Метка: процессинг

  • О подмене маршрута в зоне bgp в процессинге фиата и крипты

    О подмене маршрута в зоне bgp в процессинге фиата и крипты

    Перво наперво стоит провести анализ транзитного сетевого трафика с помощью любого сетевого анализатора в «неразборчивом» режиме работы сетевой карты (promiscuous mode). В качестве сетевого анализатора для подобных целей замечательно подходит WireShark или CommView. Чтобы выполнить этот этап, хватит и пары часов работы сетевого анализатора. По прошествии этого времени накопится достаточно данных для проведения анализа перехваченного трафика. И в первую очередь при его анализе следует обратить внимание на следующие протоколы:
    • протоколы коммутации (STP, PVST+, CDP, DTP, VTP, и им подобные)
    • протоколы маршрутизации (RIP, BGP, EIGRP, OSPF, IS-IS и другие)
    • протоколы динамической конфигурации узла (DHCP, BOOTP)
    • открытые протоколы (telnet, rlogin и подобные)
    Что касается открытых протоколов, – вероятность того, что они попадутся во время сбора пакетов проходящего мимо трафика в коммутируемой сети, достаточно мала. Однако, если такого трафика много, то в обследуемой сети явно наблюдаются проблемы в настройках сетевого оборудования.
    Во всех остальных случаях присутствует возможность проведения красивых сценариев:
    • классическая MITM (Man in the middle) в случае, когда используется DHCP, RIP
    • получение роли корневого узла STP (Root Bridge), что позволяет перехватывать трафик соседних сегментов
    • перевод порта в магистральный режим с помощью DTP (enable trunking), позволяет перехватывать весь трафик своего сегмента сети
    Для реализации этих сценариев взаимодействия с сетевыми протоколами коммутации доступен замечательный инструмент Yersinia.

    Предположим, что в процессе анализа трафика были выявлены пролетающие мимо DTP-пакеты (смотри скриншот). Тогда отправка пакета DTP ACCESS/DESIRABLE может позволить перевести порт коммутатора в магистральный режим. Дальнейшее развитие этого сценария позволяет прослушивать весь свой сегмент этой сети.

    использование Yersinia для реализации mitm сценария
    После тестирования канального уровня стоит переключить внимание на третий уровень модели OSI. Дошла очередь и до проведения сценария взаимодействия через ARP-poisoning. Тут все просто, выбираем инструмент Ettercap NG. Все дело в том, что в случае успешной реализации сценария ARP-poisoning в отношении всего своего сегмента сети может наступить ситуация, когда MiTM компьютер по середине не справится с потоком поступающих данных и, в конечном счете, это может стать причиной отказа в обслуживании целого сегмента сети, что обязательно заметят. Поэтому наиболее правильным будет выбрать единичные цели, например, рабочие места администраторов и/или разработчиков, какие-либо определенные серверы (возможно контроллер домена, СУБД, терминальный сервер, bgp-маршрутизатор и другие важные элементы сети).
    Успешно проведенная ARP-poisoning позволяет получить в открытом виде пароли к различным информационным ресурсам – СУБД, каталогу домена (при понижении проверки подлинности NTLM), SNMP-community string, bgp пакеты UPDATE, пароли для сетевого оборудования с уровнем доступа level 15 и другие приятные вещи. В менее удачном случае могут быть получены хеш-значения от паролей к различным системам, которые нужно будет постараться восстановить по радужным таблицам (rainbow tables), по словарю или методом «в лоб». Перехваченные пароли могут использоваться где-то еще на других сайтах в сети интернет, но впоследствии это также необходимо подтвердить или опровергнуть.
    Кроме того, стоит проанализировать весь перехваченный трафик на присутствие CAV2/CVC2/CVV2/CID/PIN, передаваемых в открытом виде. Для этого можно пропустить сохраненный cap-файл через NetResident и/или 0x4553-Intercepter. Второй, кстати, замечательно подходит для анализа накопленного трафика в целом.

    Встраивание в уже созданную BGP сессию и реализация bgp hijacking

    Сразу стоит обозначить результат — поменять маршруты движения трафика, но не управлять каким-то bgp-роутером через консоль, то есть не проникая в его систему управления от слов совсем и никак, просто модифицировать данные его таблиц маршрутизации. Для этого используется обычная реализация IP Spoofing + TCP hijacking = BGP Spoofing сценария для того, чтобы перенаправить все общение между двумя роутерами через свой хост, то есть осуществление полного перехвата и фильтрации BGP-сесий этих роутеров. Об инструментах, которые позволяют сделать это внутри транзитной сети поговорим немного позже.

