ProHoster > Blogs > interneta ziņas > Apmāni mani, ja vari: sociāltehniskā pentesta vadÄ«Å”anas iezÄ«mes

Apmāni mani, ja vari: sociāltehniskā pentesta vadīŔanas iezīmes

Apmāni mani, ja vari: sociāltehniskā pentesta vadīŔanas iezīmes

Iedomājieties Å”o situāciju. Auksts oktobra rÄ«ts, dizaina institÅ«ts reÄ£ionālajā centrā vienā no Krievijas reÄ£ioniem. Kāds no personāla nodaļas dodas uz kādu no vakanču lapām institÅ«ta tÄ«mekļa vietnē, kas publicēta pirms pāris dienām, un tur ierauga kaÄ·a fotoattēlu. RÄ«ts ātri vien pārstāj bÅ«t garlaicÄ«gs...

Å ajā rakstā Group-IB audita un konsultāciju nodaļas tehniskais vadÄ«tājs Pāvels Supruņuks stāsta par sociāltehnisko uzbrukumu vietu praktiskas droŔības novērtÄ“Å”anas projektos, kādas neparastas formas tie var izpausties un kā aizsargāties pret Ŕādiem uzbrukumiem. Autore precizē, ka rakstam ir apskata raksturs, tomēr, ja kāds aspekts interesēs lasÄ«tājus, IB grupas eksperti labprāt atbildēs uz jautājumiem komentāros.

1. daļa. Kāpēc tik nopietni?

AtgriezÄ«simies pie sava kaÄ·a. Pēc kāda laika HR departaments fotoattēlu izdzÄ“Å” (Å”eit un zemāk esoÅ”ie ekrānuzņēmumi ir daļēji retuŔēti, lai neatklātu Ä«stos vārdus), taču tas spÄ«tÄ«gi atgriežas, tiek dzēsts vēlreiz, un tas notiek vēl vairākas reizes. Personāla nodaļa saprot, ka kaÄ·im ir visnopietnākie nodomi, viņŔ nevēlas doties prom, un viņi sauc palÄ«dzÄ«bu no tÄ«mekļa programmētāja - cilvēka, kurÅ” izveidoja vietni un to saprot, un tagad to administrē. Programmētājs dodas uz vietni, kārtējo reizi izdzÄ“Å” kaitinoÅ”o kaÄ·i, uzzina, ka tas ir ievietots paÅ”a personāla nodaļas vārdā, tad izdara pieņēmumu, ka personāla nodaļas parole ir noplÅ«dusi dažiem tieÅ”saistes huligāniem, un to maina. KaÄ·is vairs neparādās.

Apmāni mani, ja vari: sociāltehniskā pentesta vadīŔanas iezīmes

Kas Ä«sti notika? AttiecÄ«bā uz uzņēmumu grupu, kurā bija institÅ«ts, Group-IB speciālisti veica iespieÅ”anās testÄ“Å”anu formātā, kas ir tuvu Red Teaming (citiem vārdiem sakot, Ŕī ir mērÄ·tiecÄ«gu uzbrukumu imitācija jÅ«su uzņēmumam, izmantojot vismodernākās metodes un rÄ«kus no hakeru grupu arsenāls). Mēs detalizēti runājām par Red Teaming Å”eit. Ir svarÄ«gi zināt, ka, veicot Ŕādu pārbaudi, var izmantot ļoti plaÅ”u iepriekÅ” saskaņotu uzbrukumu klāstu, tostarp sociālo inženieriju. Skaidrs, ka paÅ”a kaÄ·a novietoÅ”ana nebija notiekoŔā galvenais mērÄ·is. Un tur bija sekojoÅ”ais:

