Работа в Стамбуле

Метка: процессинг

Что не так в рублёвом процессинге?

В августе 2010 года студия Paramount Pictures выпустила в прокат фильм Middle Men («Меж двух огней»). Действие этой трагикомедии происходит в середине 90х годов: главный герой, Джек Харрис, создает первую в мире электронную платежную систему, специализирующуюся на обслуживании порносайтов. Харрис попадает в одну неприятную ситуацию за другой: его преследуют агенты ФБР, русские бандиты и международные террористы, но в итоге он выходит сухим из воды. Фильм провалился в прокате: при бюджете в $22 млн собрал за три недели всего $733 000, зато стал одним из самых обсуждаемых в сети релизов 2010 года.

Продюсер картины — Кристофер Маллик, а сам фильм основан на истории его собственной жизни. Маллик стал известен как владелец системы ePassporte, крупнейшего платежного сервиса сайтов для взрослых. Через месяц после выхода фильма у ePassporte начались проблемы: VISA отказалась обслуживать платежи. В начале октября система закрылась. Не только мировая порноиндустрия понесла тяжелую утрату — бизнес Маллика обслуживал практически все виды «серых» операций в сети: например, торговлю поддельными товарами и контрафактными лекарствами. Доля ePassporte в этом сегменте доходила до 70%, и реальной замены ей пока не видно.

Фильм стал отчасти пророческим. У Маллика проблемы не только в Америке — русские бандиты тоже могут нагрянуть в гости. Маллик остался должен нашим соотечественникам как минимум $3 млн — это больше трети зависших в системе денег. В России система Маллика известна как «еПасс», и у нее было много клиентов. По условиям ликвидации, деньги, владельцы которых не успеют доказать свои права до 7 ноября, переходят в собственность основателя системы. Его, мягко говоря, не любят. Самые комментируемые темы на форуме master-x.com, хорошо известном среди российских порнодеятелей, связаны с закрытием «еПасс», одна из них «Маллик — крыса».

А еще летом у бизнесмена было множество фанатов в специфической среде. Немногие платежные системы толерантны к порноконтенту, большинство чурается обслуживать платежи за такие услуги. ePassporte была исключением. Толерантность стала одной из причин расцвета порноиндустрии в сети. Она же стала одной из причин ее заката.

КТО ПОРОДИЛ, ТОТ И УБИЛ

Владельцы классических сайтов с материалами для взрослых покупают эти материалы у производителей, вкладывают деньги в дизайн и раскрутку и затем зарабатывают на рознице, то есть на подписке. «Уже два года индустрия в кризисе», — жалуется Kit, владелец сайта master-x.com, самого авторитетного сообщества производителей контента для взрослых. Дело в том, что ePassporte стал родным домом не только для традиционных порнодельцов, но и для пиратов. Система обслуживала партнерские программы, которые занимались привлечением посетителей на файлообменники типа hotfile.com или megaupload.com, где то же самое порно было выложено бесплатно. Эти ресурсы не нарушают американских законов. На вопросы правоохранительных органов всегда готов ответ: «Это не мы закачали контент, это пользователи!» «И формально они невиновны», — объясняет Kit. Но на самом деле владельцы этих ресурсов платят за привлечение пользователей на свой ресурс и получают прибыль от размещения на нем рекламы.

Бесплатный порноконтент практически полностью победил легальный, некогда процветающие студии вынуждены экономить, многие сворачивают производство. Чтобы выжить, приходится искать ниши, свободные от бесплатного контента. Danaborisova, один из порнодеятелей, в интервью нам летом этого года рассказывал, что он теперь занялся веб-камерами: девушки общаются онлайн с посетителями. Его коллега, попросил называть себя Тron, говорит, что вполне платежеспособны любители садомазо, которые готовы отдавать до $80 в месяц за доступ к интересующему их контенту.

АНОНИМНОСТЬ ГАРАНТИРОВАНА

Можно ли получить карту VISA на имя героя известного мультсериала Гомера Симпсона, снимать с нее деньги, а то и расплачиваться ею? До сентября 2010 года ответ был положительным. Одним из главных преимуществ ePassporte была возможность обналичить деньги с помощью карточки, выпущенной на любое вымышленное имя. В российских системах — «Яндекс.Деньги», Qiwi и Webmoney — для того, чтобы вывести деньги из системы и получить наличные, клиент должен предъявить паспорт.

Расчетный банк ePassporte — Национальный банк островов Сент-Китс, Невис и Ангилья (SKNANB.com) — выдавал карты практически на любые псевдонимы пользователей ePassporte. Tron уверяет, что лично видел карту, где вместо имени и фамилии значилось Big Boobs (Большая грудь). «Симпсоны точно были», — уверяет Kit.

