che l'80% delle email mondiali sono spam. Cioè messaggi di posta elettronica di cui il destinatario non ha affatto bisogno (e questo è triste). Ma, come se ciò non bastasse, tra gli spam si trovano spesso lettere inviate con scopi malevoli: ad esempio per rubare o cancellare dati, oppure per estorcere.
KDPV:
Come sappiamo, perché una lettera danneggi effettivamente i sistemi informatici, nella maggior parte dei casi la semplice consegna della lettera al destinatario non è sufficiente. È necessario un “avversario disposto a collaborare”, vale a dire l’utente deve eseguire autonomamente le azioni che porteranno all’esecuzione del piano dell’aggressore.
Tipicamente, tale azione consiste nell'"aprire" un file allegato a una lettera, ovvero nell'avviare manualmente l'elaborazione del file da parte del corrispondente programma del processore all'interno del sistema operativo dell'utente.
Ciò che è ancora più triste è che un avversario-assistente non è una cosa rara e il nostro aggressore-spammer può contare su di lui.
E questo porta a
In breve, il nostro commercialista apre un conto, e non è nemmeno un conto, ma un virus.
Le e-mail dannose, ovviamente, presentano differenze importanti. Ma fare affidamento sull’attenzione e sulla consapevolezza degli utenti è una cattiva idea. Anche i concerti audaci sul tema "non aprire questo" con fuochi d'artificio e un'esibizione vocale solista del direttore generale (la composizione "Polimeri") vengono alla fine cancellati dalla memoria dell'impiegato.
Naturalmente, sistemi ben configurati ci proteggeranno dalla maggior parte di questi attacchi. Ma la parola chiave resta “dalla maggioranza”. Nessuno darà una garanzia al XNUMX%; e se si tratta dell'utente, rafforzarlo, in quanto uno dei punti più deboli dei sistemi, è una buona cosa.
Tecnologia e ingegneria sociale vanno di pari passo quando si tratta di illeciti informatici. L'aggressore si rende conto che è difficile fingere di essere qualcuno di cui l'utente si fida incondizionatamente, e quindi è costretto a utilizzare altre tattiche: intimidazione, coercizione, imitazione delle autorità riconosciute e/o utilizzo di nomi falsi corrispondenti - ad esempio, inviando lettere per conto di enti pubblici e grandi aziende.
E, come ci insegnano gli antichi: se non possiamo vincere, dobbiamo guidare. Davvero, perché siamo peggio degli spammer? Sì, stiamo molto meglio! E abbiamo più opportunità. E l'attività stessa richiederà competenze di programmazione minime e praticamente non influirà sui sistemi esistenti.
Disclaimer: l'autore non è uno spammer, lo spammer non è l'autore. L'autore è solo ed esclusivamente dalla parte del bene.
Il compito è molto semplice:
Invieremo noi stessi ai nostri utenti lettere che sembrano dannose. Negli allegati a queste lettere allegheremo documenti in cui scriveremo a grandi lettere “NON APRIRE DOCUMENTI DA TALI LETTERE. Sii più attento e attento."
Pertanto, il nostro compito è il seguente: condizioni:
Condizione 1. Le lettere devono essere diverse. Se inviamo ogni volta la stessa lettera a tutti, non sarà diverso dai normali promemoria durante le riunioni, a cui gli utenti sono fortemente immuni. Dobbiamo stimolare il sistema dell'utente responsabile dell'apprendimento. Da ciò conseguono le seguenti condizioni:
Condizione 2. Le lettere dovrebbero sembrare reali. Inviare lettere da Meat Company LLP o Barack Obama è possibile, ma inefficace. Ha senso utilizzare nomi reali (e diversi!) di organizzazioni ed enti;
Condizione 3. anche è importante che le lettere sembrino un po' strane. Devono essere alquanto dubbi per destare sospetti nell'utente e attivare il sistema di apprendimento nel cervello;
Condizione 4. E con tutto questo le lettere dovrebbero attirare l'attenzione e provocare. Ebbene qui è tutto semplice, non abbiamo nemmeno bisogno di inventare nulla: gli spammer hanno già fatto tutto per noi. “Multe”, “Decisioni del Tribunale” e anche solo “Documenti” negli allegati, “Decadenze”, “Ricalcoli”, “Pene” nell’oggetto e tante parole “Urgente”, “Immediatamente”, “Obbligato”, “Pagare” in il testo - e il trucco è nella borsa.
Per implementare questo set magico avrai bisogno di competenze di programmazione minime e di una serata noiosa. L'autore ha utilizzato Python 3 (perché era necessario esercitarsi) e JS (per raccogliere dati direttamente dalla console del browser). Ma la maggior parte del codice può essere facilmente implementata utilizzando gli strumenti del sistema operativo nativo (bash, cmd), devi solo lottare con le codifiche.
