-[ 0x06 ]-------------------------------------------------------------------- -[ Ingenieria Social y Estafas ]--------------------------------------------- -[ by FiLTHyWiNTeR! ]------------------------------------------------SET-37-- ->-> -------------------------------- <-<- ->->-> INGENIERIA SOCIAL, Y ESTAFAS <-<-<- ->->->-> -------------------------------- <-<-<-<- -{ by FiLTHyWiNTeR! }- 1. Introduccion * ***************** Antes de iniciarnos en cualquier tecnica retorcida de hacking, tenemos que centrarnos en el principal fallo de cualquier PC. Por muchos antivirus y cortafuegos que nos encontremos, hay un "bug" supremo, por encima de todo eso, y es sin lugar a dudas la estupidez humana. Mi intencion no es mas que dar un repaso a la ingenieria social con fines maleficos, para obtener informacion sensible y poder aprovecharnos de esto. La informacion sensible no es mas que datos personales e "intrasferibles" de una persona que la identifica y que, lo mas interesante, permite comprar objetos de valor. Asi mismo adjuntare mis anecdotas a modo didactico, pues donde haya un buen ejemplo sobran explicaciones. Espero que disfruteis de la lectura, que nos preservara de muchos fraudes a traves de Internet y nos instruira basicamente en el mundo del phishing, las estafas y la obtencion de informacion sensible mediante la ingenieria social. Lo peor de todo esto es que vais a descubrir que la vida real, las relaciones entre las personas no es mas que ingenieria social, y veras las cosas de otro modo... 2. Ingenieria Social * ********************** El famoso phreaker Kevin Mitnick ya dijo cuatro principios basicos para la ingenieria social que tienen que hacernos pensar: 1# Todos queremos ayudar 2# El primer movimiento es siempre de confianza hacia el otro 3# No nos gusta decir No 4# A todos nos gusta que nos alaben No pudo tener mas razon. Siguiendo estos pequenyos principios o, al menos, entendiendolos desarrollaremos nuestra propia tecnica y la perfeccionaremos. Cada una tiene la suya, mi especialidad es hacerme pasar por un agente de Telefonica. Os voy a contar algo... Recuerdo de las primeras veces que practique ingenieria social en mi vida. Una tarde llame a un 900 y resulto ser el centro de atencion al menor, seguido de un contestador. Pulse * y accedi al contestador, que pedia clave de acceso. No valian tablas ni nada por el estilo, y pedia 4 digitos... mucho trabajo y mucho tiempo que no tengo. Era un maldito contestador de Telefonica de cualquier telefono. A la manyana siguiente, llame (porque el contestador salto por llamar en horario no laboral) y me lo cogio una senorita. La conversacion fluyo entre ella y yo de una manera muy amena (bueno, ahora Orange) . Yo era un tecnico de telefonica con un numero de extension (411) que le pregunto si tenian problemas con el contestador... Y acerte. Podia haberme equivocado, pero todo fue bien. Prefijando 067 y llamando por PBX, les aparecia como anonimo (o con el numero del PBX, no hay que fiarse nunca del 067). De una forma u otra, le pregunte disimuladamente la clave e indiscriminadamente me la dieron. Todo fue esta tarde diversion. El 900 a partir de las 16.00 se convirtio en una party para algunos phreakers que conoci en Internet y yo. Un par de dias despues, cambiaron las claves del contestador (logicamente). Hay algo importante que debemos tener en cuenta, especialmente cuando nos hacemos pasar por teleoperadores y intentemos obtener informacion mediante ingenieria social (en Espanya). Si nuestra victima es alguien de edad inferior a los 50 anyos, usaremos un tono sudamericano. Seguramente os habeis dado cuenta que cuando os ha llamado alguna teleoperadora de alguna companyia es sudamericana. Los "jovenes" estan mas acostumbrados a que les llamen y sabran que suelen ser sudamericanas. Si el sujeto es mayor de 50 anyos, usaremos un tono espanyolizado porque, aunque pueda resultar para alguien racista, confiaran mas en alguien con acento espanyol (ya se sabe que los mayores son mas propensos a ser un poco xenofobos). Esto lo digo para los espanyoles, no puedo decir en otros paises porque no se como va en otros. Es enganyar un arte? Claro que si, pero se aprende. Hay una forma buenisima de conseguir datos de personas por el telefono. El metodo de la encuesta es fantastico. Creamos una serie de preguntas, nos hacemos pasar por alguna compania y a preguntar! 