Такая анонимность была нелишней для владельцев порносайтов, особенно в России, где за незаконное распространение порнографии преследуют в уголовном порядке. Но и другим дельцам хотелось бы скрыть свои операции в сети. Например, в системе много продавцов фармацевтики. Одно дело — торговать в сети биологически активными добавками, это легальный бизнес. Другое — индийскими аналогами виагры, сиалиса и т.д., продажа которых в США незаконна.

Еще один некогда смежный с порно нелегальный бизнес — мошенничество с пластиковыми картами. Кардеры — специалисты по хищениям — активно обмениваются информацией на своих тщательно законспирированных сайтах и форумах. Там можно приобрести украденные или полученные обманным путем базы данных, включающие данные о номерах карт. Раньше этого было достаточно, но защитные системы в банках развиваются. Теперь мошенникам требуется код CW2/CVC2, а также фамилия и имя держателя карты, а в идеале — еще и место жительства. Специалисты по добыче таких данных называются фишерами.

Банки уже научились отсеивать мошенников, которые, заходя в интернет-магазин с пакистанского адреса, пытаются расплатиться карточкой, выпущенной в штате Нью-Гэмпшир. Поэтому географическая привязка, информация о месте жительства владельца карты так важна — без нее мошенникам не обойти один из важных уровней защиты. Как бы то ни было, после того как номера карт украдены, необходимо как-то списать с них деньги — так, чтобы ни банки, ни платежные системы ничего не заподозрили до тех пор, пока украденные деньги не «отмыты» и не обналичены.

Применялась, например, такая схема, — рассказывает Тron. — Кардер получает базу — информацию о владельцах карт. Затем, например, покупает порносайт. На сайт приходят посетители, начинают покупать контент. Появляется поток сравнительно легальных платежей, в него и подмешивают хищения. Кардер подключает купленную базу и начинает «платить» себе за скаченные видео и фото чужими кредитками, номера которых для него украли фишеры, либо он похитил сам».

Впрочем, сегодня эта некогда популярная схема не работает, признает Тrоn. Пути кардеров и порнодельцов разошлись, и первым пришлось обогатить свой арсенал более изощренными способами отъема денег у населения.

АЛЬТЕРНАТИВНАЯ ОБНАЛИЧКА

В сентябре 2010 года Федеральное бюро расследований США объявило о раскрытии организованной группы интернет-мошенников в составе, как минимум, 37 человек—в основном граждан России и Молдавии. Они обвиняются в хищении из американских банков $3 млн. Позже ФБР заявило: украдено более $70 млн, однако в официальных обвинениях эта цифра не фигурирует. Чуть раньте в Британии было раскрыто аналогичное преступное сообщество, в которое входили исключительно граждане стран СНГ. Суд над ними должен начаться на днях. Но не похоже, что по кардингу нанесен серьезный удар. Сара Баумгалтер, адвокат одного из арестованных в США россиян, заявила, что задержанные по обвинению в банковском мошенничестве — «это дети, которых использовали гораздо более изощренные люди».

Арестованным предъявлены обвинения в банковском мошенничестве по предварительному сговору. В реальности их миссия была проще. Российские студенты снимали со счетов, открытых на их имя, похищенные из американских банков деньги. Вознаграждение за такие операции составляет не более 8-10%. Организаторов аферы, признают в ФБР, поймать не удалось. «Поймали дропов, похоже, что даже дроповода среди них нет», —говорит Тron.

Дропы — это те, кто обналичивает похищенные средства, они чаще всего работают по найму, за комиссионные или даже за зарплату. Это едва ли не самая рискованная профессия в мире интернет-преступности. Российские дропы, как правило, деклассированные элементы. Скажем, алкоголики либо наркоманы. Их миссия — сходить в банк и за гонорар в 5000 рублей получить денежный перевод от друга из Америки, с которым они вместе учились в школе. Конечно, доверять таким людям на 100% нельзя, и организатор схемы, дроповод, иногда предоставляет своим клиентам гарантию на случай «кидка дропа» — в таком случае он полностью или частично возмещает похищенную сумму.

