Archives de catégorie : blackhat

Un générateur de fausses identités

Publié le par
Répondre

Pas question ici de fullz mais tout simplement de fausses identités générées aléatoirement à  partir d’une combinaison d’informations tout ce qu’il y a de plus courant.

Vous obtenez un prénom, un nom, une adresse, le sexe, un email, un numéro de téléphone, un numéro de sécurité sociale ainsi que, ô surprise, un numéro de carte bleue. Bien entendu tout est faux.

Ces jeux de données peuvent être utilisées pour des tests sur des sites de e-commerce ou comme dans mon cas, dans le cadre de la cybersécurité.

Télécharger 500 fausses identités

Les sites marchands sous Tor et I2P

Publié le par
Répondre

Pour faire suite à  mon article du mois dernier, concernant les boutiques et autres places de marché que l’on trouve sur la face cachée du net, voici une impressionnante collection de sites marchands « cachés ».  On y trouve des sites fonctionnant sur invitation seulement, par parrainage mais aussi ce que l’on appelle  site de confiance, c’est à  dire qu’ils existent depuis suffisamment longtemps pour s’être forgé une  réputation d’honnêté.

Vous noterez que le terme honnête dans ce type de business est particulièrement savoureux :-)

Dernière catégorie: les sites multisig. Ce procédé consiste à  utiliser une adresse de paiement composée  de plusieurs clés privées. Envoyer une somme depuis une telle adresse nécessite la signature de plusieurs  de ces clés privées. L’objectif de ce procédé est d’augmenter considérablement la difficulté de voler  de la crypto-monnaie. Si vous disposez les clés sur différentes machines, il faut alors compromettre toutes  ces machines pour pouvoir tenter de voler l’argent, et là , ça devient particulièrement compliqué.

Pour la liste des sites, c’est ici.

Darknet et places de marché

Publié le par
2

Sur tout bon Darknet qui se respecte, on trouve outre certaines horreurs pornographiques, quelques places de marchés où l’on peut se procurer tout ce qui est normalement formellement interdit par la réglementation qui sévit existe dans votre pays. Bien certainement, vous avez tous entendu parler de Silk Road de sa fermeture par le FBI, de son principal concurrent, l’obscur Atlantis et aussi du successeur du premier au nom particulièrement original de Silk Road 2, et qui a récemment été délaissé par un hacker de 2,6 millions de dollars en Bitcoins.

La chose intéressante derrière tout cela est que bien évidemment, il existe une forte demande pour ce genre de marché. Et qui dit demande implique que certains s’y penchent et commencent à  proposer leur service. C’est ainsi que l’on a vu le développement d’outils open-source spécialisés dans ce genre de « business ». BitWasp est une application qui va dans ce sens et dont les auteurs ne cachent absolument pas leur intention : aider au développement de places de marché complètement anonymes tout comme l’était SR ou Atlantis, le tout articulé bien évidemment autour de Darknet comme Tor ou I2P et de crypto-monnaies tels que Bitcoin ou Anoncoin.

Le but de ce projet est le suivant : réduire les compétences techniques nécessaires à  la mise en place d’un site web comme SilkRoad, ce qui permettra l’extension de ce type de site sur tout l’Internet, entrainant immanquablement des débats sur la dépénalisation de la vente de stupéfiants.

Tout comme les logiciels open-source ont révolutionné la capacité des individus à  s’exprimer plus librement au sein de leurs propres tribus communautés, Bitwasp va certainement entrainer les mêmes conséquences, à  savoir une plus grande marchandisation des objets ou des services propres à  un groupe.

