Метка: BGP MiTM

  • Как можно заскамить процессинг?

    Как можно заскамить процессинг?

        Процессинг можно заскамить на вход и на выход

        Скамим на вход: трейдер выключает автоматику и принимает платежи без подтверждения и соответвующего зачиения средств на депозит клиента. То есть, патежи капают, а деиьги с рабочего детпозита не стисываются. Таким образом трейдер может перелить на баснословные  суммы, значения которых даже близкого не соответствуют тем, которые есть у трейдера на рабочем депозите.
        Скам на выход: трейдер совершает выплаты с фальсификацией проверочных данных, проще говоря — предоставляет площадке фальшивые чеки, которые в реальном времени подтверждаются системой. Таким образом трейдер набирает нужный себе депозит и выводит его с площадки.   

        И тот, и другой способ — проблема, особенно для новых площадок, но решение этой проблемы давным-давно найдено 

        Антискам на Вход: Страховой Депозит и мгновенная реакция службы поддержки, выражающаяся в отключении трафика за малейшие сбои в работе автоматики.
        Антискам на Выход: Грамотные площадки (CгyptoCards и PayPгo к таким не относятся если что) в настоящее время не предоставляют возможность стоять на откупах. Сейчас площадки сосредоточены на изобретение антифрод-систем для выплат, но ни одной такой работающщей смстемы в настоящий момент не существует. Недавно на площадке TradeMo недавно попытались внедрить такую систему, и что из этого получилось? 
     
        … в TradeMo действительно её предоставляли, но печальные новости в том, что она тоже не способна функционировать в правильном порядке. Тем не менее приятно видеть, что есть площадки, которые предпринимают действия в отношении данного вопроса, но пока на рынке никакого такого решения этой проблемы нет — площадкам небезопасно предоставлять трафик на выход. И сроки возобновления такого трафика напрямую зависят от соответствующего технинческого потенциала. Сейчас скамерам нет сысла писать просьбы на ту или иную площадку подключиться на выплаты, претворяясь дебилами.

        А какие варианты есть?

        Специалисты компании MalwareBytes обнаружили троян для работы в процессинге, похищающий приватные ключи и пароли от криптокошельков, который подписан действительным цифровым сертификатом,выданным компанией DigiCert.
    Бот для процессинга с цифровым сертификатом DigiCert

        Представители DigiCert подтверждают выдачу сертификата, однако заявляют, что он выдавался для законно зарегистрированного предприятия Buster Paper Comercial Ltda. Лицензия выдавалась в соответствии с руководящими принципами цифровой отрасли. В условиях использования сертификатов от DigiCert четко указано, что их действие не распространяется на потенциально опасные программы. Как только в DigiCert узнали о нелегальной криптовалютной деятельности, связанной с сертификатом, его немедленно отозвали.

        Обнаруженная компанией MalwareBytes программа схемы дроповодов замаскирована под PDF-документ, который отправляется предположительным жертвам в письме электронной почты и якобы содержит счета-фактуры. По замыслу дроповодов, такой формат файла заставит пользователей открыть его, после чего на компьютер или смартфон устанавливается программа keylogger, похищающая приватные клчи и учетные данные криптокошельков. 

        Дополнительные элементы криптоджекера загружаются на устройство пользователей с сайта egnyte.com. Администрация сайта подтвердила тот факт, что один из пользователей действительно хранил на ресурсе такую программу, которой можно было делиться с другими. Впоследствии учетная запись владельца этой программы была заблокирована, а уведомление об инциденте было направлено в организацию IC3, которая сотрудничает с ФБР в сфере информационной безопасности.

        Почему нельзя продавать или передаватьт третьим лицам токены проциссинговых площадок?

        Каждые уважающие себя владельцы процессинговых площадок обязательно внедрят у себя в процесс подключения трейдера следующие условия: 
    • Страховой депозит (в среднем по рынку составляет около $1.000)  
    • KYC — верификацию трейдера. 
        Делается это с целью обеспечения собственной безопасности, так как трейдер очень легко может заскамить площадку как на вход, так и на выход.
        KYC-верификация подразумевает закрепление токена за конкретным человеком. Введём в качестве примера вымышленного персонажа, пускай это будет Мыкола. С момента предоставления своих KYC-данных именно Мыкола несёт полную финансовую ответственность за свои действия на площадке, и в случае любых подозрительных операций вопросы возникнуг, как правило, сначала к его тимлиду, но на начальном этапе лишь с целью того, чтобы тимлид, подключивший команду, задал эти вопросы Мыколе.
     