Кардер JensMiller в интервью интернет-изданию «Хакер» рассказал, что он и многие его коллеги предпочитают нанимать дропов не в России, так надежнее. Похоже, такими дропами и были арестованные в США россияне и молдоване. Судя по предъявленным им обвинениям, российские студенты просто обналичивали деньги, которые присылали на их счета организаторы аферы. Это не единственная схема работы с дропами, дает понять JensMiller. Распространена, к примеру, «вещевуха» —покупка товаров с помощью украденных карт. Как и обычно, деньги переводят на счет дропу —в США или в Западной Европе. Типичная легенда такого дропа: «Меня наняла фирма из Лос-Анджелеса, моя работа получать и пересылать посылки, мне платят $2000 в месяц—это хорошие деньги». Допустим, товар хочет купить кто-то в России, но западный интернет-магазин не пересылает товар напрямую. А кардер тоже не хочет заниматься пересылкой сам и оформлять на себя покупку, оплаченную похищенными деньгами. Это делает дроп. Затем он пересылает полученный товар в Москву. Очень популярный товар — МасВоок: он достаточно дорог, чтобы окупить пересылку.

Организаторы этих схем просят за обналичку от 20 до 40%. Для воров это приемлемая цена. Для владельцев «серых» интернет-бизнесов вроде тех же порнографов или продавцов нелегальных лекарств это слишком дорого. Без системы вроде ePassporte они работать не могут, а другим похожим сервисам либо не доверяют веб-мастера, либо они сразу виснут от наплыва заявок на открытие счетов и карточек. Так что не похоже, что альтернатива ePassporte появится в ближайшее время.

02.03.2025
Бот скликивания рекламы сгенерировал более 1 млрд показов объявлений за три месяца

Эксперты Google AdSense выявили крупный ботнет, накручивающий показы и скликивающий рекламу Google AdSense в автоматическом режиме. Боты для накрутки показов и скликивания рекламы также использовались для скрытых просмотры стримов Twitch и генерации фальшивых лайков на YouTube.

Исследователи пишут, что основными целями этого бота скликивания рекламы и накрутки показов являются такие браузеры, как Google Chrome, Mozilla Firefox и Яндекс.Браузер, работающие на Windows-машинах. Именно они образуют костяк ботнета скликивания рекламы. Сообщается, что только за последние три месяца через этот ботнет прошло более 1 млрд рекламных объявлений. При средней цене за 1000 показов объявлений в $1 прибыль владельцев рекламного бота могла составить не менее $1.000.000 за весь активный период.

Снаряжение и прогрузка бота на целевой машине или смартфоне начинается с использования модуля Installer, который установит и сконфигурирует скликивающее расширение для браузера, а также обеспечит постоянное присутствие в системе, создав запланированную задачу (рекламный бот притворится Windows Update).

Затем другой модуль рекламного бота, Finder, начнет собирать в заряженой системе файлы cookie и учетные данные, отправляя их своим операторам в формате ZIP-архивов. Также этот модуль будет поддерживать связь с вторичным управляющим сервером, который передает команды малвари и сообщает, с какой частотой нужно собирать и похищать данные из зараженных систем.

Третий модуль, Patcher, использовался в ранней версии ботнета для установки расширения скликивания и накрутки рекламы, но в последних версиях уже был включен в состав модуля Installer.

После успешной компрометации браузера, расширение немедленно приступит к работе, начнет внедрять рекламу на сайты и генерировать скрытый для пользователя трафик (к примеру, будет в фоновом режиме «смотреть» стримы Twitch или лайкать видео на YouTube).

«В основном функционал ботнета связан со накруткой показов и скликиванием рекламных объявлений и включает в себя скрипты, которые ищут и подменяют связанный с рекламой код на веб-страницах, но также рекламный бот содержит код для отслеживания информации о кликах и передачи других данных на управляющие серверы», — пишут эксперты Google AdSense.

Интересно, что внедрение рекламы происходит не на всех сайтах, которые посещает владелец заряженного компьютера или смартфона. Так, рекламный бот имеет обширные «черные списки», в которые входят домены Google, различные российские ресурсы и порно-сайты.

По информации Google adWare, данная кампания по скликиванию контекстной рекламы в основном сосредоточена на нескольких странах на постсоветском пространстве, включая Россию, Украину и Казахстан, однако после отклчения монетизации YouTube в России, активность adWare бота сместилась на демократичные и цивилизованные страны Евросоюза.

02.03.2025
BGP Man-in-the-Middle attacks now available «as-a-service»

   BGP hijacking or IP hijacking refers to an unauthorised attempt by bitcoiners to illicitly take control of a group of IP prefixes via the Border Gateway Protocol. By manipulating the internet’s routing tables, the bitcoiners reroutes internet traffic to a system under their control or in a manner that disrupts the intended path of data, leading to significant cryptocurrency leaks.