3. Que tener en cuenta al llamar * ********************************** Hay que recordar unas pautas basicas a la hora de llamar. Cuando llamemos nos sentiremos mal (a no ser que tengas muy pocos escrupulos) y es logico que las primeras veces nos corte muchisimo. Hay que mentalizarnos. Al llamar nosotros para un fin tan maquiavelico debemos colocarnos, mentalmente (para ti mismo y para el) en una fria posicion, porque cuando llamamos nos sentimos atacantes y creemos que ellos son las pobres victimas. Hay que quitarse de la cabeza esta idea, porque nos afecta a la voz y a nuestro comportamiento, empezamos a titubear, nos ponemos nerviosos y nos acaban pillando (o acabamos colgando, que es lo mas tipico). Tenemos que meternos en el papel desde primera hora, llamar con un tono natural, ensayar como vamos a hablar. Conseguir un tono natural solo te costara unas cuantas llamadas en las que te cogeran y acabaras avergonzado de lo que estas haciendo, pero piensa friamente y recuerda que no saben quien eres. Hay que respetar una cosa bastante logica: si te han pillado en un sitio intentando sacar informacion no deberias volver a intentarlo en el mismo. Es una buenisima idea apuntar el nombre de quien te ha atendido (en el caso de que sean operadoras), pero ten muy en cuenta que hablan entre ellas porque son personas (no seria la primera vez que pasa, mas de una vez me ha pasado a mi que me digan "no me digas, que te de las claves del contestador verdad?" al fin y al cabo. Hay pautas de conducta tipicas de una teleoperadora que podemos usar para ganarnos la confianza con el cliente, preguntas del tipo "Con quien tengo el placer de hablar?" nos permite conocer el nombre de la persona con la que hablamos, ademas de indirectamente reconfortar a la victima por el valor connotativo ("placer", influimos a la victima a que se quede hablando con nosotros porque nos gusta hacerlo). Como veis, la psicologia influye mucho en esto, pero no es lo mas importante. Mas es la observacion de las rutinas de comportamiento de un teleoperador normal que andarnos con connotaciones. Tampoco podemos soltar esa frase en cualquier momento. Debemos escoger el momento adecuado, y eso no puedo decirtelo yo... ni nadie. Lo notaras. Si tenemos ganada la confianza de la victima, lo tenemos todo casi ganado. Solo habria que mantener la calma y pensar dos veces (y rapidamente, que es dificil) las cosas antes de decirlo. Si tenemos la simpatia, obviamente no nos diran que no. Otra cosa importante es recordar que la mejor forma de ponernos de "buenos" es que exista un "malo". Este malo imaginario lo inventaremos, obviamente, y lo presentaremos como una amenaza hacia nuestra victima. Pero no podemos decir que alguien ha entrado en su cuenta bancaria y ha comprado un yate, porque no nos saldria del todo bien. Lo que hay que decir es que llamamos para confirmar la compra de un yate, con lo que la victima se acojonara bastante. Este mismo ejemplo lo veremos mas adelante. Amigos, la practica es importantisima, pero no hay nada como documentarse un poco antes, llamar a companyias, a particulares... ver como se comportan y anotar patrones de comportamiento similares para adelantarnos a los actos de la victima. Esta ultima no esta pensando apenas lo que esta diciendo, mientras que nosotros lo tenemos perfectamente