Per essere onesti, va notato che l'idea in sé non appartiene all'autore, ma è stata raccolta da una grande azienda internazionale. Tuttavia, l’idea è così superficiale che, non appena l’ha sentita, l’autore, gridando “perché non l’ho fatto prima”, si è precipitato a metterla in pratica.
Quindi, prima di tutto, abbiamo bisogno delle parti da cui comporremo una lettera. Cominciamo con il campo Da, che minaccerà i nostri timidi utenti. Bene, chi: ovviamente, banche, ispettorati fiscali, tribunali e ogni sorta di strane LLC. Allo stesso tempo, puoi aggiungere modelli per future sostituzioni automatiche, come PAO CmpNmF. Vedi from.txt
Adesso servono, appunto, i nomi. È improbabile che LLC Romashka e Vector, così come la "Corte di Mosca" ripetuta all'infinito, susciti una risposta nelle anime.
Fortunatamente, Internet ci offre incredibili opportunità per ottenere informazioni. Per esempio, Puoi ottenere un semplice comando JavaScript direttamente nella console del browser con codice come:
for (let el of document.getElementById("mw-content-text").querySelectorAll("li")) {console.log(el.innerText;)}In questo modo puoi raccogliere rapidamente molto rapidamente un'ottima base per i nostri compiti (soprattutto perché l'autore lo ha già fatto per te :) Lo salveremo in testo semplice, un database eccessivo per un compito del genere. Il progetto utilizza la codifica UTF-8 con BOM, in caso di utilizzo dei caratteri più specifici. Visualizza i file txt con i nomi corrispondenti.
Successivamente, dobbiamo generare un indirizzo email corretto (standard, ma non necessariamente esistente) del mittente in modo che la nostra lettera venga visualizzata correttamente e inoltrata correttamente. Per alcuni nomi l'autore ha utilizzato domini fissi, per altri - generazione automatica dal nome utilizzando una libreria di traslitterazione, qualcosa come Vector LLC -> [email protected]. Il nome della scatola è preso dall'elenco nel codice e ha anche lo scopo di incutere timore: "vzyskanie", "shtraf", "dolg", "alarm" e altri "zapros".
Ora - l'oggetto della lettera.
L'argomento deve assolutamente attirare l'attenzione, altrimenti la lettera passerà inosservata. Scatena il tuo spaventapasseri contabile interiore e tutto funzionerà: “Chiudere il/i conto/i (CmpNm)", "Capo contabile (CmpNm)", "Requisito (per CmpNm)" "Paga subito (!!!)" e altri scherzi.
Vedi subj.txt. Aggiungere a piacere, mescolare, non agitare.
Il testo della lettera dovrebbe essere alquanto strano. Abbiamo già attirato l’attenzione dell’utente, ora il nostro compito è destare sospetti. Pertanto, non ha assolutamente senso provarci a questo punto. Prendiamo le frasi minacciose degli spammer e le combiniamo a caso: l'autenticità al cento per cento non potrà che essere di ostacolo. Si rivelerà una sciocchezza del tipo:
(важная) Информация (ООО "ТЕСТ") По счёту в порядке судебного разбирательства
откройте документы во вложении
постановление во вложении
Vedi msg.txt. Le aggiunte sono benvenute.
E infine, l'investimento. Il progetto attualmente prevede 3 tipologie di allegati: pdf, doc, docx. I file vengono copiati dai campioni senza modificarne il contenuto, al file allegato viene assegnato un nome dall'elenco (“Decreto”, “Sentenza”, ecc., vedere flnms.txt). Per i primi due tipi, la dimensione viene generata in modo casuale aggiungendo zeri alla fine del file. Questo non funziona con docx (anche se dopo la procedura di ripristino di Word il file si apre; e LibreOffice, ad esempio, apre senza imprecare file docx, a cui sono stati aggiunti file di terze parti tramite l'interfaccia dell'archiviatore).
E otteniamo questo miracolo:
Tu puoi mandare:
gen_msg.py [email protected]
In realtà, questo è tutto. Qualcosa da fare per un'ora, ma ci sarà beneficio... E ci sarà beneficio. Perché la teoria è secca, ma l'albero della vita cresce rigogliosamente verde: le spiegazioni non arrivano, i promemoria vengono dimenticati e le persone acquisiscono abilità solo attraverso la pratica. Ed è meglio per noi essere insegnanti piuttosto che ripristinare tutto dai backup in un secondo momento, giusto?
Solo gli utenti registrati possono partecipare al sondaggio. Per favore.
Lo hai provato sui tuoi utenti? Come sono i risultati?
-
0,0%Nessuno l'ha comprato, l'hanno cancellato senza fare domande0
-
0,0%Alcuni hanno segnalato email sospette; gli allegati non sono stati aperti0
-
50,0%Alcuni allegati aperti (ti racconterò nei commenti cosa è successo dopo)3
-
50,0%Ha ricevuto un bastone dalle autorità3
6 utenti hanno votato. 21 utente si è astenuto.
Fonte: habr.com