  • institÅ«ta vietne tika mitināta serverÄ« paŔā institÅ«ta tÄ«klā, nevis treŔās puses serveros;
  • Tika konstatēta noplÅ«de personāla nodaļas kontā (e-pasta žurnāla fails atrodas vietnes saknē). Vietni nebija iespējams administrēt ar Å”o kontu, taču bija iespējams rediģēt darba lapas;
  • Mainot lapas, jÅ«s varētu ievietot savus skriptus JavaScript. Parasti viņi lapas padara interaktÄ«vas, taču Å”ajā situācijā tie paÅ”i skripti var nozagt no apmeklētāja pārlÅ«kprogrammas, kas atŔķīra personāla nodaļu no programmētāja un programmētāju no vienkārÅ”a apmeklētāja - vietnes sesijas identifikatoru. KaÄ·is bija uzbrukuma izraisÄ«tājs un attēls, lai piesaistÄ«tu uzmanÄ«bu. HTML vietnes iezÄ«mÄ“Å”anas valodā tas izskatÄ«jās Ŕādi: ja jÅ«su attēls ir ielādēts, JavaScript jau ir izpildÄ«ts un jÅ«su sesijas ID, kā arÄ« dati par pārlÅ«kprogrammu un IP adresi jau ir nozagts.
  • Ar nozagtu administratora sesijas ID bÅ«tu iespējams iegÅ«t pilnu piekļuvi vietnei, mitināt izpildāmās lapas PHP un tādējādi piekļūt servera operētājsistēmai un pēc tam arÄ« paÅ”am lokālajam tÄ«klam, kas bija svarÄ«gs starpmērÄ·is. projekts.

Uzbrukums bija daļēji veiksmīgs: administratora sesijas ID tika nozagts, taču tas bija saistīts ar IP adresi. Mēs nevarējām to apiet; mēs nevarējām paaugstināt savas vietnes privilēģijas līdz administratora privilēģijām, taču mēs uzlabojām savu noskaņojumu. Gala rezultāts galu galā tika iegūts citā tīkla perimetra posmā.

2. daļa. Es jums rakstu - kas vēl? Es arī zvanu un pastaigājos jūsu birojā, nometu zibatmiņas diskus.

Tas, kas notika situācijā ar kaÄ·i, ir sociālās inženierijas piemērs, lai arÄ« ne gluži klasisks. PatiesÄ«bā Å”ajā stāstā bija vairāk notikumu: bija gan kaÄ·is, gan institÅ«ts, gan personāla nodaļa, gan programmētājs, taču bija arÄ« e-pasta vēstules ar precizējoÅ”iem jautājumiem, ko it kā ā€œkandidātiā€ rakstÄ«ja paÅ”ai personāla nodaļai un personÄ«gi. programmētājam, lai mudinātu viņu doties uz vietnes lapu.

Par burtiem runājot. Parastais e-pasts, iespējams, galvenais sociālās inženierijas līdzeklis, nav zaudējis savu aktualitāti jau pāris gadu desmitus un dažkārt noved pie visneparastākajām sekām.

Mēs savos pasākumos bieži stāstām Ŕādu stāstu, jo tas ir ļoti atklājoÅ”s.

Parasti, pamatojoties uz sociālās inženierijas projektu rezultātiem, mēs apkopojam statistiku, kas, kā zināms, ir sausa un garlaicÄ«ga lieta. Tik daudzi procenti adresātu atvēra pielikumu no vēstules, tik daudzi sekoja saitei, taču Å”ie trÄ«s faktiski ievadÄ«ja savu lietotājvārdu un paroli. Vienā projektā saņēmām vairāk nekā 100% ievadÄ«to paroļu ā€“ tas ir, iznāca vairāk, nekā izsÅ«tÄ«jām.

Tas notika Ŕādi: tika nosÅ«tÄ«ta pikŔķerÄ“Å”anas vēstule, domājams, no valsts korporācijas CISO, ar prasÄ«bu "steidzami pārbaudÄ«t pasta pakalpojuma izmaiņas". Vēstule sasniedza lielas nodaļas vadÄ«tāju, kas nodarbojās ar tehnisko atbalstu. Pārvaldnieks ļoti rÅ«pÄ«gi izpildÄ«ja augsto iestāžu norādÄ«jumus un nosÅ«tÄ«ja tos visiem padotajiem. Pats zvanu centrs izrādÄ«jās diezgan liels. Kopumā situācijas, kad kāds saviem kolēģiem pārsÅ«ta ā€œinteresantosā€ pikŔķerÄ“Å”anas e-pastus un viņi arÄ« tiek pieÄ·erti, ir diezgan izplatÄ«ta parādÄ«ba. Mums Ŕī ir labākā atsauksme par vēstules rakstÄ«Å”anas kvalitāti.