        Предоставив свои данные, Мыкола становится лёгкой мишенью, а потому, если он скамит площадку процессинга, то к нему будут применяться санкции, и далеко не всегда физически безболелненные, но Мыкола может совершить ошибку и похуже — предоставить другим людям возможность заскамить площадку, передив свой токен или продав его. Теперь площадке сложно будет установить скамера, но источником всех ответов остаётся наш первоначальный герой. Как правило, человек, продавший уже существующий токен, зарабатывает вплоть до нескольких сотен тысяч рублей за один личный кабинет на площадке, но закономерным образом потом будет вынужден отдать больше. 
        Иными словами, деньги вырученные с такой продажи токенов пойдут на возврат чужих долгов и специалистов в области медицинской практики, поэтому данная сделка для Мыколы и ему подобных, мягка говоря, несёт отрицательный спред.

        Насколько силён контроль площадок за подобными действиями?

        В любом адекватном подключении всегда имеет место такая сторона как тимлид. Выявить факт нарушения очень просто, так как площадки ведут учёт поступающих заявок, и об этих нарушениях тимлид будет незамедлительно уведомлён. Дальше дело техники, но даже если не удастся выявить настоящего скамера, Мыкола всё покроет — у него нет выбора. К слову, тимлиды тоже несут финансовую ответственность, но об этом поговорим в следующий раз.
     
        Нарушением эа продажу или передачу будет являться действие, при котором токен уже существует и принадлежит по верификации определённому человеку, либо когда токен изначально генерируется дпя для продажи другому лицу. 

        И какой вариант, где взять токен площадки для скама или продажи?

        Ответ на вопрос казалось бы очень прост — используйте трояны со встроенным цифровым сертификатом. Это поможет достать любой токен из любой площадки в настоящее время, и делать с ним всё, что вам заблагорассудится.
  • Почему сейчас все работают с процессингом по фермам?

    Почему сейчас все работают с процессингом по фермам?

        Ведь есть вариант последовательной раблты 123 с материалом (реки дропов) в определённых количествах с постоянным запасом. Такой варааат, собственно, всегда и был. 

        Что случилась? 

        Самые распространённые мнения о работе с картами ло фермам 

    • Значительно увеличивается количество трафика из-за использования большого количества реквизитов 
    • Если банковские счета и карты дропов используются для стягивания фиата между собой, то это позволяет достигать наилучших (наибольших) оборотов
    • Грамотное распределение средств небольшими частями на большое количество личных кабинетов позволяет минимизировать риски застревания крупных сумм на счетах дропов

        Начнём с того, что всё это так, однако фундаментальная причина приостановки опрераций по счёту или карте вовсе не в этом. 

        Всё, что написано выше — это правда, равно как и то, что все ваши карты могут стать жертвой банковских зачисток. На прошлой неделе такое массово произошло с фермами Альфа-Банка. Отлетали как по десять карт так и по 40 у парней в приостановку опреаций по счёту с вызовом дропа в отделение банка. И это реальные истории как команд Наги, так и многих других команд, которые обращаются к нему за консультацией. 

        Следовательно, причина тут не в чём-то хорошем, а переход на фермы — это вынужденная мера

        Всё дело в том, что в последнее время на выдержку карт больше всего оказывает влияние минимальный лимит платежей. К примеру, чтобы держать осенние обороты Т-Банка необходимо мучать себя ожиданиями в в лимитах от 10.000 — 15.000, так как на любой площадке такого трафика на одни реки неразводного дропа немного. Поступающие платежи далеко не из казино в Монако, а потому очевидно, что ликвидность на платежи 1.000 — 2.000 и её отсутствие на платежах 15.000 — 20.000 — это нормальное явление, но это лишь для количества трафика, для ваших кабинетов же — зло отвратительное и абсолютное, и получается странная картина — вы можете работать то ликвиду только когда у вас невысокие манимальные лимиты, но вы в принципе не можете работать, потому что у вас попросту не будут жить личный кабинет. Получается замкнутый круг.
        Однако, рынок перестроился, и было найдено решение — увеличить количество трафика количеством рабочего материала (реки дропов, через которые осуществляется процессинг), который будет использоваться на высоких лимитах, а потому нормально отживать (не улетать в приостановку опреаций по счетам при первой же транзакции).