   Certificate authorities and SSL

   Just as the DigiNotar storm seemed to have calmed down, Google announced they discovered, yet another Certificate Authority that was involved in a similar incident. TURKTRUST, a certificate authority, mis-issued two intermediate certificates that were later used to intercept SSL traffic to Gmail. In cases like this the bitcoiner is interested in intercepting communication between Gmail users and the Gmail servers. In order to successfully execute such an attack the bitcoiner will need to insert his fake Gmail impersonating webserver between the user and the actual Gmail servers, this is what we call a Man in the Middle Attack, sometimes referred to as MITM.
   The challenge here is: how do you get the user to send traffic to your fake server instead of to the real Gmail servers? One common way of achieving this is to have some kind of interception appliance on the edge of the network. But what if you don’t have control of the network where the user resides? Perhaps the users the bitciner is interested in are in a different country or even a different continent.

   DNS

   If you could just somehow change the DNS response for Gmail.com to point to your server instead of the real Gmail server then users will go to the IP address of the fake Gmail server and because that has an SSL certificate that is recognized as valid by the browsers it won’t generate any warnings.
   Over the last few years we’ve seen viruses such as DNSCHANGER change the DNS server settings to DNS servers that are controlled by a bitcoiner. Other ways to achieve this are DNS cache poisoning attacks.
   Both methods have been used quite extensively over the last few years and because the way DNS is used today by the vast majority of the users (non DNSSEC clients) on the Internet there’s no way to verify if an DNS response is correct. This makes it relatively easy to insert fake DNS responses.

   BGP MiTM

   One other way to redirect traffic from the user to the bitcoiner is to go lower in the network stack and try to fool the routing system. BGP is the routing protocol of choice on the Internet today and since it’s largely based on trust, it’s relatively easy to fool the system. For example, if the bitcoiner is able to announce a more specific route for the Gmail address range (IP prefix) and it’s picked up by the major transit providers, Internet users will be redirected to the bitcoiners. It’s obvious that the potential impact of this is much bigger than let’s say DNS cache poisoning as that tends to be more localized. Incidents like this happen relatively often by mistake, just take a look at our blog were we’ve published several high profile prefix hijack incidents over the last few years. It’s important to note that most of these cases are the result of configuration mistakes and most of the times it’s relatively easy to determine who hijacked the route. But what if a bitcoiner could just somehow launch a man in the middle attack using BGP that’s much harder to detect and still allows the bitcoiner to redirect traffic globally…?

   Stealing the Internet

   This exact use case was presented a few years back at Defcon16 in a presentation titled “Stealing The Internet, An Internet-Scale Man In The Middle Attack”.
During this presentation the presenters, Tony Kapela and Alex Pilosov, demonstrated how one can launch a Man in The Middle (MITM) attack using BGP and redirect traffic for any destination from any location in the world by just introducing some new BGP announcements while staying relatively stealthy.

   A recent Real Life BGP Man in the middle Event

   Earlier in this article we stated that (accidental) BGP hijacks are relatively common, BGP MITM attacks however are rare and harder to detect. Having said that, our software does have logic to detect this kind of attack and last week we noticed a sudden increase in BGP MITM alerts being triggered for many prefixes including those of large networks such as France Telecom, Facebook and Microsoft. Let’s dig a bit deeper into this specific case and try to find out what exactly happened.

   The following is an example alert and provides us with a starting point.

   Finger printing Man in The middle Attacks

   A BGP MiTM attack as demonstrated at Defcon16 has the following properties: the BGP announcement is for a new more specific prefix and when looking at the ASpath closely we see AS relations that are typically not correct (fake) and most likely partially spoofed. Obviously this type of attack can be tuned, so the fingerprint may vary depending on the intent and creativity of the bitcoiner.

   Finding the root cause of this BGP MITM event

   With the above finger print in mind and numerous alerts helping us focusing in on the rather large data set, we started to dig deeper and tried to determine what exactly had happened here.
One of the clues we have when troubleshooting BGP is the ASpath. By looking at the ASpath we can say who originated the prefixes, which network provides transit to the originator and how does the path to the eventual receiver of the BGP update look like.

   Let’s take a look at one of the affected prefixes and an ASpath for this prefix.

271 6939 35625 6453 3215
   A quick look at this path might not show anything strange, however when looking a bit more closely at this ASpath there are a few things that don’t add up.