Apmāni mani, ja vari: sociāltehniskā pentesta vadīŔanas iezīmes

Nedaudz vēlāk viņi par mums uzzināja (vēstule tika paņemta apdraudētā pastkastītē):

Apmāni mani, ja vari: sociāltehniskā pentesta vadīŔanas iezīmes

Uzbrukuma panākumus noteica fakts, ka pasta sÅ«tÄ«Å”anā tika izmantotas vairākas tehniskus trÅ«kumus klienta pasta sistēmā. Tas bija konfigurēts tā, ka jebkura paÅ”as organizācijas sÅ«tÄ«tāja vārdā bija iespējams nosÅ«tÄ«t jebkuras vēstules bez atļaujas, pat no interneta. Tas ir, jÅ«s varētu izlikties par CISO vai tehniskā atbalsta vadÄ«tāju, vai kādu citu. Turklāt pasta saskarne, novērojot vēstules no ā€œsavaā€ domēna, rÅ«pÄ«gi ievietoja fotoattēlu no adreÅ”u grāmatas, kas sÅ«tÄ«tājam pievienoja dabiskumu.

PatiesÄ«bā Ŕāds uzbrukums nav Ä«paÅ”i sarežģīta tehnoloÄ£ija; tā ir veiksmÄ«ga ļoti vienkārÅ”a pasta iestatÄ«jumu nepilnÄ«bas izmantoÅ”ana. Tas regulāri tiek pārskatÄ«ts specializētos IT un informācijas droŔības resursos, taču joprojām ir uzņēmumi, kuriem tas viss ir klāt. Tā kā neviens nevēlas rÅ«pÄ«gi pārbaudÄ«t SMTP pasta protokola pakalpojumu galvenes, vēstule parasti tiek pārbaudÄ«ta, izmantojot brÄ«dinājuma ikonas pasta saskarnē, kas ne vienmēr parāda visu attēlu.

Interesanti, ka lÄ«dzÄ«ga ievainojamÄ«ba darbojas arÄ« otrā virzienā: uzbrucējs jÅ«su uzņēmuma vārdā var nosÅ«tÄ«t e-pastu treŔās puses adresātam. Piemēram, viņŔ var viltot rēķinu par regulāru maksājumu jÅ«su vietā, norādot citus datus, nevis jÅ«su datus. Papildus krāpÅ”anas apkaroÅ”anas un naudas izņemÅ”anas problēmām Å”is, iespējams, ir viens no vienkārŔākajiem veidiem, kā nozagt naudu, izmantojot sociālo inženieriju.

Papildus paroļu zagÅ”anai, izmantojot pikŔķerÄ“Å”anu, klasisks sociāltehnisks uzbrukums ir izpildāmu pielikumu nosÅ«tÄ«Å”ana. Ja Ŕīs investÄ«cijas pārvar visus droŔības pasākumus, kuru mÅ«sdienu uzņēmumos parasti ir daudz, cietuŔā datoram tiks izveidots attālās piekļuves kanāls. Lai demonstrētu uzbrukuma sekas, iegÅ«to tālvadÄ«bas pulti var attÄ«stÄ«t lÄ«dz piekļuvei Ä«paÅ”i svarÄ«gai konfidenciālai informācijai. ZÄ«mÄ«gi, ka lielākā daļa uzbrukumu, ko plaÅ”saziņas lÄ«dzekļi izmanto, lai visus biedētu, sākas tieÅ”i Ŕādi.

MÅ«su audita nodaļā prieka pēc mēs aprēķinām aptuvenu statistiku: kāda ir to uzņēmumu aktÄ«vu kopējā vērtÄ«ba, kuriem esam ieguvuÅ”i domēna administratora piekļuvi, galvenokārt pikŔķerējot un sÅ«tot izpildāmos pielikumus? Å ogad tas sasniedza aptuveni 150 miljardus eiro.