estudiado y hemos pensado de antemano lo que debemos hacer en cada caso. Un esquema de posibles respuestas es perfecto. este se elabora a base de practica: uno llama a un numero pidiendo un proposito y vemos la respuesta que nos dan las personas. Vamos apuntando mediante flechas, "lo conseguimos", "no lo conseguimos", "no lo sabe"... De esta forma luego buscamos respuestas, giros inesperados y frases interesantes para decir. En resumen, es buscar respuestas a preguntas inesperadas para transformarlas en preguntas esperadas ;). PRACTICA! Este es un esquema de ejemplo muy basico y tonto, mas que nada para que os hagais a la idea y podais confeccionar el vuestro propio: PEDIR CLAVE A) Da clave ---> EXITO B) No da clave b.1) No me fio de usted b.1.a) Es usted libre, puede pasarse por nuestras oficinas para facilitarnos la informacion. b.1.a.1) Da clave ---> EXITO b.1.a.2) No da clave ---> FRACASO b.1.b) Sufrira las consecuencias de no facilitarnos los datos pues el sistema sufrira graves errores a causa de ello. b.1.b.1) Da clave ---> EXITO b.1.b.2) No da clave ---> FRACASO b.2) "Deme telefono, yo me pondre en contacto con ustedes cuando este mi jefe / encuentre los datos" b.2.a) No podemos esperar a ello, le esperamos al telefono a que busque los datos. (no vale para jefe) b.1.b) No da clave ---> FRACASO 4. La encuesta * **************** Esta es la mejor forma de obtener informacion. Nos hacemos pasar por la compania X y decimos que estamos haciendo una encuesta. Como lo mas logico que nos digan es que no (como siempre hemos hecho todos, especialmente nuestras madres) decimos que sera remunerada (vamos, que sera pagada) con 5 euros por las molestias, y que solo durara unos minutos. Prepararemos un completo cuestionario preguntando todos los datos que necesitamos. No cometais la imbecilidad de preguntar numero de tarjeta de credito o cualquier informacion "supra-comprometida", porque creareis un gran clima de desconfianza. Es interesante preguntar las tipicas preguntas secretas del Messenger de forma disimulada. Asi si conocemos su Messenger y el nombre de su por ej. perro, podremos hacernos con el poder de sus cuentas. Ganaros a vuestra victima, "comedles el culo". Para empezar en el mundo de la ingenieria social telefonica es una fantastica forma de ensayar frente a una victima. La fea expresion que arriba he dicho puede ser todo lo ordinaria que os parezca, pero es la autentica base de la ingenieria social telefonica, y hay que tenerlo siempre en la cabeza. 5. El ejemplo de la compra no autorizada * ****************************************** Llamamos un dia cualquiera a cualquier hora. Hacemos lo de la encuesta y sacamos todos los posibles datos (no sospechosos) y los apuntamos. Llamamos al senyor por la manyana, desde un telefono seguro como por ejemplo llamando desde programas gratuitos de VOIP (mas adelante hablare en profundidad sobre este tema) mientras estamos conectados a una WiFi ajena, usando prefijos anonimizadores o PBX's (o en ultima instancia, una cabina o telefono ajeno). De repente somos empleados del banco XXXXXXX (previamente habemos preguntado que banco es el suyo en la encuesta) y llamamos educadamente al senyor diciendo que llamabamos para la confirmacion de la compra que ha realizado el "martes" (por decir algo). El senyor se exaltara diciendo que no ha hecho ninguna compra, y ustedes insistis diciendo que si, que aparecen sus datos por el importe de 299 euros. Total, deja que se extranye todo lo que quiera, y tu eventualmente le dices que si lo confirma o no. El dira que lo canceles, tu intenta entretenerle, necesitamos que este mas nervioso antes de pedirle los datos. Ponle pegas, que si el cobro ya se habia realizado, bla bla bla... Cuando este muy desesperado por que canceles la compra, entonces dile con tranquilidad que lo vas a hacer. Pon musiquita