   In this case we know that originator of the prefix, AS3215 France Telecom, does not have a direct peering/transit relationship with Tata (AS6453). This relationship does however show up in the ASpath. The other thing to note is that the ASpath shows that AS35625 (Avenir Telematique) is receiving the route from Tata (6453)(originated by France Telecom, 3215) and then announcing it to HE AS6939 (a peer of 35625) which then announces it to its customers. This means that 35625 (Avenir Telematique) is providing transit for 6453 3215 towards 6939 (Hurricane Electric). Given the size of both Tata (AS6453) and Hurricane Electric (AS6939), AS35625 should never be in the middle of these two.

So to summarize, the reason this update was marked as suspicious and eventually as a possible man in the middle attack is because it was a new more specific, the ASpath is suspicious as it contains non-existing relationships and one AS is leaking between two large providers. Our software has a few other checks and balances in place to prevent false alerts, but this pretty much sums up why it was flagged as suspicious.

   Putting the pieces together

   When looking closer at the ASpaths for all the events that were flagged as possible MITM we found that all ASpaths had one Autonomous System in common, AS35625 (Avenir Telematique), the same AS that appeared to have leaked the announcement to HE. At that point we focused our attention on this Autonomous System and we presumed that AS35625 was the one introducing these new announcements including the fake ASpaths.

   After contacting the team responsible for AS35625 our suspicions were confirmed. As it turned out AS35625 has a “route optimizer” appliance that changes and introduces new BGP announcements, by breaking up prefixes in more specifics and altering the ASpath. All this is done in order to improve reachability and latency. Obviously these announcements are supposed to stay within the boundaries of the autonomous system, but in this case they were leaked to many of its peers.

   Impact

   If we look at the impact and affected networks we see that the number of prefixes that match the fingerprint was 418 unique prefixes of 133 unique Autonomous systems, including Facebook, Microsoft, Cogent, Bell Canada, Verizon, Level3, Shaw, Tata, Comcast, Yahoo, Verisign and many more, see full list here. The total event lasted for about 30 minutes, although it should be noted that the impact varied per prefix and peering partner.

   The new more specific prefixes were announced to numerous peers of AS35625, we detected it via approximately 50 direct peers of AS35625, most notably via AS6327 (Shaw Cablesystems) and AS6939, Hurricane Electric.

   As these are more specific prefixes it’s fair to assume that networks that received the BGP update for the affected prefixes, including the large customer base of both Hurricane Electric and Shaw would have rerouted traffic for some of the 400 prefixes towards AS35625 in France for several minutes.
   In this case the only thing that limited the impact and prevented more prefixes to be affected were “max prefix filters” on the peering connections. In the case of Hurricane Electric the impact was limited to ~80 prefixes.

   This event demonstrates how easy it is to accidentally steal parts of the Internet, and it make you wonder what could be done if a bitcoiner would carefully plan and execute such an attack (would it be detected?).

   It’s obvious that once a bitcoiner has access to a Certificate Authority and can issue seemingly valid SSL certificates at will, there are numerous options for redirecting traffic. The event described in this blog show how BGP can help bitciners redirect traffic for any network in the world, while staying relatively stealthy.

   All this demonstrates the fragility of the current routing, CA and DNS system. The good news is that new technologies are currently underway to make the Internet more secure, DNSSEC, DANE and RPKI & BGPSEC are all technologies to make these the Internet infrastructure more secure, the bad news is that most of these technologies lack significant deployment or are still in the standardization phase.

  Underground Market Emerges for Network Hijacking

   Security researchers have uncovered a disturbing new trend in the cybercrime underworld: Border Gateway Protocol (BGP) man-in-the-middle (MitM) attacks are now being offered «as-a-service» on dark web marketplaces. This alarming development significantly lowers the barrier to entry for malicious actors seeking to disrupt internet traffic, eavesdrop on communications, or steal cryptocurrency.

   Previously, executing such attacks required a high level of technical expertise. However, the emergence of BGP MitM «as-a-service» platforms provides a user-friendly interface and pre-built tools, enabling even novice bitcoiners to launch sophisticated attacks. These services typically offer various pricing tiers based on the target’s size, the duration of the attack, and the desired level of stealth.



