzy

🕛 25.03.2008, 12:55

В клиент-банках используется криптография, "сломать" которую нереально, поэтому придется получать доступ к компьютеру, на котором он установлен. Совсем не обязательно иметь постоянный контроль над машиной, нас интересуют настройки клиент-банка, пароли, вводимые с клавиатуры, и секретный ключ.
Ключ обычно хранится на дискете, многие вполне уважаемые мною программисты считают, что это хорошая защита. Ну а мы не будем их слушать, и напишем троянца, который кроме отправки по почте конфигурации клиент-банка еще и дожидается обращения к дискете (можно взять на www.sysinternals.com исходники filemon и немножко их доработать).
Удобная конфигурация жертвы: Win9x + dialup + email. В такой ситуации с почтой работают на том же компьютере, на котором установлен клиент-банк. Послав письмо, содержащее нечто среднее между внедренным фреймом, звуковым файлом и exe-аттачем, мы вызовем автоматическое выполнение этого аттача при чтении письма. Обратите внимание, открытии письма, а не аттача, аттача собственно не будет видно.
Вот как может выглядеть заголовок письма, автоматически выполняющего аттач при чтении письма:

From: "coolhatsker"
Subject: mail
Date: Thu, 2 Nov 2000 13:27:33 +0100
MIME-Version: 1.0
Content-Type: multipart/related;
type="multipart/alternative";
boundary="1"
X-Priority: 3
X-MSMail-Priority: Normal
X-Unsent: 1

-1
Content-Type: multipart/alternative;
boundary="2"

-2
Content-Type: text/html;
charset="koi8-r"
Content-Transfer-Encoding: quoted-printable

test

-2-
-1
Content-Type: audio/x-wav;
name="hello.exe"
Content-Transfer-Encoding: base64
Content-ID:

Далее должен идти сам аттач в кодировке base64. Можно написать программу для кодирования, а можно воспользоваться тем же Outlook - создать письмо с аттачем, сохранить его как файл и вырезать нужную часть.
Непропатченный Outlook Express (или Internet Explorer, если письмо сохранить как .eml-файл), читая письмо, щ5видит строчку iframe src, и захочет открыть этот якобы фрейм. Далее будет воспринята строчка Content-type=audio/x-wav, и он посчитает, что перед ним - звуковой файл, который надо без лишних вопросов включить на воспроизведение. Далее строчка name="hello.exe" скажет бедной глючной проге, что перед ним exe-файл, который надо запустить на выполнение, что и произойдет...
Есть основания предплагать, что эта ошибка будет актуально еще долгое время: обычно системные администраторы ограничиваются безопасностью сервера, а о рабочих станциях никто особо не печется.
Аттач должен иметь минимальную длину, чтобы не вызывать подозрений, если не удается уложиться в 30 кб, лучше организовать докачку необходимого. То же самое касается отправки данных о конфигурации: лучше всего отправлять мелкими порциями, и следить за загрузкой канала. Лучше всего снимать "зеркало" конфигурации, и дальше отправлять уже его - чтобы не возникало проблем с блокировкой доступа и изменением конфигурации за время отправления.
Далее - самое главное: после установки себе копии клиент-банка, способной осуществлять платежи от имени жертвы, надо обеспечить собственную безопасность. IP-адрес, с которого был совершен перевод, будет вычислен, далее будет определен провайдер и логин, с которого было подключение. Многие провайдеры обеспечивают такую услугу, как "карточки временного доступа в интернет", т.е. логин на фиксированное время. При покупке такой карточки можно остаться анонимным.

Важно знать, что после перевода жертве придет подтверждение о переводе, и жертва сможет отменить его. Чтобы такого не случилось, нельзя допустить прихода подтверждения, например, можно написать эмулятор клиент-банка, который имитирует его работу, но не совершает реальных операций. Это на некоторое время (на 1-2 суток) введет жертву в заблуждение, и срок отмены перевода успеет закончится. Далее систему можно привести в обычное состояние, и создастся впечатление, что человек совершил перевод по ошибке.

P.S. Счастливо отдохнуть на Канарах (или на нарах, в зависимости от качества исполнения).