que se parezca a la de espera y cortala de repente. Di que espere, que estas comprobando datos, aporrea el teclado... Ahora viene la parte sensible, "Senyor NOSEKE, por motivos de seguridad usted nos tiene que facilitar sus datos ahora por telefono o pasarse por las oficinas en horario laboral. Porque cometemos esta estupidez de dar la opcion a que no nos de los datos? Porque si le obligamos a que nos de los datos por telefono le parecera raro. Aqui cabe la posibilidad de que nos diga que lo dira en la oficina, pero si no va (lo mas probable, todos somos demasiado vagos o estamos ocupados) nos dara mayor credibilidad. Puede que diga que se pasara por la oficina (poco probable) y es un riesgo que tenemos que correr. No os pongais nerviosos, y decidle que vale. Lo mas seguro es que, si os habeis ganado su confianza, os de los datos. Debemos pedirle todos los datos, nombre completo, numero, tipo de tarjeta, fecha de expedicion, los tres numeritos de atras, etc. Todo lo que podamos sacar, e incluso el DNI. Tras esto, tecleamos un poco y le decimos que la compra ha sido cancelada, que perdone por las molestias... Ya tenemos unos bonitos datos para hacer nuestras compras ;) Esto es solo un ejemplo de como hacerlo. Hay muchas formas que veremos a lo largo de este documento, y muchas mas que podras sacar por ti mismo. 6. Estafando: Como comprar * **************************** Si queremos comprar algo con estos datos, lo mejor es primeramente esperar algunos dias (e incluso semanas) para evitar sospechas de nosotros, por si acaso. Luego miramos en nuestro bonito/a pueblo o ciudad una casa medio abandonada. A ver, no que este mal, sino que no suela haber nadie. Con una impresora, papel de plastificar y habilidad en una tarde te haces un carnet imitando ser el senyor al que le robas. No te curres la foto, pon una foto tuya, con el DNI del senyor. Ponemos que lo recibiremos a dicha direccion y a ser posible compramos o conseguimos una tarjeta de prepago para recibir llamadas del repartidor cuando vayan a venir. Cuando nos llamen para advertirnos de la llegada del paquete, nos vestimos con ropas que nunca usemos, nos dejamos barba si no tenemos o nos la cortamos si la tenemos, nos ponemos un gorro, pero sin tener excesivas malas pintas. Llevamos con nosotros el DNI metido en la cartera, y deambulamos cerca de la casa. Cuando veas la furgoneta del repartidor, saca las llaves de tu casa y ponte como para abrir la puerta, pero simulas que te llega un mensaje al movil. El tio llega, tu le dices "­Ah, hola! Es para mi". Solo saca el DNI si te lo pide el menda. Hechas la firmita y punto. Esperas que el tio se vaya mientras miras el movil como contestando al mensaje aguantando las llaves con la otra mano. Ahora es cuando te toca coger el paquete y, cuando no haya rastro, huir y correr como en tu vida lo has hecho. Enhorabuena, has cometido una estafa. 7. Enganyando: Phishing * ************************* Hablemos del phishing. Phishing viene del ingles "fishing", es decir, "pesca". Vamos a pescar incautos para tener sus datos. Os voy a ensenyar como usar unas especies de "exploit" (si se les puede llamar asi) para captar incautos. Hay de muchos tipos, hay millones por Internet. Si lo que queremos son unos datos en especial, debemos crearnos nuestro propio exploit (mas adelante hablare de ello). Voy a hablar ahora de los prefabricados, que normalmente lo que hacen es emular un log-in en lo que parece ser la compania real, una entidad bancaria, el PayPal, Hotmail o Tuenti (de este ultimo yo fui su creador, del primer y por ahora (creo) unico exploit existente para Tuenti). Basta con conocer un poco a la victima. Como minimo, tiene Messenger, y si tiene Messenger tiene Live! Hotmail. Tambien puede tener Tuenti o un MyScrapbook... Os dejo unos links para bajar exploits prefabricados... Ahora os ensenyare como