Ir skaidrs, ka provokatÄ«vu e-pastu sÅ«tÄ«Å”ana un kaÄ·u fotoattēlu ievietoÅ”ana vietnēs nav vienÄ«gās sociālās inženierijas metodes. Å ajos piemēros mēs esam mēģinājuÅ”i parādÄ«t uzbrukuma formu daudzveidÄ«bu un to sekas. Papildus vēstulēm potenciālais uzbrucējs var piezvanÄ«t, lai iegÅ«tu nepiecieÅ”amo informāciju, izkaisÄ«t datu nesējus (piemēram, zibatmiņas) ar izpildāmiem failiem mērÄ·a uzņēmuma birojā, iegÅ«t darbu kā praktikante, iegÅ«t fizisku piekļuvi lokālajam tÄ«klam. CCTV kameru uzstādÄ«tāja aizsegā. Tie visi, starp citu, ir piemēri no mÅ«su veiksmÄ«gi pabeigtajiem projektiem.

3. daļa. Mācība ir gaisma, bet neapgūtais ir tumsa

Rodas pamatots jautājums: nu, labi, ir sociālā inženierija, tas izskatās bÄ«stami, bet kas uzņēmumiem ar to visu jādara? Kapteinis Obviouss nāk palÄ«gā: jums ir jāaizstāv sevi visaptveroÅ”i. Daļa aizsardzÄ«bas tiks vērsta uz jau klasiskajiem droŔības pasākumiem, piemēram, informācijas aizsardzÄ«bas tehniskajiem lÄ«dzekļiem, uzraudzÄ«bu, procesu organizatorisko un juridisko nodroÅ”inājumu, bet galvenā daļa, mÅ«suprāt, bÅ«tu jāvirza tieÅ”am darbam ar darbiniekiem kā vājākais posms. Galu galā, neatkarÄ«gi no tā, cik ļoti stiprināsit tehnoloÄ£iju vai rakstÄ«sit bargus noteikumus, vienmēr atradÄ«sies kāds lietotājs, kurÅ” atklās jaunu veidu, kā visu pārkāpt. Turklāt ne noteikumi, ne tehnoloÄ£ijas nespēs lÄ«dzi lietotāja radoÅ”uma lidojumam, it Ä«paÅ”i, ja viņu pamudinās kvalificēts uzbrucējs.

Pirmkārt, ir svarÄ«gi apmācÄ«t lietotāju: paskaidrojiet, ka pat viņa ikdienas darbā var rasties situācijas, kas saistÄ«tas ar sociālo inženieriju. MÅ«su klientiem mēs bieži veicam kursi par digitālo higiēnu ā€“ pasākums, kurā kopumā tiek apgÅ«tas pamatprasmes pretuzbrukumiem.

Varu piebilst, ka viens no labākajiem aizsardzÄ«bas pasākumiem bÅ«tu nevis informācijas droŔības noteikumu iegaumÄ“Å”ana, bet gan situācijas izvērtÄ“Å”ana nedaudz atrauti:

  1. Kas ir mans sarunu biedrs?
  2. No kurienes nāca viņa priekÅ”likums vai lÅ«gums (tāds nekad agrāk nav noticis, un tagad tas parādÄ«jās)?
  3. Kas Ŕajā pieprasījumā ir neparasts?