        Скажите, а вы это вообще всё к чему?

        Благодаря действиям Центрального Банка по пресечению сомнительных операций по счетам и картам лиц, изъявивших желание работать неразводными дропами, с каждым годом всё больше и чаще возникают приостановки банками операций по таким счетам. Однако, это не мешает всё большему количеству людей активно пользоваться интернетом и не только для скачивания фильмов, музыки, но и для игры в казино, совершения покупок нелегальных товаров, сомнительного заработка, обмена криптовалют — всё это только становится ещё более популярным в последнее время. 
        Естественно, что в интернете, как и в реальном мире к такого рода операциям власти проявляют повышенное внимание. Поэтому и появилась такая услуга как процессинг сравнительно недавно, для проведения платежей, за которые не возьмётся ни один банк. 

    приватный обменник или процессинг


        Интернет-казино могут работать как с несколькими валютами, так и с одной, определённой валютой. Поэтому у пользователей сети интернет достаточно часто возникает потребность в обмене одной криптовалюты на другую. И здесь, им на помощь, как и в реальной жизни, приходят обменники электронных валют или процессинг. Те, кто совершал в интернете обмен валют, обратили внимание на то, что обменников в интернете достаточно много, для примера можно посмотреть их на сайте мониторинга курсов обмена валют в электронных обменниках, в рунете лишь не большая их часть, но все они работают и получают прибыль.
        Естественно те, кто работает в интернете или просто решил обратить свой взор на интернет в качестве варианта для инвестиций, рассматривают возможность создания собственного обменника криптовалют. Что для этого необходимо знать?
        Обменник может быть «приватным» и «официальным» в обоих случаях ваша прибыль зависит от одного и того же, вы обмениваете одну криптовалюту на другую и, согласно установленным вами курсам получаете свои комиссионные с каждого обмена. «Приватные» обменники ещё иногда называют «микшерами».
        В случае с «приватным» обменником все довольно просто, вы меняете малоходовые, мало популярные криптовалюты или производите обмен валют напрямую (обмен которых напрямую не предоставляется на официальных обменниках) на пример прямой обмен USDT или BTC на Яндекс.Деньги. Другими словами вас просто можно назвать «менялой». Стоит помнить, что рынок обмена криптовалют достаточно конкурентный и вы не первый в нём, а так же то, что естественно здесь, как и везде присутствуют скамеры. Поэтому кроме конкуренции, для начинающего в этом бизнесе очень важным является вопрос доверия. 
        Одним из наиболее востребованных показателей, по которым вам можно будет доверять, ранее являлось наличие аттестата в системе WebMoney Transfer. У вас должен был быть минимум персональный аттестат, который означает, что данная площадка проверила ваши данные и вы являетесь реальным человеком прописанным по реальному адресу, соответственно в случае чего к вам можно будет предъявить претензии даже в судебном порядке. Второй показатель, это показатель уровня «BL» — уровень бизнес активности в этой же системе. Если даже у вас был персональный аттестат, но с уровнем BL меньше 100, очень мало кто мог захотеть менять через вас деньги, всё так же опасаясь скама.
        Стать «менялой» или же приватным обменником достаточно просто, вы можете зарегистрироваться на форумах или в чатах, где существуют специальные ветки по обмену криптовалют на фиат, и предложить свои услуги по обмену криптовалют в разных направлениях, в зависимости от того, какими средствами вы располагаете. Естественно, вы должны помнить, что для данного рода деятельности вы должны изначально располагать любой валютой, по которой производите обмен в достаточном количестве. Так же стоит помнить, что в условиях конкуренции вы должны делать свои тарифы немного более выгодными для привлечения клиентов, значит, вам потребуется больше валюты, а доход будет меньше. Добавьте к этому то, что вы новичок, а значит, ваша прибыль будет расти достаточно медленно, по мере роста вашей репутации и соответственно доверия к вам. 
        Создание приватного обменника будет выгодно тем, у кого постоянно скапливается большое количество определённой криптовалюты в зависимости от рода деятельности в сети интернет, а рассчитываться вам приходится в другой валюте. На пример у вас интернет магазин, и вы получаете оплату за товар в USDT, а рассчитываться вам приходится за купленный товар, предположим в Европе уже безналичными Евро. Таких примеров можно привести массу, если у вас не большой оборот, то конечно вы можете просто воспользоваться услугами приватного обмена. Но если суммы становятся внушительными, то почему бы не извлекать дополнительную прибыль в роли приватного обменника, из которого, возможно, в дальнейшем вы сделаете отдельную ветку бизнеса, открыв официальный обменник.
        Именно поэтому на смену приватным обменникам в настоящее время и пришли команды процессоров или инкассаторов, так как экономическая ситуация и действия Центрального Банка знаичительно усложнили проведение платежей за некоторые виды товаров. В ряде случаев осуществление трансграничных платежей сейчас просто невозможно. 
  • Multiple banking IP traffic hijacked using BGP