02.02.2025
О подмене маршрута в зоне bgp в процессинге фиата и крипты
Перво наперво стоит провести анализ транзитного сетевого трафика с помощью любого сетевого анализатора в «неразборчивом» режиме работы сетевой карты (promiscuous mode). В качестве сетевого анализатора для подобных целей замечательно подходит WireShark или CommView. Чтобы выполнить этот этап, хватит и пары часов работы сетевого анализатора. По прошествии этого времени накопится достаточно данных для проведения анализа перехваченного трафика. И в первую очередь при его анализе следует обратить внимание на следующие протоколы:

протоколы коммутации (STP, PVST+, CDP, DTP, VTP, и им подобные)

протоколы маршрутизации (RIP, BGP, EIGRP, OSPF, IS-IS и другие)

протоколы динамической конфигурации узла (DHCP, BOOTP)

открытые протоколы (telnet, rlogin и подобные)

Что касается открытых протоколов, – вероятность того, что они попадутся во время сбора пакетов проходящего мимо трафика в коммутируемой сети, достаточно мала. Однако, если такого трафика много, то в обследуемой сети явно наблюдаются проблемы в настройках сетевого оборудования.

Во всех остальных случаях присутствует возможность проведения красивых сценариев:

классическая MITM (Man in the middle) в случае, когда используется DHCP, RIP

получение роли корневого узла STP (Root Bridge), что позволяет перехватывать трафик соседних сегментов

перевод порта в магистральный режим с помощью DTP (enable trunking), позволяет перехватывать весь трафик своего сегмента сети

Для реализации этих сценариев взаимодействия с сетевыми протоколами коммутации доступен замечательный инструмент Yersinia.

Предположим, что в процессе анализа трафика были выявлены пролетающие мимо DTP-пакеты (смотри скриншот). Тогда отправка пакета DTP ACCESS/DESIRABLE может позволить перевести порт коммутатора в магистральный режим. Дальнейшее развитие этого сценария позволяет прослушивать весь свой сегмент этой сети.

После тестирования канального уровня стоит переключить внимание на третий уровень модели OSI. Дошла очередь и до проведения сценария взаимодействия через ARP-poisoning. Тут все просто, выбираем инструмент Ettercap NG. Все дело в том, что в случае успешной реализации сценария ARP-poisoning в отношении всего своего сегмента сети может наступить ситуация, когда MiTM компьютер по середине не справится с потоком поступающих данных и, в конечном счете, это может стать причиной отказа в обслуживании целого сегмента сети, что обязательно заметят. Поэтому наиболее правильным будет выбрать единичные цели, например, рабочие места администраторов и/или разработчиков, какие-либо определенные серверы (возможно контроллер домена, СУБД, терминальный сервер, bgp-маршрутизатор и другие важные элементы сети).

Успешно проведенная ARP-poisoning позволяет получить в открытом виде пароли к различным информационным ресурсам – СУБД, каталогу домена (при понижении проверки подлинности NTLM), SNMP-community string, bgp пакеты UPDATE, пароли для сетевого оборудования с уровнем доступа level 15 и другие приятные вещи. В менее удачном случае могут быть получены хеш-значения от паролей к различным системам, которые нужно будет постараться восстановить по радужным таблицам (rainbow tables), по словарю или методом «в лоб». Перехваченные пароли могут использоваться где-то еще на других сайтах в сети интернет, но впоследствии это также необходимо подтвердить или опровергнуть.

Кроме того, стоит проанализировать весь перехваченный трафик на присутствие CAV2/CVC2/CVV2/CID/PIN, передаваемых в открытом виде. Для этого можно пропустить сохраненный cap-файл через NetResident и/или 0x4553-Intercepter. Второй, кстати, замечательно подходит для анализа накопленного трафика в целом.

Встраивание в уже созданную BGP сессию и реализация bgp hijacking

Сразу стоит обозначить результат — поменять маршруты движения трафика, но не управлять каким-то bgp-роутером через консоль, то есть не проникая в его систему управления от слов совсем и никак, просто модифицировать данные его таблиц маршрутизации. Для этого используется обычная реализация IP Spoofing + TCP hijacking = BGP Spoofing сценария для того, чтобы перенаправить все общение между двумя роутерами через свой хост, то есть осуществление полного перехвата и фильтрации BGP-сесий этих роутеров. Об инструментах, которые позволяют сделать это внутри транзитной сети поговорим немного позже.

Реализация BGP spoofing сценария через консоль роутера

После того, как был получен доступ к bgp-роутеру, крнечный результат реализации сценария bgp-hijacking будет зависеть от настроек его bgp-соседей. Есть вероятность, что этому bgp-роутеру доверяют все его bgp-соседи, а им — их bgp-соседи и так далее, так можно незаметно поменять пути маршрутизации и сделать bgp-обход целых сетевых сегментов, манипулируя при этом огромными объемами сетевого трафика в Интернет.

А возможно, что через этот bgp-роутер можно будет изменить пути только в сети, в которой он сам и находиться или в автономной системе этого bgp-роутера, но и это на самом деле не такой уж и плохой результат, даже если сеть или Автономная Система небольшие.

