==< The first German SOCIAL ENGINEERING Book >== erste Auflage, 2003, (C) by Codist =< Aufbau >= 1 => Einleitung 2 => Allg. Hinweise 3 => VL-SH 4 => RL-SH 5 => SH-Schutz 6 => Beispiele 7 => Ausleitung =< Einleitung >= Social Engineering, auch Social Hacking genannt, ist eine kaum beachtete Hacking-Methode, die aber oft gezeigt und noch viel öfters angewandt wurde. Wenn dir jemand sagt, dass das alles nur Müll ist, den keiner braucht und der keinerlei Infos bringt, hat dieser jemand wirklich kaum Ahnung, denn viele wichtige Hacker, unter anderem auch der berühmte Kevin Midnick (search@google), haben diese Methode angewandt, um schnell an wichtige Informa- tionen für seine Ziele zu kommen. Ein weiteres berühmtes Beispiel, was den Erfolg dieser Technik gut zeigt, ist der Film "Hacker", wo der öhm kA wie er heißt beim TV-Sender anruft um an die Modem-Nummer oder sonst was zu kommen. Also bitte, Jungs (und hoffentlich auch Mädels) lasst die Social Hacker ihre Arbeit machen, und seht wie schnell diese an ihre Infos kommen! Ich hoffe, dass ich hier mit diesem mehr oder minder kleinen Tut einen kleinen Einblick in die vielen Möglichkeiten des Social Hacking (ab jetzt SH genannt) zu geben kann. Und noch eins: SH ist teilweise illegal, bzw. die Folgen. Dieses Tutorial ist nur ein Hinweis für Admins oder auch nur für Privatpersonen, die wissen wollen, worauf man achten muss. Also, macht es nicht was hier steht sondern lest es nur und schützt euch! Nu, viel Spass, Codist =< Allgemeine Hinweise => Das wichtigste für dich, ist INFOS SAMMELN. Das ist das wichtigste bevor du irgendeinen Angriff beginnen solltest, sprich dein Opfer anrufst etc.. Egal was für eine Methode du wählst, beobachte dein Opfer genau, damit du wirklich genau weißt mit wem du es zu tun hast. Wenn du Firmen, Büros, oder sonst eine Institution SHn willst, dann besorg dir Infos über Chefs, Mitarbeiter, Sekretärinnen, alle Namen, Nummern, alles einfach was du vielleicht gebrauchen könntest! Sonst geht bestimmt was schief und jemand schöpft verdacht, und was danach so alles passieren könnte, na ja, musst du entscheiden... Nachdem du nun deine Infos hast, und dir sicher bist, dass du alles wirklich mitbekommen hast, alles auf einem Zettel übersichtlich zusammengefasst, dann kannst du daran gehen dein Opfer auszuhorchen, bzw. zu befragen. Das ist dann wohl das Spannenste, vor allem wenn du das ganze echt machst, dass du deinem Opfer wirklich gegenüber stehst, aber dazu später. Und mein Freund, lass dir gesagt sein: ==> Pass auf dich auf und pass auf was du machst, übertreibe es nie! =< Virtual Live SH >= => eMail => Website-Fake => Chatten => Homepage => weitere Methoden => eMail eine der billigsten und einfachsten, daher auch eine der schnellsten Methoden, Infos, bzw. Passwörter jemandem zu entlocken, ist einfach ihm eine eMail zu schreiben, in der er aufgefordert wird seine Zugangsdaten etc. zu schreiben. Allerdings weckt irgendeine Mail-Adresse von GMX nicht wirklich so vertrauenserweckend wie eine von z.B. service@t-online.de, oder? Also benutz einen Fake-Mailer (search@google) und schreibe deinem Opfer eine Mail, allerdings, muss dein Opfer dir ja auch antworten können, nicht wahr, denn wenn er antwortet, dann bekommt ja der Service von t-online eine Mail, was ja dann schlecht für (dein) Geschäft ist. also richte noch eine Reply-To-Adresse ein, also deine (aber bitte nicht deine normale sondern eine extra dafür registrierte) und lass dir deine Post direkt ins Haus kommen, inkl. Passwort und allem was du haben wolltest, solange du vertrauenswürdig erscheinst, also arbeite deine Mails ordentlich durch, so wie du alles planen musst, gell? :) => Eine Beispiel-Mail