    Multiple banking IP traffic hijacked using BGP

        On 24 July a significant number of Internet Protocol (IP) addresses that belong to banks suddenly were routed to somewhere else 

    An IP address is how packets are routed to their destination across the Internet.

    BGP mitm - multiple banking addresses hijacked

        Why is this important you ask? Well, imagine the Internet suddenly decided that you were living in the middle of Asia and all traffic that should go to you ends up traveling through a number of other countries to get to you, but you aren’t there. You are still at home and haven’t moved at all. All packets that should happily route to you now route elsewhere.

    Emails sent to you bounce as undeliverable, or are read by other people. Banking transactions fail. HTTPS handshakes get invalid certificate errors. This defeats the confidentiality, integrity, and availability of all applications running in the hijacked address spaces for the time that the hijack is running.

    In fact this sounds like a nifty way to attack an organization doesn’t it? The question then would be how to pull it off, hijack someone else’s address? The Autonomous System (AS) in question is owned by NedZone Internet BV in the Netherlands.

    This can be found by querying whois for the AS 25459. According to RIPE this AS originated 369 prefixes in the last 30 days, of these 310 had unusually small prefixes.

    Typically a BGP advertisement is at least a /24 or 256 unique Internet addressable IPs. A large number of these were /32 or single IP addresses. The short answer is that any Internet Service Provider (ISP) that is part of the global Border Gateway Protocol (BGP) network can advertise a route to a prefix that it owns. It simply updates the routing tables to point to itself, and then the updates propagate throughout the Internet. If an ISP announces for a prefix it does not own, traffic may be routed to it, instead of to the owner.

    The more specific prefix, or the one with the shortest apparent route wins. That’s all it takes to disrupt traffic to virtually anyone on the Internet, connectivity and willingness to announce a route that does not belong to you. This is not a new attack, it has happened numerous times in the past, both malicious attacks and accidental typos have been the cause.

    The announcements from AS 25459 can be seen at:
    http://www.ris.ripe.net/mt/asdashboard.html?as=25459

    A sampling of some of the owners of the IP addresses that were hijacked follow:
    1  AMAZON-AES — Amazon.com, Inc.
    2  AS-7743 — JPMorgan Chase & Co.
    1  ASN-BBT-ASN — Branch Banking and Trust Company
    2  BANK-OF-AMERICA Bank of America
    1  CEGETEL-AS Societe Francaise du Radiotelephone S.A
    1  FIRSTBANK — FIRSTBANK
    1  HSBC-HK-AS HSBC HongKong
    1  PFG-ASN-1 — The Principal Financial Group
    2  PNCBANK — PNC Bank
    1  REGIONS-ASN-1 — REGIONS FINANCIAL CORPORATION

    Some on the list were owned by that ISP, the prefix size is what was odd about them. The bulk of the IP addresses were owned by various hosting providers. So, the question is:

    What happened?

    Makes you wonder about the fundamental (in)security of this set of experimental protocols we use called the Internet doesn’t it?