Ce qui m’amène à  la réflexion suivante : les marchés noirs offsite, ceux de la rue, sont toujours par définition opaques et plus ou moins difficile d’accès: se procurer de la drogue, des armes ou des faux papiers n’est pas à  la portée de tout le monde, il faut connaitre des personnes, des intermédiaires et bien souvent prendre des risques. Si maintenant, on déplace les marchés noirs offsite vers Internet, il est clair que l’achat de   « biens ou de services » que l’on peut y trouver sera facilité et peut même à  terme mettre en danger les marchés noirs offsite. Que vaut-il mieux faire maintenant pour se procurer de la « weed » : faire une descente à  la cité du coin et aller payer le dealer qui sévit là  ou commander directement par Internet, de manière complètement anonyme avec une monnaie anonyme et acheter à  un anonyme ?

De la même manière que le peer-2-peer a révolutionné le monde de la musique, il n’est pas improbable qu’un logiciel comme BitWasp va révolutionner le monde du business illicite.

 

Botnet, VPN et faux chèques

Publié le par
1

Vous vous rappelez sans doute de l’histoire de notre ami Jo, l’escroc qui se faisait passer pour une fille pour mieux escroquer ses victimes en leur faisant encaisser des faux chèques. C’était il y a quelques mois, et désormais les petites combines de Jo sont devenues d’amusantes petites farces par rapport à  l’arnaque que je vais vous décrire.

Aujourd’hui, les syndicats du cybercrime sont capables de prouesses technologiques dans le but de voler toujours plus d’argent, et la beauté de la chose, c’est que pratiquement toute l’escroquerie est automatisée !

Voici concrètement les principales caractéristiques de cette arnaque:

– L’utilisation inédite de VPN sur des opérations liées au botnet Zeus.
– Un système entièrement automatisé capable de piloter un nombre impressionnant de services en ligne, tels que l’archivage de chèques bancaires, la vérification de ces chèques, les sites d’offres d’emploi et certains Webmails.
– Le recrutement automatique de mules pour l’encaissement des chèques et le virement bancaire.
– Le détournement de certains systèmes anti-fraude pour faciliter l’arnaque.
– Fraude à  la carte de crédit pour utiliser des services de livraison postale.

Utiliser un tunnel VPN pour dissimuler les opérations.

Le VPN (Virtual Private Network) permet de faire passer des données d’un réseau privé au travers l’Internet. Pour un maximum de sécurité, les données sont cryptées. Concrètement, vous êtes en déplacement et vous avez besoin d’accéder aux ressources privées de votre entreprise (Fichiers, intranet, imprimantes, etc.) Le VPN « creuse » un tunnel privé et sécurisé jusqu’à  un serveur qui vous authentifie et redistribue ces données vers votre poste: vous faites désormais partie intégrante du réseau privé de votre entreprise, même si physiquement vous êtes à  des milliers de kilomètres de votre lieu de travail.

L’arnaque utilise ce dispositif pour piloter les machines Zombie, préalablement intégrées au botnet Zeus. Windows dispose en standard d’un client VPN s’appuyant sur le protocole PPTP. Le Zombie se connecte au moyen de cette technologie à  un serveur C&C (Command and Control) qui peut lui envoyer ses ordres en toute discrétion. Le système va alors s’installer sur un port TCP aléatoire et se transformer en proxy Socks.

La technique est beaucoup plus évoluée par rapport à  ce qui se fait habituellement, notamment sur le Botnet Storm et son système de pilotage à  base de P2P. Ici le flux de commandes est encrypté et encapsulé dans un protocole très courant et largement répandu, ce qui rend sa détection quasi impossible: une signature VPN est généralement anodine et ignorée par un IPS/IDS ou même un anti-spyware. Mais la grande force de la méthode est qu’elle permet de contourner n’importe quel firewall et aussi de résoudre la problématique du NAT (translation d’adresses IP) qui masque la machine sur Internet.

Des Zombies qui travaillent à  différentes taches.

