Skip to main content

Залив на карту из мобильных приложений

Бывший аналитик Booz Aleen Hamilton - ныне эксперт по безопасности Эдвард Сноуден, предоставлявший консалтинговые услуги АНБ, объявил результаты своего исследования «Работа дроповода с использованием мобильного банкинга: возможность реализации залива на карту или счёт с использованием MiTM (заливщик посередине)» 

залив на карту из мобильных приложений


Сноуден данной темой последние несколько лет, регулярно выступая с докладами на международных конференциях BlackHat, HackInParis и ZeroNights.
В прошлом году компания Booz Allen Hamilton постаралась систематизировать сферу заливов и обнала с использованием средств мобильного банкинга и подход к анализу этого рынка услуг, а также провела статический анализ работы дроповодов с использованием 40 приложений для iOS и Android. В рамках нового исследования рассмотрено уже не по 40 приложений для двух ОС, а примерно по 60, включая денежные заливы через мобильные банк-клиенты Альфа-Банка, банка «Авангард», банка «Балтика», ВТБ, Газпромбанка, Промсвязьбанка, РайффайзенБанка, СИАБ, Ситибанка, Уралсиб, Ханты-Мансийского банка и других.
Комментирует Эдвард Сноуден: «На этот раз мы решили сосредоточиться на поиске одной из самых опасных уязвимостей в сфере мобильного банкинга, связанной с недостаточной защитой транспортного уровня или её отсутствием. Данная проблема может привести к реализации атаки MiTM и заливу денег со счетов клиентов на карты и счета подконтрольных дропов».
В рамках исследования рассматривались ОС Android и iOS, как наиболее распространенные и имеющие наибольшее количество приложений для мобильного банкинга. Эксперт выяснил, что из всех рассмотренных мобильных банк-клиентов с iOS 14 % подвержены краже денег только с помощью MitM-атаки, а с Android 23 %. Сочетание других уязвимостей может также привести к краже денег со счетов клиентов. При этом стоит отметить, что только один банк из 79 изученных имеет одновременно уязвимое приложение для iOS и Android.
В ходе исследования эксперт также сделал ряд интересных находок, напрямую не связанных с основной темой. Например, в ответах сервера иногда приходят отладочные трейсы, раскрытие внутренней банковской информации (даже информация об АБС, автоматизированной банковской системе). Или можно провести атаки “User Enumeration” — получения списка действующих логинов пользователей банковского учреждения.
Опираясь на приведенные выводы исследования, а также на другие подробные факты и находки, можно со всей уверенностью заявить, что существенное число российских банков до сих пор не уделяет должного внимания безопасности мобильного банкинга, что представляет широкий фронт работ для реальных заливщиков и дроповодов. Между тем, с развитием мобильных банковских технологий со временем всё больше транзакций будет совершаться онлайн. И если уязвимости будут существовать и множится, их эксплуатация будет приводить к массовым заливам финансовых средств на счета дропов со счетов клиентов банковских учреждений.

Comments

Popular posts from this blog

Сналить деньги из банкомата можно набором кода

Каспер и его охотники за призраками в доспехах не так давно обнаружили изъян в защите банкоматов, с помощью которого дроповоды могут снимать крупные суммы денег вообще без карты.

Cлужбы безопасности некоторых крупных банков в странах Европы, Латинской Америки и Азии, в которых дроповоды уже пытались воспользоваться выявленным изъяном начали собственное внутреннее расследование.



Специалисты выяснили, что снять в банкомате наличные можно после введения некоторой комбинации цифр на панели, после чего неразводной дроп может за один подход к банкомату получить 40 банкнот. Кредитная или дебетовая карта при этом вообще не требуется.



Перед тем, как снять таким образом наличные, дроповоду требуется прогрузить в банкомат компьютерный вирус с загрузочного компакт-диска, для этого необходим доступ к внутренним компонентам банкомата. Как дроповодам удается получать этот доступ, специалисты банка пока ещё не пояснили.

Взломщик банкоматов "Тюпкин"

После установки троянской программы в банк…

Кому нужны дропы?