findest du unten, wo du alle ausgearbeiteten Beispiele findest. => Website-Fake eine viel bessere und elegantere Art an deine so dringend benötigten Infos zu kommen ist, indem du eine Site, die dein Opfer schon mal besucht (z.B. die der Bank), fakst. Das heißt du speicherst am besten die Startseite komplett, und bastelst dir daraus eine schöne Site, auf der dein Opfer einfach nur noch die Daten auszufüllen braucht und schon kommt alles ins Haus geflattert. Die Vorteile liegen klar auf der Hand, denn 1. vertrauenswürdiger 2. für mehrere Personen 3. proffesioneller ;) Dann lädst du einfach deine fertig gestaltete User-Eingabe-Page auf den extra dafür eingerichteten (werbefreien) Webspace hoch, testest das ganze ein bisschen, meldest dich mit einer guten Adresse bei nic.de.vu an und schon tappen dir nacheinander alle Leute in die Falle... => Einen Bsp HTML-Code findest du unten! => Chatten "oh-oh" ertönt das schreckliche kreischen von ICQ, wenn du dein Opfer mal ansprichst (mit ner neuen Nummer) um "es" auf diesen Wege besser kennenzu lernen, seine Hobbies, seine Vorlieben, seine Freunde (-in) usw... Aber pass auf dass du das ganze nicht all zu auffällig machst, und vor allem pass auf dass du keine freundschaftliche Beziehung zu deinem Opfer aufbaust, das wäre noch viel schlechter für dich und dein Projekt... Noch viel besser als ICQ sind natürlich Chaträume, IRC oder so etwas, so kannst du Daten über dein(e) Opfer sammeln ohne das dieser irgendwas davon mitbekommt. Gibt es beim chatten doch noch Vorteile... :) => Homepage Heute hat jeder noch so dumme DAU (jaha eine Wdh danke) eine eigene Homepage, welche danke Beepworld und co. das I-Net noch und immer weiter verschandeln, verdammt. Aber egal wie schlecht und arm diese Sites doch sind, einem SH öffnen diese Sites oft viele Türen, zu Hobbies, zu Freunden, zu Vorlieben, Interessen, Chaträumen, oft auch zur Handy-Nummer, manchmal sogar Adresse, Schule, Fotos, alles einfach, die Leute sind wirklich krass was man der ganzen Welt zugänglich macht, aber wie gesagt, ein echter SH reibt sich da die Fingerspitzen ;) => Weitere Methoden 1. Trojaner und Keylogger: Es gibt immer WWW bereits so viele Tuts über diese Themen, aber diese hinterlistigen Tiere können deine ganze "Mission" auch gefährden, dich aber auch schneller an dein Ziel bringen, du musst entscheiden wie sich dein Opfer mit Computern und der Materie Sicherheit auskennt. Sei also vorsichtig... 2. Eine Methode die ich dir auch noch unter RL vorstellen werde, ist dass du dich mit Chatpartnern von deinem Opfer auseinandersetzt und diese diskret über dieses (=Opfer) ausfragst... Siehe Chatten. 3. Google das Opfer mal, auch wenn es kaum Infos geben wird, es dauert ja nicht lange und manchmal kannst du echt interessante Dinge herausfinden... Kannst nicht nur Google nehmen, such unter berühmten Boards, /whois im IRC mal, geh auf berühmte Chat-Sites und such da, nutze die Mitglieder-Suche von Freemail-Anbietern, einfach alles was dir in die Quere kommt, alle Infos können dir helfen, egal wie unwichtig sie am Anfang erscheinen. =< Real Life SH >= => Postwege => Anrufen => Wühlen => Weitere Methoden => Postwege auf dem Postweg ist eine halb gute Idee, es gibt drei Varianten, die billigste, die billige und die teurere, dafür kannst du die teurere öfters verwenden brauchst aber bissl kriminelle Energie (*hehe*) ... 