A partir du moment où un groupe de cyber-criminels prend le contrôle de plusieurs milliers de machines, il lui est facile d’organiser des opérations à  un niveau industriel. Les Zombies sont capables d’effectuer automatiquement les tâches suivantes:

– Scraper des sites d’emploi pour y récupérer des adresses email.
– Lancer des campagnes de spams via Webmail (Yahoo, Gmail, etc.) afin de recruter de nouvelles mules.
– Créer automatiquement de nouveaux comptes Webmail pour générer du spam, la création se faisant à  l’aide d’un service de décodage de Captcha.
– Utilisation des raccourcisseurs d’URL afin de camoufler les liens dans les spams.
– Piratage des images de chèques numérisés sur des sites de e-commerce.
– Achat automatique grâce à  des cartes de crédit volées, d’enveloppes pré-timbrées et pré-remplies pour l’expédition par voie postale des faux chèques.

Toutes ces opérations jouent un rôle crucial dans le but ultime des escrocs: sortir de l’argent de certains comptes bancaires via de faux chèques et virer l’argent ainsi obtenue dans un autre pays.

Le mécanisme de l’arnaque.

Si l’on décortique un peu plus en détail les activités des machines Zombies, on comprend mieux comment le groupe contrefait les chèques. Un processus automatique scrape les images des chèques sur certains sites de e-commerce qui archivent leurs chèques. Ironiquement, l’un de ces sites s’avère être un site spécialisé dans la lutte contre la fraude aux chèques.

Finalement, le groupe était capable de s’introduire dans d’autres systèmes sous-traitants la gestion des chèques en provenance d’autres sites commerciaux. Le système était capable d’aller chercher un très grand nombre de ces chèques numérisés; il avait alors les précieuses informations nécessaires à  l’élaboration des faux chèques: le numéro du chèque, le numéro de compte, le nom et l’adresse de la société ainsi que l’image de la signature des personnes autorisées à  signer les chèques: comptables, particuliers, etc.

Le groupe semblait utiliser un véritable programme d’édition de chèques que l’on peut acheter chez un revendeur spécialisé.

Mules ou pigeons voyageurs ?

Les mules constituent l’un des piliers de l’arnaque; il est donc nécessaire d’en recruter toujours plus. C’est grâce aux sites d’emploi que les escrocs peuvent trouver des mules. Vraisemblablement grâce à  des accès volés, ils accèdent aux adresses email de demandeurs d’emploi qu’ils n’ont plus qu’à  insérer dans leur base de données de spam. Ces mules sont ensuite contactées par un email pour leur proposer une offre alléchante: travailler pour une grande société financière à  la recherche de « talents » pouvant effectuer quelques opérations simples comme l’encaissement d’un chèque et un virement bancaire.

Voici un exemple de proposition:

A: [le nom du demandeur d’emploi]
De: Service des ressources humaines
Sujet: Proposition pour [le nom du demandeur d’emploi]

Cher [le nom du demandeur d’emploi]

Notre société – « La SA Méga Fiduciaire Internationale«  gère des prestations bancaires depuis plus de 10 ans. Pour faire face à  notre croissance exceptionnelle, nous sommes à  la recherche de personnes pouvant transférer de l’argent depuis les à‰tats-Unis vers l’étranger.

Le travail consiste en les opérations suivantes:
– Récupérer un chèque via un point de dépôt postal.
– Encaisser le chèque.
– Effectuer un virement bancaire vers des comptes que nous vous indiquerons.

Pour ce travail, il vous est demandé:
– Une adresse active.
– 1 à  2 heures de disponibilité par jour.
– Un compte bancaire suffisamment approvisionné.

Rémunération:

De $100 à  $500 par jour avec une garantie minimale de $3000 en à  peine quelques heures. Notre société prend en charge tous les frais.

Si cela vous intéresse, merci de bien vouloir vous inscrire sur notre site Web et d’y renseigner vos coordonnées.

Sincères salutations.
Le Directeur des Ressources Humaines
SA Méga Fiduciaire Internationale.

