pro100chel
@pro100chel
Python && PHP Developer

Каким образом взламывают страницы ВК на заказ?

На одном известном форуме нашел тему от известного человека, которая прошла проверку админов.
Ломают странички на заказ. Стоимость взлома - 3000 рублей. Не ломают крупные страницы.

Хотелось бы понять каким образом они это делают?

Вариантов у меня не много.

1. Брутфорс (сейчас уже думаю не актуально)
2. Фишинг и прочая социальная инженерия (думаю мало кто ведется сейчас)
3. Крупная сеть ратов/стиллеров/ботнетов и поиск нужной страницы по базе
4. Свои люди в сотрудниках соц.сети. Например, человек, который может по быстрому за 5 минут стырить с кэшей или базы токен сессии.

Более вероятен 4 вариант, т.к. пункт
Не ломают крупные страницы.
как раз хорошо сюда вписывается. Т.к. после этого пойдет жесткий кипиш и достанется всем.

Я понимаю, что люди за деньги могут и не такое пойти, особенно если у них такая удобная работа в соц.сети с доступами нужными. Но все-таки не совсем понимаю как это все не контролируется и не прикрывается. Значит есть целая группа людей в соц.сети, которая крышуется кем-то более высшим по должности.
  • Вопрос задан
  • 211 просмотров
Пригласить эксперта
Ответы на вопрос 4
@Vindicar
> 2. Фишинг и прочая социальная инженерия (думаю мало кто ведется сейчас)
Я подозреваю, что люди куда глупее. Например, слышал про такой финт ушами: выясняем почту (если на сайте привязана почта), идём на страницу почтового сервиса (90% майлру или другой крупный), просим восстановить пароль, а там секретный вопрос типа "девичья фамилия матери" или "кличка питомца", ответ на который можно либо пробрутить по словарю, либо найти в профиле жертвы. Если ответ угадывается/узнаётся, то угоняется сначала ящик, потом страница.

Что касается двухфакторки по телефону, то тут могут "помочь" связи в опсосах. В новостях были примеры, когда у людей "внезапно" отключались СМС на пару часов (потом в детализации видно), и в это время через восстановление пароля угонялась страница. Историй с появлением клона сим-карты где-нибудь во Владивостоке (ибо часовые пояса, лучше чтобы жертва спала и не сразу спохватилась) тоже гуглится достаточно.
Ответ написан
CityCat4
@CityCat4 Куратор тега Информационная безопасность
Если я чешу в затылке - не беда!
1. Брутфорс (сейчас уже думаю не актуально)

Админы тоже не дураки, да и двухфакторка это существенно осложняет
2. Фишинг и прочая социальная инженерия (думаю мало кто ведется сейчас)

Дох... кто ведется. Как только у нас девочка с ресепшн в отпуск и на ее место кого-то сажают - приходится инструктаж проводить на тему "ни в коем случае не переходить по ссылкам и не открывать вложения", поскольку на info@ падают зиллионы всякой пакости. Взлом может быть направленным - одно дело, когда ты получишь письмо от мистера Заремба Зарамба из Нигерии, а другое - когда от друга детства Васи.
Опять же совершенно справедливо замечено про почту - если у чела почта на крупном агрегаторе, сначала пытаемся угнать почту, подбирая ответы на контрольный вопрос (хотел бы я посмотреть на того, кто подберет ответ на мой :D ).
3. Крупная сеть ратов/стиллеров/ботнетов и поиск нужной страницы по базе

Открытая инфа со страницы интересна только если она вообще от поиска закрыта - чтобы хоть что-то получить
4. Свои люди в сотрудниках соц.сети.

Можно совершенно внезапно получить быстро и больно даже при взломе самой заурядной страницы. Почему - а вот почему. Хотя конечно же такой вариант нельзя исключать.

Ну и конечно же , совсем не исключено, что это тема - honeypot :) Такой же как заявка на установку винды мастеру "по обьявлениям"
Ответ написан
saboteur_kiev
@saboteur_kiev
software engineer
Да банально кто-то из поддержки ВК может такое делать.
Потому крупные страницы и не взламывают, чтобы не спалиться на работе.

Но все-таки не совсем понимаю как это все не контролируется и не прикрывается. З

Ну вот пожалуйся пару раз на взломы, проведут расследование, может кого-то и уволят. А может они сами имеют долю с этого, и придется жаловаться погромче.
Ответ написан
Protos
@Protos
Начинаю изучать мир, пока это все.
Конечно фишинг или социальная инженерия, втираются общением в доверие и потом выманивают пароль, коды, куки, просят скайп установить и дать экраном поуправлять, шантажируют выманенными данными и т.п.
Есть еще вариант подсунуть приложение и получить доступ к данным вполне легально если они конечно владельцы этого приложения, почитайте статейку на тему: https://m.habr.com/ru/post/357474/

У нас 15 % корпоративных работников которых мы мучаем учебным простейшим фишингом сливают пароли либо запускают вложение, так что простые мамочки уж тем более поведутся, ведутся же на звонки из службы безопасности банка, почитайте отчеты ФинЦерт Банка России (там про доступ в ДБО, не в какие-то там социалочки), и тут ведутся на что-то. А раз работают на заказ, то это https://ru.m.wikipedia.org/wiki/APT , а значит не фишинг, а spear phishing на тему которая применима к жертве на основе постов в соцсети и иной информации по предоставленным контактам, ну и не социалка а целевая социалка
Ответ написан
Ваш ответ на вопрос

Войдите, чтобы написать ответ

Войти через центр авторизации
Похожие вопросы