1. Du schreibst deinem Opfer einen Brief, so dass du Zugangsdaten brauchst etc. und er soll dir bitte in einer Mail antworten, okay, schlechte Variante, aber wenn’s sein muss... 2. Antwort faxen lassen. Gute Variante (beste wohl per Post) Bei einigen Anbietern kannst du dir was faxen lassen, so auch bei web.de freemail, du bekommst eine kostenlose 01212-Faxnummer zugeteilt, wo dir dein Opfer gleich seine Antwort faxen kann, das ist meiner Meinung nach, perfekt und gar nicht schwierig ;) 3. Postfach, kostet rund 10€ (einmalig) bei der Deutschen Post, und du kannst dir schicken lassen was du willst, also auch die Antworten deines Opfers, kostet am Anfang ein bisschen, aber was soll’s :) Also überleg dirs... 4. Leerstehendes Haus: Ich hab noch nie ein leerstehendes Haus gesehen, an das ein Brief ausgetragen wurde, ich hab es mal getestet und hatte den Brief 4 Tage später wieder im Briefkasten, also sollte man das wohl vergessen... => Anrufen Ringring, das hier ist wohl die älteste, und bekannteste Methode, an der Filme wie Hackers etc. nicht gerade unbeteiligt waren. Du rufst dein Opfer an, labberst irgendwie dass der Chef gesagt hat dass er die Präsentation unbedingt bis morgen braucht, aber du hast die Zugangsdaten nicht mehr, weil du ja zu Hause weiterarbeiten musst, der lausige Firmen-Idiot bringt sie dir sofort - hofft man. Na ja ein Versuch isses wert. => Ein Beispiel-Telefonat findest du bei den Beispielen => Wühlen Eine gute Methode an etwas "intimere" Infos deines Opfers zu kommen, ist dich heimlich auf das Firmengelände bzw. zu seinem Haus zu schleichen und seinen Müll zu durchwühlen. Hier kannst du echt interessante und vll auch wichtige Dinge über ihn herausfinden: Was und Wo kauft er ein, Lieblinssendung, Familie, Isst er viel oder wenig, was für eine Lebenseinstellung... Manchmal findest du sogar Zettel mit "alten" Passwörtern, die keiner mehr braucht und wer denkt schon dass der Müll durchwühlt wird? Suche auf der Seite der Stadtwerke, wann der Müll abgeholt wird, denn wenn du einen Tag, bzw. eine Nacht vorher den Müll durchsucht, kannst du mit Sicherheit mehr finden als an sonst irgendeinem Tag in der Woche... => Weitere Methoden Wenn du die Unterschrift unbedingt brauchst, um damit irgendeinen Müll zu veranstalten, dann kauf dir nen Strauß Blumen druck ne nette Karte aus, steck die in die Blumen und gehe zu deinem Opfer und überreiche den Strauß mit den Worten "Fleurop, sie haben einen wunderschönen Strauß geschickt bekommen... Einmal hier unterschreiben bitte", dann hältst du ihm ein Brett hin, auf dem Mehrere Blätter geklemmt sind, mit bereits unterschriebenen "Aufträgen" natürlich alles von dir gefaket ;) Das ganze kannst du auch mit Einschreiben, Paketdienst, Unterschriftensammlung etc. machen. =< SH-Schutz >= => Allgemein => Privatpersonen => Firmen => Allgemein Da es zwei "Ober-Techniken" des Social Hackings gibt, sollte es auch zwei Schutzmethoden geben, einmal die mit Hilfe der Technik und eine mit Hilfe des Verstandes, wobei eine Kombination von beidem durchaus sicherer ist. Auf die Verteidigungsmethoden wird in den einzelnen Abschnitten genauer eingegangen. => Privatpersonen Für dich selber gilt: Achte was für eMails, Anrufe, Chatpartner hast, aber achte nicht nur auf dich denn schnell hat mal ein vermeintlicher Telekom-Techniker über deine Mutter (oder sonst ein Haus-Mitglied) deine Mac-Adresse, Passwort etc. herausgefunden. Also warne bzw. "unterrichte" auch deine Familienmitglieder, dass sie an deinem PC nichts zu suchen haben, dass sie die Finger von allem lassen sollen was von dir ist, auch Telefonbüchern etc. Denn wenn jemand von der Telekom deine Zugangsdaten haben will, dann muss er dafür nicht extra bei dir anrufen, denn er hat schon lange genug Rechte um bei dir alles zu verstellen, also klipp und klar: Ein Service-Mitarbeiter von irgendeiner Firma, wird dich NIEMALS nach deinem Passwort fragen, weder bei T-online, bei Arcor noch (!) bei AOL! Also pass auf und sag deiner Familie, dass