Pat neparasts burtu fonta veids vai sÅ«tÄ«tājam neparasts runas stils var izraisÄ«t Å”aubu ķēdi, kas apturēs uzbrukumu. NepiecieÅ”amas arÄ« noteiktas instrukcijas, taču tās darbojas atŔķirÄ«gi un nevar norādÄ«t visas iespējamās situācijas. Piemēram, informācijas droŔības administratori tajos ieraksta, ka nevar ievadÄ«t savu paroli treÅ”o puÅ”u resursos. Ko darÄ«t, ja ā€œjÅ«suā€, ā€œkorporatÄ«vāā€ tÄ«kla resurss pieprasa paroli? Lietotājs domā: "MÅ«su uzņēmumam jau ir divi desmiti pakalpojumu ar vienu kontu, kāpēc gan lai nebÅ«tu vēl viens?" Tas noved pie cita noteikuma: labi strukturēts darba process arÄ« tieÅ”i ietekmē droŔību: ja kaimiņu nodaļa var pieprasÄ«t no jums informāciju tikai rakstiski un tikai ar jÅ«su vadÄ«tāja starpniecÄ«bu, persona "no uzticama uzņēmuma partnera" noteikti netiks. var pieprasÄ«t pa telefonu - tas jums tas bÅ«s muļķības. ÄŖpaÅ”i jāuzmanās, ja sarunu biedrs pieprasa visu izdarÄ«t tieÅ”i tagad jeb ā€œÄ€RĀKā€, kā tas ir modē rakstÄ«t. Pat parastā darbā Ŕī situācija bieži vien nav veselÄ«ga, un, saskaroties ar iespējamiem uzbrukumiem, tas ir spēcÄ«gs sprÅ«da. Nav laika paskaidrot, palaist manu failu!

Mēs novērojam, ka lietotāji vienmēr tiek mērķēti kā leÄ£endas par sociāltehnisku uzbrukumu ar tēmām, kas vienā vai otrā veidā saistÄ«tas ar naudu: akcijas solÄ«jumi, preferences, dāvanas, kā arÄ« informācija ar it kā vietējām tenkām un intrigām. Citiem vārdiem sakot, darbojas banālie ā€œnāves grēkiā€: peļņas slāpes, alkatÄ«ba un pārmērÄ«ga zinātkāre.

Labā apmācÄ«bā vienmēr jāiekļauj prakse. Å eit palÄ«gā var nākt iespieÅ”anās pārbaudes eksperti. Nākamais jautājums ir: ko un kā mēs pārbaudÄ«sim? Mēs, Group-IB, piedāvājam Ŕādu pieeju: nekavējoties izvēlieties testÄ“Å”anas fokusu: vai nu novērtējiet tikai paÅ”u lietotāju gatavÄ«bu uzbrukumiem, vai arÄ« pārbaudiet visa uzņēmuma droŔību. Un pārbaudi, izmantojot sociālās inženierijas metodes, simulējot reālus uzbrukumus - tas ir, to paÅ”u pikŔķerÄ“Å”anu, izpildāmu dokumentu nosÅ«tÄ«Å”anu, zvanus un citus paņēmienus.

Pirmajā gadÄ«jumā uzbrukums tiek rÅ«pÄ«gi sagatavots kopā ar pasÅ«tÄ«tāja pārstāvjiem, galvenokārt ar tā IT un informācijas droŔības speciālistiem. LeÄ£endas, rÄ«ki un uzbrukuma paņēmieni ir konsekventi. Klients pats nodroÅ”ina fokusa grupas un lietotāju sarakstus uzbrukumam, kuros ir iekļauti visi nepiecieÅ”amie kontakti. Izņēmumi tiek radÄ«ti droŔības pasākumiem, jo ā€‹ā€‹ziņojumiem un izpildāmām ielām ir jāsasniedz adresāts, jo Ŕādā projektā interesē tikai cilvēku reakcija. Pēc izvēles uzbrukumā varat iekļaut marÄ·ierus, pēc kuriem lietotājs var uzminēt, ka tas ir uzbrukums - piemēram, ziņojumos varat pieļaut pāris pareizrakstÄ«bas kļūdas vai atstāt neprecizitātes korporatÄ«vā stila kopÄ“Å”anā. Projekta noslēgumā tiek iegÅ«ta tā pati ā€œsausā statistikaā€: kuras fokusa grupas reaģēja uz scenārijiem un cik lielā mērā.