usarlos... PayPal: http://lix.in/-3e44a2 Paquete Su'ID: Tuenti: http://lix.in/-415220 Live! Hotmail: http://lix.in/-445f62 MyScrapbook: http://lix.in/-476ca4 Os voy a enseynar a usar los de la suite Su'ID, poco a poco os ensenyare como usarlos todos... Primero, nos proxieamos y enmascaramos, por si acaso. Nos creamos una cuenta en, por ejemplo. www.t35.com (no olvidad poneros un proxy) con un nombre no muy cantoso, como h0tmail, tuennti, o algo similar, depende del exploit que useis. Desde nuestro gestor FTP favorito, conectamos a ftp.t35.com, de usuario poneis tunombre.t35.com y de password ya sabes. Descomprimimos el paquete a usar y subimos los archivos. Vamos a algĀ£n sitio de redireccionamiento como www.dot.tk y nos creamos una cuenta de redireccion creible (www.tuenti.tk, www.livehotmail.tk...) y entonces lo redireccionamos a la index que hemos subido a t35.com. Llega el momento de currarselo un poco. Primeramente, nos creamos una cuenta (buscad el proveedor mas raro que veis, o si teneis un SMTP que os funcione, usadlo para enviarlo anonimamente) de correo y nos lo curramos. Le enviamos un mensaje haciendonos pasar por la companyia, o nos inventamos que hay una version nueva. Lo que puedes hacer es, por ejemplo si es de Tuenti, decir que sois los creadores y que habeis sacado la nueva version 2.0 de Tuenti y que podreis probarla haciendo click aqui (y enlazais a www.tuenti.tk). No olvideis firmar (tuenti.es) y enlazarlo a nuestro fake. Enviamos y... solo falta esperar. De vez en cuando, entramos a http://usuario.t35.com/robados.txt y ahi vereis los log-in y passes de quien haya picado. Es sencillo. Los demas funcionan parecido, solo que sirven para sacar datos mas comprometidos... Todos los de Su'ID funcionan asi. Mas adelante hablare del de PayPal, y sobre como crear vuestros propios exploits. 8. Sobre VoIP * *************** [Wikipedia] Voz sobre Protocolo de Internet, tambien llamado Voz sobre IP, VozIP, VoIP (por sus siglas en ingles), es un grupo de recursos que hacen posible que la senyal de voz viaje a traves de Internet empleando un protocolo IP (Internet Protocol). Esto significa que se envia la senyal de voz en forma digital en paquetes en lugar de enviarla (en forma digital o analogica) a traves de circuitos utilizables solo para telefonia como una companyia telefonica convencional o PSTN (acronimo de Public Switched Telephone Network, Red Telefonica Publica Conmutada). [/Wikipedia] Hay aplicaciones que nos seran muy utiles, como VoipBuster, VoipCheap y similares (que son todos clones de la misma companyia). Son de pago, por supuesto, pero nos permiten realizar 20 minutos de llamadas gratuitas a fijos de Espanya y de otros paises. Que pasa si creamos una cuenta nueva pasados esos 20 minutos? Pues otros 20 minutos de llamadas gratuitas (solo a fijos, recordad). El problema se presenta cuando al crear nuestra tercera o cuarta cuenta el programa nos da un error... Pero para eso no hay problema, un tal FreakBell creo un BAT que elimina los registros del sistema y permite seguir creando cuentas... En la nueva version el BAT de FreakBell parecia no funcionar muy bien, y Nu'PH! creo otro que hacia refresh a las IPs (routers con IP dinamica) y asi podias seguir creando cuentas ilimitadamente... Yo lo dejo todo aqui para que le hecheis un vistazo: VoipCheap + Freakbell BAT: http://www.megaupload.com/?d=92EROC61 BAT de Nu'PH! (sigue funcionando): http://www.megaupload.com/?d=2X1XODOA Que podemos hacer desde aqui? Llamar a fijos con casi total confidencialidad. Nuestra IP probablemente quede registrada en los servidores de VoIPCheap, pero para eso hay ip bouncing, proxys, etc. (o conectarnos a la wifi de un vecino para llamar, lo mas seguro :D). Seguro que algo de esto os suena. Un infinito abanico de posibilidades se abre ante ustedes. A usarlo con responsabilidad! *EOF*