Le groupe a utilisé bon nombre de noms de société proches de sociétés financières complètement légitimes, afin de gagner la confiance des mules. Si le demandeur d’emploi répondait à  l’annonce, voici le genre de mail qu’il recevait:

Sujet: Première opération pour [le nom de la mule]. Veuillez suivre attentivement les instructions ci-jointes.
De: Paiement réussi
A: [le nom de la mule]

Cher [le nom de la mule]
Attention: veuillez répondre à  ce message au maximum 12 heures après sa réception.

Notre client vous a envoyé un chèque de $2740. Vous recevrez ce chèque par voie postale entre le 10 et le 12 juillet.

Vous pouvez voir en temps réel l’état d’avancement de l’expédition grâce à  son numéro de suivi: X3535XX

Une fois reçu, vous pouvez encaisser le chèque:
1) Auprès de la banque qui a émit le chèque.
2) Auprès d’un centre d’encaissement.
3) En déposant directement le chèque sur votre compte bancaire.

Plus vite vous enverrez l’argent par virement, et plus importante sera votre commission. Si vous envoyez l’argent dans les 24 heures, votre commission représentera 15% du montant du chèque. Dans le cas contraire, vous ne percevrez que 8% de la somme.

Dans les 24 heures:
Somme à  envoyer: 2204
Votre commission: 411
Frais: 125

Après 24 heures:
Somme à  envoyer: 2395
Votre commission: 220
Frais: 125

S’il y a d’autre frais, merci de bien vouloir les déduire du montant à  envoyer.

Vous allez avoir besoin des informations suivantes pour effectuer le virement bancaire:
1) Prénom ** [Le prénom de la mule russe]
2) Nom ** [Le nom de la mule russe]
3) Ville ** Saint-Saint-Pétersbourg
4) Pays ** Russie

Une fois que vous avez envoyé l’argent, la banque va vous donner un numéro de suivi que vous nous enverrez par email.

Merci de bien vouloir indiquer précisément les informations suivantes
1) Votre adresse (celle que vous avez indiquée dans le virement):
2) Vos noms et prénoms (que vous avez indiqué dans le virement):
3) Somme transférée:
4) Le numéro de suivi:

Une fois que notre client aura reçu le virement, prouvant ainsi votre efficacité, le nombre de chèques à  encaisser sera augmenté au jour le jour. Nous apprécions votre collaboration et espérons que vous travaillerez longtemps avec nous. Merci de bien vouloir nous répondre par mail et nous indiquer que vous avez bien compris les instructions.

Une organisation bien huilée mais trahie par un mauvais anglais

Afin que l’opération soit un réel succès, la mule devait agir dans les meilleurs délais. C’est pour cette raison qu’il était vital que le virement se fasse le plus rapidement possible, d’où la commission de 15% pour la première journée et de seulement 8% pour un délai supérieur. Le montant des faux chèques n’excédait jamais $3000. Au delà  de ce montant, les délais d’encaissement ont tendance à  augmenter et le risque de découvrir la fraude devient beaucoup plus important.

Lorsque la mule ne répondait pas au mail d’information, le groupe insistait en lui téléphonant directement. Une femme parlant anglais mais avec un accent russe appelait la mule en lui demandant d’envoyer l’argent le plus rapidement possible.

Les chèques reçus par les mules semblaient bien réels. Même les habituelles mesures anti-contrefaçons y apparaissaient.

Un exemplaire de faux chèque

Malheureusement pour le groupe, la mauvaise maitrise de l’anglais leur a été fatale: les très nombreuses fautes d’orthographe et de grammaire présents directement sur les chèques trahissaient la contrefaçon.

Pour terminer, nous avons ici affaire à  un groupe très bien organisé et qui a su exploiter les gigantesques possibilités offertes par un botnet; le degrés d’automatisme est tel que l’avenir nous prépare certainement encore de bien belles surprises en provenance des cyber-syndicats.

