Το προφίλ μας στο Google Plus
0

Πώς να μην πιαστείτε στον …ξύπνιο!

Τελικά, φαίνεται ότι οι απάτες phishing είναι αρκετά αποτελεσματικές. Μόνον έτσι μπορεί να εξηγηθεί το γεγονός ότι πυκνώνουν. Από τη στιγμή που μας ενδιαφέρουν τα θέματα ασφάλειας, αυτό σημαίνει ότι οφείλουμε να γνωρίζουμε για το πώς στήνονται. Τουλάχιστον έτσι νομίζουμε εμείς — και κάτι μας λέει ότι θα συμφωνήσετε μαζί μας.

deltaHacker 018 (τεύχος Μαρτίου 2013) | Πώς να μην πιαστείτε στον ...ξύπνιο!

Phishing is the act of attempting to acquire information such as usernames, passwords and credit card details (and sometimes, indirectly, money) by masquerading as a trustworthy entity in an electronic communication.

Νομίζουμε ότι ο παραπάνω ορισμός από την Wikipedia τα λέει όλα: Το phishing αποτελεί ξεκάθαρα μια παράνομη πράξη κι όποιος επιδίδεται σε αυτήν δεν διαφέρει σε τίποτε από τον κλέφτη του κοινού ποινικού δικαίου. Μολαταύτα, στο παρόν άρθρο θα δείξουμε πώς επιτυγχάνεται το phishing! Πριν αρχίσετε τις (δικαιολογημένες) ενστάσεις, πρέπει να σας πούμε το εξής: Ο καλύτερος τρόπος για να προστατευτεί κανείς από επιθέσεις είναι να μάθει πώς ακριβώς σκέφτεται και λειτουργεί ο επιτιθέμενος. Τότε και μόνο τότε μπορεί να είναι κανείς ενημερωμένος και υποψιασμένος, ώστε να αντιλαμβάνεται πότε μια κατάσταση είναι, χμ, περίεργη. Ο στόχος μας δηλαδή δεν είναι να εκπαιδεύσουμε εγκληματίες, αλλά να οξύνουμε τα αντανακλαστικά όλων όσοι ενδιαφέρονται για την ασφάλεια στο Διαδίκτυο.

Το phishing φοριέται πολύ τον τελευταίο καιρό και δυστυχώς έχει χιλιάδες θύματα. Ο στόχος των επιτιθέμενων είναι πολύ συχνά ο ίδιος: Να κλέψουν από το εκάστοτε θύμα τα credentials (username και password) από διάφορες υπηρεσίες (κατά προτίμηση web banking). Η μέθοδος των απατεώνων είναι απλή: Κατασκευάζουν ένα site *πανομοιότυπο* με εκείνο που επισκέπτεται συχνά (κι άρα εμπιστεύεται) το θύμα. Επιπρόσθετα, οι απατεώνες φροντίζουν να τοποθετήσουν το ψεύτικο site σε domain το οποίο μοιάζει με εκείνο του αυθεντικού site. Στη συνέχεια στέλνουν ένα email, το οποίο περιέχει link προς το site-παγίδα και ζητούν από το θύμα να συνδεθεί. Οι ανυποψίαστοι χρήστες που θα ακολουθήσουν το link, θα δουν ένα γνώριμο site κι εκεί είναι, πράγματι, πιθανό να εισαγάγουν τα στοιχεία τους. Μόλις γίνει αυτό, το site θα προωθήσει τα credentials του θύματος στον απατεώνα και στη συνέχεια θα κάνει redirect προς το αυθεντικό site. Έτσι, αν το ανυποψίαστο θύμα επιχειρήσει να συνδεθεί ξανά (θεωρώντας ότι έκανε κάποιο λάθος την πρώτη φορά) θα συνδεθεί κανονικά. Εδώ υπάρχει μια ενδιαφέρουσα λεπτομέρεια: Οι εξελιγμένες επιθέσεις του είδους βασίζονται σε “έξυπνα” sites, τα οποία αξιοποιούν τα στοιχεία του θύματος και κάνουν αυτόματα login στο πραγματικό site. Σε αυτές τις περιπτώσεις, το θύμα συνδέεται στην εκάστοτε υπηρεσία κανονικά και είναι πολύ δύσκολο να αντιληφθεί την απάτη.

Όπως υποψιάζεστε, εμείς θα υλοποιήσουμε μια άκρως εξελιγμένη επίθεση. Στόχο μας θα αποτελέσει ένα ελληνικό forum για την ασφάλεια, το p0wnbox.com, στο οποίο ένας από τους διαχειριστές ονομάζεται Thiseas…

Διαβάστε ολόκληρο το άρθρο στο deltaHacker 018 (τεύχος Μαρτίου 2013).

Όλες τις πληροφορίες για τις συνδρομές στο deltaHacker, το μοναδικό μηνιαίο περιοδικό με θεματολογία ethical hacking, δίκτυα, ασφάλεια, προγραμματισμό και ηλεκτρονικά, θα τις βρείτε εδώ ακριβώς.

Το περιοδικό deltaHacker δεν κυκλοφορεί στα περίπτερα, στους αναγνώστες του αποστέλλεται ταχυδρομικώς και οι παραγγελίες γίνονται αποκλειστικά online, συμπληρώνοντας τη σχετική φόρμα.

Σημείωση: Οι συνδρομές μπορούν να ξεκινούν από όποιο τεύχος επιθυμείτε, αρκεί να υπάρχει σε stock.

Leave a Reply

You must be logged in to post a comment.

Σύνδεση

Αρχείο δημοσιεύσεων