Особенности киберпреступлений в России: инструменты нападения и защиты информации

Получив пароль, злоумышленник первым делом проверит настройки безопасности электронного почтового ящика, доступные на странице сервиса (в личном кабинете), и если настройки безопасности находятся в спящем состоянии, он будет авторизоваться в дальнейшем, невзирая на способ, будь то браузер или мобильный телефон.

Не все пользователи понимают, что можно параллельно находиться в одном и том же почтовом адресе, открывать письма, просматривать переписку, и это ничем не сигнализируется.

Хотя автор считает, что было бы целесообразным в личном кабинете любого аккаунта социальной сети, а уж тем более крупных игроков почтовых сервисов, добавить в интерфейс функцию отображения параллельных сессий в онлайн-режиме по умолчанию, некую сигнальную лампочку.

Итак, злодей, заполучивший пароль от почтового адреса, проверяет настройки и обнаруживает, что отслеживание авторизаций включено. Что он предпримет?

Незримое присутствие

Злоумышленник поступит в зависимости от личности жертвы, а мы помним, что при целенаправленном фишинге личность жертвы изучается очень серьезно.

Самое простое — злоумышленник может просто отключить дополнительные настройки безопасности, чего владелец, скорее всего, даже не заметит.

Если владелец электронного адреса даже использует функцию просмотра и фиксации входов в свой почтовый адрес, он вряд ли станет анализировать историю каждый раз при входе в почту для отправки письма или прочтения срочного сообщения. Глаз замыливается.

Представим, что когда-то владелец узнал о такой дополнительной опции, включил ее, пару недель понаблюдал и… забил ржавый гвоздь, потому что такая опция — как новенький гаджет с китайского сайта: сначала очень интересна, а потом, когда владелец наигрался, остается брошенной пылиться в шкафчике стола под кучей барахла.

Если владелец почтового ящика серьезно относится к параметрам безопасности и регулярно обращает внимание и анализирует журнал посещений почтового ящика, ничего страшного не произойдет.

Для сокрытия своего присутствия злоумышленник будет прибегать к маскировке своего IP-адреса и User-Agent (название барузера, операционной системы).

«User-Agent» — это наименование клиентского приложения, посредством которого пользователь осуществляет авторизацию (вход в почтовый адрес) по определенному протоколу. Мы упоминали этот термин в части о некоторых методах сбора информации о жертве.

В зависимости от используемых владельцем почтового адреса IP-адресов злоумышленник может подобрать схожий по семантике IP-адрес, как это делается при выборе доменного имени.

Если владелец осуществляет авторизацию на своем аккаунте с использованием оператора мобильной связи, то его адрес всегда будет динамическим, что сводит эффективность такой проверки к нулю.

Что такое динамический адрес мобильного оператора связи? Итак, у каждого мобильного оператора есть диапазон IP-адресов, которые выделяются абонентам при использовании Интернета.

Например, при использовании подключения к сети Интернет посредством оператора «Мегафон» на территории Московского региона IP-адрес абонента при обращении к ресурсам будет в диапазоне адресов: 31.173.80.0-31.173.87.255.

Таким образом, злоумышленник, если он проживает в Московском регионе, может съездить на один из всех известных рынков или любой вокзал и взять за сто рублей сим-карту того оператора связи, которым пользуется жертва.

Тот же самый маневр, только проще в исполнении, осуществляется со значением User-Agent.

Для дальнейших посещений взломанного почтового адреса злоумышленник станет использовать те периоды времени, когда его посещает владелец, ту операционную систему и браузер, что любит владелец, и сколько бы владелец не смотрел в журнал посещений, он не сумеет отличить свои посещения от шпионских.

Неоднократно встречались случаи, когда, взломав почту, злоумышленник спокойно находился под одним IP-адресом жертвы, используя корпоративного провайдера, что несколько затрудняет расследование возникшего инцидента.

Но опять-таки, дополнительные настройки безопасности включают крайне редко.

С дополнительными настройками безопасности вроде разобрались и вернемся к содержимому.

Прочитанные и непрочитанные письма

Если злоумышленник просматривает не прочитанные владельцем письма, которые имеют отметку «новые» или «непрочитанные», метка автоматически изменяется.

Поэтому, чтобы не расколотить посуду, наш слон обязательно поменяет метку, и письмо вернется к своему первоначальному состоянию, станет новым и непрочитанным. К чему лишние подозрения?

Есть особенность при авторизации на почтовом аккаунте через браузер. В таком случае включается версия встроенного мессенджера, статус пользователя почты становится онлайн, что могут видеть его собеседники. Об этом наш слон тоже помнит и сразу после входа в почту изменяет статус мессенджера.

Переписка с несуществующим адресатом