sie mind. genauso wachsam sein muss! => Firmen Als Sicherheitsadmin musst du natürlich ständig Kurse geben, damit nicht irgendein Firmen-Dau mal "ausversehen" einen Trojaner installiert... Was? Du bist nicht der Admin? Du gibt’s keine Sec-Kurse? Na dann auf zum Chef, erklär ihm die Problematik, wenn’s sein muss zeig ihm Beispiele, wie schnell die Passwörter rausfinden konntest, teste deine "Untertanen" teste alle Lamer durch, gib (wie gesagt) Kurse für die Computer Sicherheit, sag ihnen ganz genau, dass alles was mit Passwörtern und sonst was zu tun hat, alles deine Angelegenheit ist, und wenn ihnen etwas verdächtiges auffällt, dann sollten sie (und du) sofort dich nach dem Übeltäter erkundigen. Also zeig deinen Leuten, deiner Firma, den SHs wie gut ihr gerüstet seid, denn sicher ist sicher. =< Beispiele >= Du findest hier nun alle erwähnten Beispiele, Links, etc. => Fake-Mail From:service@t-online.de Reply-To:cod123@gmx.de Subject:Wichtige Mitteilung ihres Providers. Sehr geehrter Herr Mustermann, Da unser System am gestrigen Dienstag einen kompletten System-Crash erfuhr, müssen wir ihnen Mitteilen, dass ihr DSL-Anschluss leider gesperrt werden musste. Falls sie weiterhin Zugriff auf unseren Service haben, so sollte sich dieser bis in 4-5 Stunden gelegt haben. Um ihn wieder zu öffnen, und dass sich für sie keine weiteren Kosten ergeben, bitte ich sie, uns umgehend ihre Zugangsdaten mitzuteilen, damit wir ihren Anschluss so schnell als möglich wieder freischalten können. Mit freundlichsten Grüßen Hans Maulwurf, Service-Mitarbeiter bei T-Online => Beispiel-Site Das hier ist *nur* das Formular! Nicht eine gefakte Site. User Daten

User Daten erneuern


Name:

eMail-Adresse:

Passwort:


Du musst lediglich das Design anpassen, die Formfelder auf dich abstimmen und deine eMailAdresse eintragen, schon fertig :D => Beispiel-Telefonat Du: „Schönen Mittag wünsche ich, Hab ich da Frau Schmitt am Apparat?“ Die: „Ja haben sie, mit wem rede ich denn?“ Du: „Hier spricht Peter Lustig, Techniker bei der Deutschen Telekom. Wir hatten heute einen total Serverausfall in unserem Hamburg-Süd-Cluster, was dann einen halben Systemabsturz hervorgerufen hat, so dass wir jetzt die halbe Passwortdatei verloren haben, und nun einige Hacker Zugriff auf unser System haben. Deshalb müssen wir diese Sicherheitslücke sofort schließen und dafür benötigen wir ihr T-Online Passwort. Ich wäre ihnen sehr verbunden wenn sie mir helfen könnten, denn sonst bekomm ich mächtigen Ärger und für sie gibt es auch eine Menge Papierkram zu erledigen...“ Die: „Ja natürlich helfe ich ihnen, wo finde ich denn das Passwort?“ Du: „Ja schalten sie bitte ihren Computer....“ (...) Du: „Ja vielen Dank, sie haben mir und ihnen sehr geholfen. Ich verabschiede mich, Schönen Abend noch!“ Die: „Jo, Tschö“ =< Ausleitung >= Wenn’s eine Einleitung gibt muss es auch eine Ausleitung geben. Also Jungs, passt auf was ihr macht, und wenn ihrs richtig macht dann stehen euch so gut wie alle Türen zu vielen Infos, einem guten Hack oder sonst etwas offen... Und manchmal kann man einfach auch nur Leute erschrecken wie viel man doch über sie weiß, das ist auch ein lustiges Hobby, eine Art Psycho-Hack - Vertreib alle DAUs und unfreundlichen Leute aus Chats indem du einfach alles was du über sie weißt ausplauderst... Aber pass immer auf, dass du nicht selbst zum Opfer wirst! Und wenn du vll paar Fragen hast und wenn es unbedingt sein muss, dann schick mir ne Mail: codist@web.de Nun viel Spass und mit freundlichen Grüßen, SHt mich nicht ;) CODIST Dieses Dokument darf jeder Zeit weitergegeben werden, kopiert (und raubkopiert werden ;) ), solange es nicht verändert wird. Viel Spass damit!