    Реализация BGP spoofing сценария через консоль роутера

    После того, как был получен доступ к bgp-роутеру, крнечный результат реализации сценария bgp-hijacking будет зависеть от настроек его bgp-соседей. Есть вероятность, что этому bgp-роутеру доверяют все его bgp-соседи, а им — их bgp-соседи и так далее, так можно незаметно поменять пути маршрутизации и сделать bgp-обход целых сетевых сегментов, манипулируя при этом огромными объемами сетевого трафика в Интернет. 
    А возможно, что через этот bgp-роутер можно будет изменить пути только в сети, в которой он сам и находиться или в автономной системе этого bgp-роутера, но и это на самом деле не такой уж и плохой результат, даже если сеть или Автономная Система небольшие.

    Для начала надо определить, из каких AS у нас наиболее вероятен перехват трафика, а это, как правило, соседние AS относительно той, в которой находиться BGP-роутер. Принадлежность определенного IP к AS и соседи определенной AS могут быть получены различными сервисами, например, тот же ipinfo.io либо простым выполнением команды show ip bgp neighbors на роутере. 

    Еще есть интересные сервисы, такие как asnmap.com или bgplay от RIPE. Интерфейс BGP роутера — консоль с ограниченными, определенными командами для управления и конфигурирования текущего BGP демона или устройтсва и некоторых прилагающихся сетевых сервисов. То есть попав на этот интерфейс можно в реальном времени без каких-либо перезапусков и перезагрузок менять конфигурацию bgp-демона или устройства, хотя если попасть в файловую систему роутера, то можно и поменять конфигурацию с его перезапуском.

    Так всё таки, какой сценарий выбрать для понимания bgp в крипте?

    Эксплуатация уязвимостей протокола BGP в контексте криптовалют и блокчейнов — это довольно специфическая область, которая требует углубленного изучения. Давайте разберемся, какие сценарии могут быть наиболее востребованы в контексте процессинга крипты. В сети блокчейнов первого уровня маршрутизация между нодами использует протокол BGP для установления соединений между ними через Интернет, например, Bitcoin или Ethereum. Новые блоки, содержащие транзакции, также распространяются по сети Интернет при помощи BGP, и оно играет важную роль в синхронизации состояния всего блокчейна. BGP помогает поддерживать согласованность состояния блокчейна между всеми нодами. 
    Децентрализованные биржи (DEX) также осуществляют обмен ордерами при помощи BGP и стабиьность его работы влияет на эффективность маршрутизации ордеров между различными DEX. Обеспечение ликвидности: BGP может помочь в распределении ликвидности по различным пулам. 
    Так какой же сценарий выбрать?

    Выбор конкретного сценария зависит от ваших целей.  Если вы новичок и только начинаете изучать BGP в контексте криптовалют, то лучше начать с простых сценариев, таких как маршрутизация в сети Bitcoin и управление bgp-роутером через консоль. Но для этого Вам предстоит сначала найти этот роутер и получить к нему доступ ранее озвученными методами, включая пример на видео. 

    Если вы уже разрабатываете блокчейн-приложения, то вам будет полезно изучить, как BGP используется для масштабирования и создания децентрализованных сетей. Тажке если вы занимаетесь администрированием блокчейн-инфраструктуры, то вам необходимо понимать, как BGP используется для обеспечения надежности и доступности сети. BGP — это сложный протокол, и его полное понимание требует времени и усилий. Начните с простых концепций и постепенно углубляйтесь в более сложные темы. Для воздейтвия на таблицу маршрутизации bgp-роутера без доступа в его консоль вам понадобится специализированное программное обеспечение, например ciag-bgp-tools-1.00.tar.gz или Insinuator (ex loki).
    ARP сканирование с помощью loki

    Хотите более конкретные рекомендации? Расскажите о ваших текущих знаниях и целях, и я смогу подобрать для вас наиболее подходящий сценарий. Какие из этих сценариев вы хотели бы изучить подробнее?
  • Схемы дроповодов по организации процессинга в рублёвой зоне обнулят

    Схемы дроповодов по организации процессинга в рублёвой зоне обнулят

        Около 10 млн клиентов российских банков в этом году переводили деньги на карты дропов (подставных лиц, занимающихся выводом и обналичиванием похищенных денежных средств), как сообщили нам в Центробанке.

    Центральный Банк сведёт к минимуму активность дроповодов

        «Это, как правило, не преступники, а обычные люди (разводные дропы) — кто-то покупает ставку в онлайн-казино, кто-то — криптовалюту. Но цифра вовлеченности внушительная, а объемы операций составляют уже существенную долю теневой экономики нашей страны», — отмечает глава Службы финансового мониторинга и валютного контроля Центрального Банка России Богдан Шабля. Он уточнил, что речь не идет о счетах, к которым дроповоды получили доступ без согласия клиентов. 