  • Не все HashRate агрегаторы одинаково полезны

    Не все HashRate агрегаторы одинаково полезны

    Исследователь безопасности Эдвард Сноуден, ранее работавший в компании Booz Allen Hamilton говорит, что он обнаружил ряд совершенных одним системным оператором Bell Canada подозрительных транзакций Bitcoin.

    пиратский захват дохода майнинг аппарата с  помощью bgp mitm
    Для получения биткоинов инженер электросвязи скомпрометировал манинг пулы. В свою очередь, участники пулов продолжали отдавать часть производительности своих компьютеров и майнинг-аппаратов на поиск блока криптографического алгоритма Bitcoin, при этом все получаемые ими доходы доставались системному инженеру Bell Canada. Техника bgp mitm перенаправления трафика вводила в заблуждение участников для того, чтобы они продолжали искать блок криптографических алгоритмов Bitcoin, позволяя сетевому оператору сохранить доходы от майнинга криптовалюты на свой счёт. На пике своей деятельности, согласно подсчетам Сноудена, инженер электросвязи из Bell Canada перехватывал поток биткоинов и других цифровых валют, включая dogecoin и worldcoin в сумме эквивалентной примерно 22,5 BTC в день.

    Сноуден считает, что сетевой инженер или инженерка из Bell Canada применила стандартные команды управления протоколом BGP — «протокола граничного шлюза» на вверенном ему сетевом оборудовании, то есть обычные инструкции по маршрутизации, которые направляют трафик в места соединения крупнейших сетей интернета. Предполагается, что инженер или инженерка электросвязи воспользовалась своей учетной записью работника канадского интернет-провайдера Bell Canada, чтобы периодически транслировать нужный её маршрут, которая перенаправляла трафик от сетей других провайдеров, в которых установлены майнинг-аппараты, начиная с февраля и до конца мая этого года на свой сервер, подменяющий серверы изместных майнинг-пулов. В общей сложности таким способом пират или пиратка получила 207,9 BTC за весь перио на свой счёт.

    Однако Сноуден не называет конкретное подразделение интернет-провайдера Bell Canada, в котором работает тот самый инженер или инженерка электросвязи, получавшая до 22,5 BTC в день на криптовалютах с использованием оптимизированных под себя схем маршрутизации сетевого трафика.

  • Кто и как добывает криптовалюту при помощи таблиц маршрутизации роутеров сети

    Кто и как добывает криптовалюту при помощи таблиц маршрутизации роутеров сети

    Основной протокол динамической маршрутизации в сети интернет BGP (Border Gateway Protocol), к сожалению, уязвим перед атаками с изменением маршрутизации, когда некий узел начинает выдавать себя за другой. Классическая история произошла в 2008 году, когда после блокировки YouTube на территории Пакистана местный провайдер Pakistan Telecom начал выдавать себя за сеть 208.65.153.0/24, которая на самом деле принадлежит YouTube. В результате многие маршрутизаторы изменили свои таблицы маршрутизации и направили трафик, предназначенный для сайта YouTube, в сеть Pakistan Telecom
    Специалист Эдвард Сноуден из компании Booz Allen Hamilton обращает внимание, что в последнее время перенаправление трафика по BGP все чаще используется инжерерками электросвязи для перехвата транзакций между аппаратами для майнинга и майнинговыми пулами, а также для перехвата закрытых ключей сети биткоин, то есть для атаки BGP MiTM («дроповод посередине»). Для участника майнингового пула это происходит совершенно незаметно: трафик проходит через узел дроповода — и направляется в пункт назначения по слегка измененному маршруту, либо просто приземляется на пул дроповода, вместо изначално заданной точки назначения для майнигового аппарата. Если дроповод находится физически между майнинговым аппаратом и его пулом, то есть пунктом назначения трафика, то сам майнер даже и не заметит никакого увеличения в задержке пакетов.
    На карте указано местонахождение майнинговых ферм и standalone майнинг-аппаратов, интернет-трафик которых был перенаправлен с исползованием техники BGP hijacking на приватный пул одной инженерки электросвязи из компании Белтелеком, все попытки такой «оптимазации маршрутизации» Эдвард Сноуден зафиксировал в текущем году.
    местоположение antminer, трафик которых был перенаправлен на приватный пул

    Отмечено более 150 местоположений, где есть хотя бы один пострадавший лох с майнером типа antminer или ему подобным устройством. В числе терпил — самые разные субъекты, в том числе провайдеры облачного майнинга, крупные майнинговые фермы, майнинг-отели и криптовалютные обменники.