Xrumer: les liaisons fatales

Publié le par
3

Xrumer me casse les pieds

Xrumer est un sacré logiciel qui m’ennuie beaucoup. Il me met une pagaille pas possible dans un forum associatif que je gère, m’obligeant à  valider manuellement les inscriptions, ce qui me donne du travail supplémentaire; du travail de fourmi que j’exècre au plus haut point.

Suite à  mes déboires, je me suis donc penché un peu plus sur ce sinistre logiciel, par la force des choses. C’était il y a quelques mois, au cours duquel j’échangeais régulièrement avec l’un de mes correspondants Estoniens qui m’avait tuyauté sur le botnet Storm.

Mon correspondant, appelons le Piotr, connaissait bien la bête car il l’utilisait fréquemment. Il me l’avait longuement recommandé, mais je ne l’ai jamais acheté, préférant développer à  la main mes machines infernales. Et puis les problèmes avec mon forum m’avaient aussi un peu échaudé.

Un jour où nous échangions, il me dit qu’il a quelques soucis avec le monstre et que, « Nibdon » comme ils disent en Estonien, le site web qui le distribue (www.botmasternet.com) n’est plus accessible et qu’il se retrouve dans la galère, surtout au prix où il a payé sa licence (plus de $500). Un peu amusé par la situation, je me dis que Piotr fait surement parti des spammeurs qui ont inondé mon forum mais, bon prince ou déformation professionnelle, je décide de jeter un œil au problème.

La Russian connection

Le site était hébergé à  l’adresse 95.169.190.220, et ne répondait plus. J’en profite pour lancer quelques tests avec certain de mes outils et je tombe sur les données administratives du réseau. Cette adresse fait partie du réseau 95.169.190.0/23 qui appartient à  un certain Ivan Gladenko de la société Keyweb.de.

Ces messieurs font partie des fournisseurs qui ne sont pas très regardants sur leurs conditions générales d’utilisation. Au programme des clients: spams, faux codecs, arnaque financière (HYIP) et d’autres choses que je préfère taire. De plus en plus intéressé par eux, je vais même jusqu’à  découvrir qu’ils hébergent deux serveurs de contrôle du botnet Zeus !

Bon finalement, c’est tout de même dans la logique des choses que Xrumer soit hébergé plutôt chez ce type de société plutôt qu’au Vatican. Suite à  ce sympathique moment, Piotr me dira que le site a tout simplement été migré chez un autre prestataire et qu’il fonctionne bien désormais.

Un autre prestataire ? Mais qui donc cette fois-ci ? Allons-nous passer de Al Capone à  mère Thérésa ? Jetons un œil si vous le voulez bien.

Le retour de la Russian connection

Tout d’abord, j’apprends qu’il faut faire soit même la résolution DNS, c’est à  dire coder un fichier hosts sur sa machine; pas bien pratique tout cela, mais passons. Voici donc la nouvelle adresse du site de Xrumer: 188.72.244.95.

Cette adresse appartient à  la plage 188.72.244.64 – 188.72.244.127, dirigé par un certain Alexey Terentyev de nkvdteam.ru.

Le Ripe nous apprend que ce bloc d’adresses est en fait routé par la société Netdirekt, récemment rachetée par Leasweb, un gros fournisseur néerlandais. La société Netdirekt a également un très lourd passif en matière de petits ennuis, pour rester courtois.

Tout en bas de la page, vous prêterez une attention toute particulière à  l’un de leur turbulent client Rustelekom qui ressemble étrangement à  la tentaculaire mais néanmoins défunte Russian Business Network.

En clair les concepteurs de Xrumer utilisent les infrastructures « underground » habituelles qui leur permettent de ne pas être trop inquiétés dans leurs petites affaires, mais pas seulement.

L’envers du décor

Il y a environ un mois, je discutais via IRC avec Piotr alors qu’il était en « plein travail » avec Xrumer, et c’est là  que j’ai été pris d’un petit soupçon que j’ai eu envie de vérifier. Je lui ai donc demandé si je pouvais me connecter sur son serveur dédié que je puisse admirer « la bête dans ses œuvres » (Création de 500 liens à  la minute).