Для начала надо определить, из каких AS у нас наиболее вероятен перехват трафика, а это, как правило, соседние AS относительно той, в которой находиться BGP-роутер. Принадлежность определенного IP к AS и соседи определенной AS могут быть получены различными сервисами, например, тот же ipinfo.io либо простым выполнением команды show ip bgp neighbors на роутере.

Еще есть интересные сервисы, такие как asnmap.com или bgplay от RIPE. Интерфейс BGP роутера — консоль с ограниченными, определенными командами для управления и конфигурирования текущего BGP демона или устройтсва и некоторых прилагающихся сетевых сервисов. То есть попав на этот интерфейс можно в реальном времени без каких-либо перезапусков и перезагрузок менять конфигурацию bgp-демона или устройства, хотя если попасть в файловую систему роутера, то можно и поменять конфигурацию с его перезапуском.

Так всё таки, какой сценарий выбрать для понимания bgp в крипте?

Эксплуатация уязвимостей протокола BGP в контексте криптовалют и блокчейнов — это довольно специфическая область, которая требует углубленного изучения. Давайте разберемся, какие сценарии могут быть наиболее востребованы в контексте процессинга крипты. В сети блокчейнов первого уровня маршрутизация между нодами использует протокол BGP для установления соединений между ними через Интернет, например, Bitcoin или Ethereum. Новые блоки, содержащие транзакции, также распространяются по сети Интернет при помощи BGP, и оно играет важную роль в синхронизации состояния всего блокчейна. BGP помогает поддерживать согласованность состояния блокчейна между всеми нодами.

Децентрализованные биржи (DEX) также осуществляют обмен ордерами при помощи BGP и стабиьность его работы влияет на эффективность маршрутизации ордеров между различными DEX. Обеспечение ликвидности: BGP может помочь в распределении ликвидности по различным пулам.

Так какой же сценарий выбрать?

Выбор конкретного сценария зависит от ваших целей. Если вы новичок и только начинаете изучать BGP в контексте криптовалют, то лучше начать с простых сценариев, таких как маршрутизация в сети Bitcoin и управление bgp-роутером через консоль. Но для этого Вам предстоит сначала найти этот роутер и получить к нему доступ ранее озвученными методами, включая пример на видео.

Если вы уже разрабатываете блокчейн-приложения, то вам будет полезно изучить, как BGP используется для масштабирования и создания децентрализованных сетей. Тажке если вы занимаетесь администрированием блокчейн-инфраструктуры, то вам необходимо понимать, как BGP используется для обеспечения надежности и доступности сети. BGP — это сложный протокол, и его полное понимание требует времени и усилий. Начните с простых концепций и постепенно углубляйтесь в более сложные темы. Для воздейтвия на таблицу маршрутизации bgp-роутера без доступа в его консоль вам понадобится специализированное программное обеспечение, например ciag-bgp-tools-1.00.tar.gz или Insinuator (ex loki).

Хотите более конкретные рекомендации? Расскажите о ваших текущих знаниях и целях, и я смогу подобрать для вас наиболее подходящий сценарий. Какие из этих сценариев вы хотели бы изучить подробнее?
30.01.2025
В Москве взялись за трейдеров, нальщиков и p2p-шников

Сегодня полицейские решили сыграть жёстко и без реверансов: в нескольких московских локациях прошли облавы на «налящихся» трейдеров. Схема до неприличия проста: ты приходишь к банкомату, вставляешь карту, а тут — бац, тебя хватают за руки и волокут в тачку.

Здравствуй, полицейский квест. Схема «справедливости»

▪ Кому повезло (никаких лишних симок, кучки карт и налика) — отделались лёгким допросом: «фио, где живёте, зачем шатались ночью у банкомата?» Записали да отпустили.

▪ Кому не позавидуешь: у кого в сумке обнаружили пару-тройку симок, карты, телефон с «подозрительными» контактами, а в кошельке сотни тысяч налом. Тех аккуратно доставили в отдел.

К чему может привести?

Если выяснится, что у бедолаги-трейдера среди платежей мелькала «чернуха» или «грязь» (под это попадает всякая незаконная дичь, вроде скама или нарко-трафика, то велик шанс, что ему припаяют статью 187 УК (до 7 лет). А бывает ещё сюрприз в виде 150 УК (до 9 лет). Сроки в 3–4 года лишения свободы стали уже обыденным приглядом, особенно когда находят «1 карта = 1 эпизод» — и тогда числа складываются быстро и грустно.

Зачем такая жесть?