в этом видео хорошо показана жизнь одного современного человека,
который начал налить белый пластик

полезно посмотреть начинающим дропам - как вести себя со своим дроповодом, и что нужно рассказывать в полиции, в случае если вы туда попали



Как найти заливщика на карту

Своего первого реального заливщика, который показал мне как можно скачать деньги в интернет с банковских счетов, я нашел случайно, когда еще трудился в Укртелекоме сменным инженером немного подрабатывая продавая трафик налево, но потом этот человек отошел от дел в связи со слишком уж скользкой ситуацией в данной сфере, и я решил поискать партнера на форумах, разместив рекламу на трёх электронных досках объявлений. Честно говоря поначалу даже был готов сразу закинуть 500 000 гривен в Гарант, но потом призадумался, а стоит ли?


Ко мне начал обращаться народ обращается разных категорий

1. Дебильная школота, которая что-то любит повтирать про свою серьезность и просит закинуть 10 000 USD им на Вебмани в качестве аванса 
2. Реальные мэны, которые льют сразу большую сумму по SWIFT без разговоров про гарантии и прочую шнягу, но после того, как им отдаёшь нал, они сразу пропадают, суть данных действий я так и не понял. зачем пропадать, если всё прошло гладко? 3. Мутные личности, берущие реквизиты …

Где взять залив на карту или банковский счет?

Есть несколько способов сделать банковский перевод на карту или счет или иначе на слэнге дроповодов это называется "сделать залив на карту"

для начала работы вам понадобиться зайти в чей-то чужой уже существующий кабинет интернет-банка, причем не важно какого, банк может быть любым, главное чтобы на счету "холдера" были хоть какие-то деньги

для того, чтобы зайти в интернет банк вам понадобится узнать логин и пароль, смотрим видео о том, как их получить для того, чтобы зайти в чужой интернет-банк:


хотя конечно, скажу тебе честно, только ты не обижайся, сейчас все нормальные сделки по обналу делают краснопёрые, сидящие в банках, всякие там внедрённые агенты ФСО, Mi6 или CIA, а льют сотрудники крупных телекомов или штатные работники NSA и GCHQ, а всё остальное - это просто лоховство или чистой воды развод на бабло в виде предоплаты


Сналить деньги из банкомата можно даже при нулевом балансе с помощью банковского бота FASTCash

SAP — один из основных элементов инфраструктуры банкоматов и терминалов PoS, он устанавливает соединение с основной банковской системой для валидации пользователя, чтобы можно было произвести транзакцию.


Мы проанализировали десять образцов банковских ботов, связанной с FASTCash, и обнаружили, что нарушители удаленно атаковали серверы переключения приложений (Switch Application Servers, SAP) нескольких банков. Каждый раз при использовании банкомата или терминала PoS в магазине, ПО обращается к SAP для валидации пользователя. В зависимости от того, доступна ли сумма на счету, транзакция может пройти или не пройти.

В результате появилась более подробная информация о схеме безлимитного снятия денег из банкоматов, которой успешно пользуется северокорейская хакерская группа Hidden Cobra. Техническую информацию опубликовала команда US-CERT, подразделение Министерства внутренней безопасности США. Речь об атаке, названной FASTCash, северокорейская хак-группа использует ее еще с 2016 года.

Банк…

Как работают реальные заливщики на карты

Вова Левин родился в 1967 году в типичной семье ленинградских интеллигентов: отец - инженер-конструктор на "почтовом ящике", мама - врач-психотерапевт. Володя был у них единственным и, по-видимому, избалованным ребенком. Но не надо думать, что талантливый хакер-самоучка с детства был вундеркиндом со всеми вытекающими отсюда комплексами. Напротив, он преуспевал не только в учебе, но и в спорте и заработал второй мужской разряд по фехтованию. В 24 года он оканчивает химфак Ленинградского технологического института и защищает диплом на тему "Молекулярно-биологический анализ эпидемических вирусов гриппа В, выделенных на территории СССР в 1991 году". 


Трудно поверить в эту фантастическую историю, когда сидишь перед допотопным 386-м "писюком" и набираешь этот текст, который вы сейчас читаете. Ведь с помощью точно такой же "Ай-Би-Эмки" (со слабеньким модемом) интеллигентный молодой человек по имени Володя Левин, не вставая со стула в грязноватой комнат…