        10 млн человек — это около 13% трудоспособных россиян (по подсчетам Росстата, в прошлом году к экономически активному населению относились 76,04 млн человек).

        У Централного Банка России есть полные данные почти о 700 000 дропах, рассказал Шабля. «Как правило, это молодой человек, до 23 лет. На такую категорию приходится примерно половина всех выявленных дропов. Обычно — из регионов, где ниже средний уровень доходов и карты для теневого процессинга обходятся дешевле», — отметил представитель Централного Банка РФ.

        Шабля также рассказал про существование крупных площадок дроповодов и теневых финансовых услуг, которые используют «сотни и тысячи карт дропов — физических лиц для проведения подозрительных или сомнителных операций». К таким площадкам, как правило, обращается нелегальный бизнес, который «не может открыть счёт в банке», — онлайн-казино, криптообменники, пиратские сайты и наркошопы , отметил представитель Центрального Банка. «Зачастую их  организаторы ведут свой бизнес в России из-за рубежа. И основной вопрос, который им важно решить, — это как принимать безналичные деньги от граждан России в рублях в счёт оплаты своих нелегальных услуг», — рассказал Шабля.

        Для выявления дропов Централный Банк использует «разные базы платежных данных», в основном — обезличенных, отметил представитель регулятора. По его словам, регулирующий орган постоянно совершенствует свои алгоритмы выявления карт, оформленных на дропов и переданных третим лицам для совершения сомнительных операций, а затем делится такими алгоритмами с коммерческими банками.

        Центральный Банк вместе с Росфинмониторингом и частными банками изучает возможность создания единой платформы для борьбы с дропами и дроповодами, отметили в Центральном Банке России. Регулятор рассчитывает, что такая платформа позволит централизованно передавать всем банкам данные о подозрительных и сомнительных операциях, совершенных клиентами банков, чтобы заблокировать активности таких клиентов.

        Банк России совместно с Росфинмониторингом также разрабатывает для коммерческих банков методические рекомендации, которые должны купировать риски использования теневым бизнесом нотариальных доверенностей на открытие счёта и проведение транзакций, рассказали нам в пресс-службе регулятора в октябре прошлого года. Тогда в Центральном Банке заявили, что в этом году были выявлены 500 000 дропов, порядка 6% из них открывают счета и проводят операции по ним с привлечением поверенных.

  • Нелегальный майнинг и причём тут контроль над Multihomed AS

    Нелегальный майнинг и причём тут контроль над Multihomed AS

        Денег нет, но вы держитесь! Думаю, что таких кейсов с каждым днём становится в этой стране будет всё больше и больше, если раньше легко можно было срубить бабла на комиссионных, продав лоху квартиру в ипотеку от застройщика, то теперь так уже заработать не получается от слова совсем. Поэтому проверенные лоховоды вынуждены переквалифицироваться в дроповодов и искать новые схемы заработка.

        Как войти в тему нелегального майнинга?

        Контролируя всю автономную систему, можно как угодно управлять потоками трафика, например, направлять их в чёрные дыры (black hole) или перенаправлять часть трафика через контролируемый маршрутизатор. Всё это затем можно использовать для захвата и изучения интересующего трафика, к которому ранее не было доступа, не говоря уже про всевозможные сценарии DDoS-атак или контроль майнинговых пулов, транзакций любого blockchain и переводы котпровалют.
    Автономными системами управляют не только инженеры электросвязи

    Одним из самых интересных вариантов видится как раз в перенаправлении трафика по другому маршруту. Выбросив один маршрутизатор из общего процесса маршрутизации, можно заставить остальные маршрутизаторы пересчитать свои таблицы маршрутизации и таким образом оперировать гораздо большим объёмом трафика, а в некоторых случаях получить уникальный и недоступный никаким другим способом трафик, содержащий важные сведения, криптовалютную, blockchain или банковскую информацию.

        Проще всего получить доступ в такую сеть можно используя Yersinia или Ettercap NG, предварительно послушав сеть при помощи WireShark и выбрав нужный вектор использования первого или второго софта.

        А оно мне надо?