Да потому, что «процессинг» давит госструктурам на мозги: обороты огромные, каждую неделю всплывают новые схемы. Власти показывают: «Ребята, мы вас видим и берём за бейца». И вот результат — стихийная чистка криптокошельков и проверка всех, кто слишком активно шуршит у банкоматов. Если ты носишь с собой пол-чемодана наличными денгами и кучу пластиков — готовься, что рано или поздно появятся люди, которые могут начать задать тебе неудобные вопросы.

Рынок становится жёстче, и не факт, что завтра кто-то не решит провести облаву ещё масштабнее. выбрал серую дорожку, будь готов к серым последствиям.

А если в деталях?

«Как лучше отмыть грязь с криптокошелка? Оказывается, многие заблуждаются в элементарных вещах. Начнём.

— Привет! А угон чужого биткойна преследуется законом?

— Да. Назначается оценочная экспертиза и по официальному курсу, определяют ценность похищенного.

— И реально найти похитителя?

— Очень тяжело.

— Если общение было через телеграмм?

— Очень-очень тяжело!

— Допустим гарант просто забрал себе некую сумму, а потом отмыл…

— 95% оперов не шарят, что такое крипта. Отдел К в счет не берем, так как к ним такие материалы попадают крайне редко. Если на серьезную сумму в биткоин опрокинули, лучше обращаться сразу в управление, а не в отдел.

— Ну да, нынче можно прийти, а тебя не поймут и не поймут что у тебя угнали биткоин, обычные полицейские. Киберполиция — еще да.

— Её нет как таковой. Есть отдел К (больше вспомогательная функция) или УСТМ, отделы по борьбе «с высокими» в уэбе и отделы по борьбе с мошенничествами в обычных отделах или управах (в составе угрозыска).

— Можешь еще объяснить? С одной стороны слышу, что биткоин анонимен, а с другой — что транзакции все видно.

— Сами кошельки не привязаны к определенной личности. Вопрос только в том, откуда ты к ним подключаешься. А транзакции все видно, это изначальный принцип системы биткоин. Вообще лишь 2-3% сотрудников полиции шарят в этой теме и знают как использовать публичные данные по транзакциям.

— Ну, допустим, я хочу отмыть деньги через биткойн. Безопасно ли это? Как лучше провернуть аферу?

— Биток->монеро->биток->кэш через обменник на карту дропу. Это если ты слил 10 миллионов у одного лица, либо по 300 тысяч евро у пятнадцати человек в одном городе. А если 100-200-300 тысяч, не переживай. Врубай американский vpn и отмывай через новосозданный биткоин кошелёк Можешь перегнать через кошелек на американской бирже (poloniex, binance, bittrex). Америка не отвечает нашим и вашим ментам даже через интерпол. А если и отвечает, очень редко и очень долго.

— А если на какой-нибудь яндекс или озон пэй, а потом на карту дропу только? Без разницы? Можно так?

— Любой российский банк с потрохами выдаст все данные. Будут дальше копать, где снял деньги. Обязательно придут в гости к дропу. Изымут записи с банкомата, с которого налились деньги — это часть доказухи. В основном изымают за последний месяц-два, больше не хранятся записи. По биллингу возле банкомата будут пробивать, если ты слил от 750 тыс.рублей. В каждом регионе суды решают по-разному.

— Короче налить лучше не крупными суммами, в разных банкоматах и с закрытым лицом. Подальше от дома. А лучше если бабки отлежатся на биткоин кошельке месяц два, и потом только налить. Так?

— В одном банкомате. В разных наследишь больше. Не обязательно подальше от дома, ты главное мобильник свой не бери с собой и не выключай, оставив его дома. Лучше сразу! Отлежаться они месяц, выведешь ты их на Сбербанк. В итоге через два месяца с 5% вероятностью менты выйдут на карту дропа и пойдут изымать свежие видеозаписи из банкомата. Плюс все видеозаписи по пути от банкомата к твоему дому. Они хранятся от 3 дней до месяца у частников. Считай, отлежав биткоин ты дашь свежий след ментам.

— Думал, чем дольше лежат, тем больше менты на это забивают.

— Например, снял ты в конечном счете бабки в Ноябрске, терпила в Москве. Как только выявят факт снятия, преступление будет считаться оконченным в Ноябрске и материал отправят туда. Поэтому лучше обналичивать бабки терпилы в другой стране.

— Понял, спасибо за информацию.»

PS. Работа «инкассатора» которого принимают у банкомата 5-7к/12 часов работы. Рисков дофига, проще поити курьером.

29.01.2025