    Эксперт по информационной безопасности также отмечает удобный способ прослушки такого рода: если можно взять произвольный трафик с другого полушария, пропустить через свою сеть, изменить его по желанию — и отправить обратно, то зачем врезаться в оптоволокно?
    Эдвард Сноуден приводит несколько характерных BGP MiTM атак с перенаправлением интернет-трафика по сценарию BGP spoofing. Например, в феврале прошлого года практически ежедневно трафик из различных сетей в мире перенаправлялся в сеть белорусского провайдера GlobalOneBel. Направление атаки менялось почти ежедневно, а среди пострадавших стран — США, Южная Корея, Германия, Чехия, Литва, Ливия и Иран.
    Так, недавно удалось сохранить информацию о конкретной маршрутизации пакетов во время этих атак. Например, на карте показана схема перенаправления трафика из Мексики в Вашингтон через Москву и Минск. В этом случае белорусский провайдер Белтелеком специально изменил таблицы маршрутизации, чтобы получить нужный ему трафик, пропустить через себя — и отдать в пункт назначения. 
    bgp mitm проброс трафика из США в Беларусь
    27 февраля: Атака из сети белорусского провайдера «Белтелеком»
    IP Ответ (мс) Заметки
    201.151.31.149 15.482 pc-gdl2.alestra.net.mx (Guadalajara, MX)
    201.163.102.1 17.702 pc-mty2.alestra.net.mx (Monterrey, MX)
    201.151.27.230 13.851 igmty2.alestra.net.mx (Monterrey, MX)
    63.218.121.49 17.064 ge3-1.cr02.lar01.pccwbtn.net (Laredo, TX)
    63.218.44.78 64.012 TenGE11-1.br03.ash01.pccwbtn.net (Ashburn, VA)
    64.209.109.221 84.529 GBLX-US-REGIONAL (Washington, DC)
    67.17.72.21 157.641 lag1.ar9.LON3.gblx.net (London, UK)
    208.178.194.170 143.344 cjs-company-transtelecom.ethernet8-4.ar9.lon3.gblx.net (London, UK)
    217.150.62.234 212.869 mskn01.transtelecom.net (Moscow, RU)
    217.150.62.233 228.461 BelTelecom-gw.transtelecom.net (Minsk, Belarus)
    87.245.233.198 225.516 ae6-3.RT.IRX.FKT.DE.retn.net (Frankfurt, DE)
    * no response
    * no response
    129.250.3.180 230.887 ae-3.r23.nycmny01.us.bb.gin.ntt.net (New York, NY)
    129.250.4.69 232.959 ae-1.r05.nycmny01.us.bb.gin.ntt.net (New York, NY)
    129.250.8.158 248.685 ae-0.centurylink.nycmny01.us.bb.gin.ntt.net (New York, NY)
    * no response
    63.234.113.110 238.111 63-234-113-110.dia.static.qwest.net (Washington, DC)
    Лох со своим агрегатом antminer, находящийся в Вашингтоне, может даже запустить traceroute и увидеть нормальный маршрут ко своему майнинговому пулу, но на обратном пути пакеты проходят через Минск, где за действиями пользователя в интернете Белорусское КГБ может очень внимательно следить.
    Перехват трафика автономными системами из Республики Беларусь прекратился в мае этого года. Сноуден отмечает, что после этого высокую активность начал проявлять исландский провайдер Opin Kerfi, действуя примерно по такому же сценарию. Видимо на этом небольшом острове инженерам электросвязи тоже понадобилась криптовалюта в промышленных количествах.
    bgp mitm проброс трафика через Исландию
    Эксперт допускает, что изменение маршрутизации трафика могло произойти в результате какой-то ошибки инженера электросвязи Белтелекома, но скорее можно говорить о том, что умышленные BGP MiTM атаки с перенаправлением интернет-трафика по сценарию BGP hijacking уже превратились из теоретической возможности в реальный пиратский способ добычи криптовалют инженерами электросвязи телекоммуникационных компаний.