        За посление десять лет всё поменялось кардинальным образом. Нет больше людей, кто динамит через панели со счетами и картами и мутит на карты своих дропов. Зато на операторов миксеров криптовалют открыта настоящая охота, казалось бы, что есть проще проведения платежей из фиата в крипту для владелцев онлайн-казино и электронных букмекеров? Проверенные дроповоды теперь изготавливают карты и счета именно для этих схем. А ещё есть арбитраж крипты, на нём тоже неплохо можно заработать, пока карта твоего дропа не улетит в блок со всем заработанным тобою выигрышем на этом очень волатильном рынке. К тому же продать криптовалюту с исползованием росийских банковских карт с каждым днём в этой стране становится всё сложнее.

        Так, одна россиянка недавно продала цифровые доллары usdt на криптобирже и попала в черный список Центробанка. Все кредитные организации заблокировали её счета и карты, а также ограничили доступ в свои банковские приложения. Со слов девушки, на платформе Bybit она нашла покупателя, которому отправила 1100 USDT в обмен на 100 тыс. руб. Деньги пришли на её счет от третьего лица, некой Анастасии. Через несколько дней сотрудники Т-Банка сообщили, что Анастасия просит вернуть деньги, так как отправила их по ошибке. А после отказа сразу пять банков сообщили пострадавшей, что ее счета заблокированы. Политика кредитных организаций в отношении платежей на карту от физлиц постоянно ужесточается. К данным операциям у банков повышенное внимание. Нередко случаются блокировки. Причина заключается в том, что в целом регулирование оборота цифровой валюты появилось у нас не так давно. В прошлом году это коснулось майнинга, сейчас использования во внешнеэкономических расчетах.
        Банки относятся достаточно настороженно к операциям по купле-продаже цифровых активов. Наиболее популярная механика таких сделок заключается в совершении так называемых сделок P2P через криптобиржи, которые выступают в них посредником. Существуют ещё и определенные схемы дроповодов, в частности, «треугольник», когда дроповод сообщает реквизиты, по которым нужно провести исполнение по сделке, а другой стороне — свои реквизиты. Это случаи, как в этой истории: средства за криптовалюту, которую продавала девушка, направили на третье лицо. И такие кейсы сейчас очень распространены.
        Для удаления из черного списка клиенту банка необходимо подать заявление в ЦБ России. По словам девушки, регулятор дважды ей отказал в этом, после чего она обратилась к юристам. На одной из консультаций ей посоветовали вернуть деньги третьей стороне, от которой пришла оплата за цифровые доллары. Пострадавшая перевела 100 тыс. руб., и через несколько дней банки разблокировали ей счета. При переводах, связанных с криптовалютой, риски будут существовать в любом случае. Если вы принимаете деньги от неизвестного лица на карту, и этот человек попадает по 115-ФЗ или по 161-ФЗ в чёрный список, то автоматически это происходит и с вами, и со всей сетью контактов, которая была с ним так или иначе связана. И не факт, что в банке, который принял эти деньги, вас разблокируют. Сейчас есть десятки сайтов, где по факту выставляется предложение от физического лица по продаже криптовалюты и собираются заявки от тех, кто хочет её купить.
        Нередко недобросовестные игроки такого рынка пользуются картами дропов. Они, как правило, работают до трех месяцев, и потом их блокируют. У комплаенса банка свои алгоритмы, которые совершенствуются каждый день. Если вы человека не знаете и пытаетесь что-то на что-то поменять, в случае, когда что-то пойдет не так, вы тоже рискуете попасть в чёрный список Центрального Банка. Напомню, что летом прошлого года россияне стали часто жаловаться на блокировки карт и счетов после 25 июля, когда вступили в силу поправки к 161-ФЗ. Они обязали банки возвращать клиентам все деньги, отправленные дропам, если получатель фигурирует в черном списке Центрального Банка России.

        В сухом остатке

        Иными словами окно возможностей легко зарабатывать в этой стране стремительно сужается. Кто не успел заработать хоть какие-то значимые суммы на продаже квартир от застройщика или на схемах арбитража криптовалют — тот опоздал. Те, кто занимаются обычным процессингом также регулярно попадают в чёрные списки Центрального Банка. Ничего не поделаешь, придётся осваивать новые технологии и заходить в тему нелегального майнинга без покупки ASIC аппаратов — такое тоже возможно с современном мире. Но об этом мы расскажем немного позднее.
  • Нелегальный майнинг криптовалют недавно активировали на площадке процессинга

    Нелегальный майнинг криптовалют недавно активировали на площадке процессинга

        Журнал Packet Storm на днях опубликовал подробное досье на владелцев форума Dark Money, которые занимаются открытой продажей услуг фильтрации трафика Интернет проверенным дроповодам. Эти ребята попали в поле зрения публики две недели назад после победы на одном из последних конкурсов Pwn2Own, когда показали, как можно перенаправить в свою сеть и профильтровать, а при необходимости и протроянить или модифицировать, лбой транззитный трафик любой криптобиржи или криптовалютного моста, и отказалась передавать какую-либо информацию об использованной уязвимости сетевой инфраструктуры, чтобы «сохранить это для своих клиентов».
    фильтрация транзитных потоков Ростелеком