Il a accepté mais à  condition que « Nibdon », je ne casse rien parce que c’est quand même de son gagne-pain que nous parlons.
Je me suis donc connecté et à  l’aide de Windump, j’ai discrètement lancé une capture réseau du trafic généré par Xrumer.

La première chose que j’ai trouvé étrange est la grande fréquence de requêtes ICMP envoyées par le serveur. Le protocole ICMP est un protocole de service utilisé par exemple par les commandes ping et traceroute. (tracert sous Windows). On l’utilise normalement pour signaler un problème ou pour véhiculer des messages de contrôle. Dans notre cas, j’ai pu compter jusqu’à  10 requêtes ICMP par minute, ce qui est absolument anormal lors d’une utilisation conventionnelle d’un service réseau. J’ai demandé à  Piotr si l’on pouvait arrêter temporairement Xrumer, et lorsqu’il l’a fait, les requêtes ICMP ont disparu. C’est donc bien ce logiciel qui est à  l’origine de ce type de trafic réseau. A noter que toutes ces requêtes étaient toujours envoyées dans la même direction: une machine hébergée par groatcoats.com (Site web indisponible).

La deuxième chose que j’ai constaté est la taille du paquet ICMP. Alors que celle-ci est généralement de l’ordre de quelques octets, là  le paquet faisait plusieurs kilos-octets, de quoi transporter un certain nombre d’informations. Cela m’a rappelé une expérience que j’avais faite il y a quelques années pour contourner un IDS. L’idée était que comme la plupart du trafic conventionnel (Web, mail, etc.) était étroitement surveillé, il fallait faire preuve de beaucoup de subtilité pour arriver à  faire entrer ou sortir de l’information située au delà  du système de protection d’une entreprise. J’ai trouvé la solution en camouflant des données dans une requête d’apparence complétement anodine: le ping qui fonctionne au moyen de deux paquets ICMP ¨: ECHO_REQUEST et ECHO_REPLY. Outre l’entête traditionnelle (source, destination, type, checksum), ce paquet comporte un « payload » (cargaison) pas franchement normalisée. C’est donc dans cette cargaison que j’ai pu insérer mes informations au nez et à  la barbe de l’IDS grâce à  un petit programme écrit en C.

Pour en revenir avec cette caractéristique de Xrumer, je n’ai pas su décoder le contenu du paquet. Le mystère reste total, mais il y a pour ma part 3 à  4 kilos en trop dans ce type de requête lorsque l’on fait fonctionner Xrumer.

Et la dernière chose qui m’a également semblé bizarre dans mon analyse, c’est le nombre absolument incroyable de connexions TCP sortantes. Faites un test, lancez un blast sous Xrumer, ouvrez une ligne de commande (cmd) et tapez la commande suivante:

netstat -an

La première colonne indique le protocole (tcp ou udp), la seconde est l’adresse IP émettrice, la troisième l’adresse de destination munie de son type d’application (le port dans le cadre de tcp) et la dernière représente l’état de la connexion (à‰tablie, finie, etc.). Vous isolez le trafic Web en repérant les adresses de destination se terminant par :80. Si vous avez plus de 10 connexions simultanées, cela revient à  dire que vous êtes sans doute en train de lancer un DDOS contre une victime !

C’est là  une de mes interrogations: est-ce que Xrumer ne profite pas de ses blasts pour lancer peut-être des attaques simultanées contre des sites Web ? Après tout cela passerait complétement inaperçu: si la machine est chargée, et croyez-moi lors d’un DDOS, elle l’est, après tout cela reste une situation qui semble normale, surtout lorsque l’on crée 500 liens à  la minute.

En conclusion mon analyse ne prouve rien certes, mais la chose qui est certaine c’est que personnellement, je refuserai toujours d’installer ce type de logiciel sur ma propre machine.