        То есть ребята добровольно отказались от награды в $100,000.00 которую предлагали им организаторы конкурса. Один из владелцев форума Dark Money сказал в интервью Packet Storm, что не передал бы информацию ни в какой криптовалютный фонд или банк даже за миллион долларов, потому что в этом случае холдер при взаимодействии с провайдером немедленно закроет уязвимость в магистральной сети передачи данных.

        Как выяснилось, клиенты Dark Money оплачивают годовую подписку стоимостью 100,000.00 долларов только за то, чтобы быть получать статистику прохождения трафика с интересующих их узлов, получаемую специално обученными лицами по заказу Dark Money. В случае необходимости, клиенты могут за дополнительные деньги купить право на пропуск и/или модификацию этого трафика через свою сеть.


        Это очень ценный товар, позволяющий осуществлять нелегальный майнинг криптовалюты, соверешние теневых транзакций в блокчейне и так далее. Владелцы Dark Money тщательно выбирает клиентов и якобы не продают эксплойты диктаторским режимам или в Россию, а преимущественно спецслужбам и силовым структурам стран NATO. Например, одними из их клиентов является немецкая полиция и Служба Беспеки Украины. В арсенале Dark Money есть эксклюзивные проекты по отслеживанию трафика в сетях таких крупных провайдеров как Level3, AT&T, Укртелеком, Google, Skype, Facebook, Ростелеком, Евротранстелеком, EDPNET, Яндекс и в других транзитных и тупиковых сетях передачи данных. Один из владелцев площадки рассказал, что продажа услуг досупа к трафику сродни продаже оружия. Хотя вы тщательно выбираете покупателей среди «хороших» парней, но нельзя гарантировать, что трафик не будет профильтрован где-нибудь в диктаторской стране для слежки за представителями политической оппозиции вместо работы проверенных дроповодов с криптой и своими дропами.

        Аналитическая компания KPMG присудила Dark Money первое место в конкурсе прошлого года Entrepreneurial Company of the Year, то есть их назвали самым перспективным бизнесом этого года. Действительно, если учитывать постоянно растущий спрос на целевой трафик, компания может зарабатывать большие деньги, как крупнейший в мире поставщик услуг фильтрации трафика транзитных операторов. Dark Money сами никогда не покупают трафик у независимых людей на фрилансе, а нанимает инженеров электросвязи телекоммуникационных компаний на работу по совместительству, получая миллионы долларов от своих дроповодов. При этом дроповод даже не рассчитывает на эксклюзив, а площадка Dark Money имеет право перепродавать трафик конкурента противоборствующим сторонам, классическим способом обогащаясь на «гонке вооружений».

        Проблема в том, что после продажи схемы перехвата или модификации целевого транзитного трафика площадка Dark Money не может контролировать, с какой целью дроповод использует это «оружие». Возможно, эти действия влекут нарушения прав человека, и вовсе не являются целью получения криптовалюты дроповодами. Проблема аналогична той, с которой столкнулся американский производитель оборудования Cisco Systems, который продал крупную партию своих изделий правительству Китайской Народной Республики, а потом это оборудование стало использоваться правительством для слежки за политическими оппонентами.

        Dark Money — не единственный брокер услуг фильтрации и модификации транзитного трафика на мировом рынке. Кроме него, покупкой услуг фильтрации транзитного трафика у независимых людей на фрилансе с целью перепродажи занимаются некоторые другие компании и частные лица, но они это делают максимально скрытно в обстановке абсолютной секретности. Площадка Dark Money отличается тем, что ведёт бизнес с размахом и не отказывается от такого пиара, как участие в международных конкурсах. Сами они называют это «прозрачностью», но независимые эксперты подбирают другие эпитеты: наглость или бесстыдство, со слов Пола Хиншоу.

        Например, Steven Sutherland, фрилансер родом из штата Юта, США, который живёт сейчас на острове Пхукет и работает как независимый брокер услуг фильтрации транзитного трафика, использует свои старые связи и выступает как посредник, покупая доступы и схемы маршрутизации трафика у инженеров телекоммуникационных компаний и продавая его государственным агентствам. Steven берёт комиссию 15% и уверяет, что только в декабре продал трафика более чем на 1,000,000.00 долларов — мол, в конце года бюджетные организации особенно щедры.