Otrajā gadÄ«jumā uzbrukums tiek veikts bez sākotnējām zināŔanām, izmantojot ā€œmelnās kastesā€ metodi. Mēs patstāvÄ«gi apkopojam informāciju par uzņēmumu, tā darbiniekiem, tÄ«kla perimetru, veidojam uzbrukuma leÄ£endas, atlasām metodes, meklējam iespējamos mērÄ·a uzņēmumā izmantojamos droŔības pasākumus, pielāgojam rÄ«kus, veidojam scenārijus. MÅ«su speciālisti izmanto gan klasiskās atvērtā pirmkoda izlÅ«koÅ”anas (OSINT) metodes, gan paÅ”u Group-IB produktu - Threat Intelligence, sistēmu, kas, gatavojoties pikŔķerÄ“Å”anai, var darboties kā informācijas apkopotājs par uzņēmumu ilgākā laika periodā, ieskaitot klasificēto informāciju . Protams, lai uzbrukums nekļūtu par nepatÄ«kamu pārsteigumu, arÄ« tā detaļas tiek saskaņotas ar klientu. Izrādās, ka tas ir pilnvērtÄ«gs iespieÅ”anās tests, taču tas bÅ«s balstÄ«ts uz progresÄ«vu sociālo inženieriju. LoÄ£isks variants Å”ajā gadÄ«jumā ir izveidot uzbrukumu tÄ«klā lÄ«dz pat augstāko tiesÄ«bu iegÅ«Å”anai iekŔējās sistēmās. Starp citu, lÄ«dzÄ«gā veidā mēs izmantojam sociotehniskos uzbrukumus Sarkanā komanda, un dažos iespieÅ”anās testos. Rezultātā klients saņems neatkarÄ«gu visaptveroÅ”u redzējumu par savu droŔību pret noteikta veida sociāltehniskiem uzbrukumiem, kā arÄ« demonstrējumu par uzbÅ«vētās aizsardzÄ«bas lÄ«nijas pret ārējiem draudiem efektivitāti (vai, gluži pretēji, neefektivitāti).

Mēs iesakām Ŕīs apmācÄ«bas veikt vismaz divas reizes gadā. Pirmkārt, jebkurā uzņēmumā ir kadru mainÄ«ba un lÄ«dzÅ”inējo pieredzi darbinieki pamazām aizmirst. Otrkārt, uzbrukumu metodes un paņēmieni pastāvÄ«gi mainās, un tas rada nepiecieÅ”amÄ«bu pielāgot droŔības procesus un aizsardzÄ«bas rÄ«kus.

Ja mēs runājam par tehniskiem aizsardzības pasākumiem pret uzbrukumiem, tad visvairāk palīdz:

  • Obligātās divu faktoru autentifikācijas klātbÅ«tne pakalpojumos, kas publicēti internetā. Šādu pakalpojumu izlaiÅ”ana 2019. gadā bez vienreizējās pierakstÄ«Å”anās sistēmām, bez aizsardzÄ«bas pret paroles brutālu spēku un bez divu faktoru autentifikācijas vairāku simtu cilvēku uzņēmumā ir lÄ«dzvērtÄ«ga atklātam aicinājumam ā€œsalauzt maniā€. Pareizi ieviesta aizsardzÄ«ba padarÄ«s neiespējamu ātru nozagto paroļu izmantoÅ”anu un dos laiku pikŔķerÄ“Å”anas uzbrukuma seku likvidÄ“Å”anai.
  • Piekļuves kontroles kontrole, lietotāju tiesÄ«bu samazināŔana sistēmās un katra lielā ražotāja izdoto droÅ”as produktu konfigurācijas vadlÄ«niju ievēroÅ”ana. Tie bieži vien ir vienkārÅ”i, taču ļoti efektÄ«vi un grÅ«ti Ä«stenojami pasākumi, kurus visi vienā vai otrā pakāpē ātruma labad atstāj novārtā. Un daži ir tik nepiecieÅ”ami, ka bez tiem nekādi aizsardzÄ«bas lÄ«dzekļi neglābs.
  • Labi izveidota e-pasta filtrÄ“Å”anas lÄ«nija. Antispam, pilnÄ«ga pielikumu skenÄ“Å”ana, lai atrastu ļaunprātÄ«gu kodu, tostarp dinamiska pārbaude, izmantojot smilÅ”kastes. Labi sagatavots uzbrukums nozÄ«mē, ka izpildāmo pielikumu neatklās pretvÄ«rusu rÄ«ki. SmilÅ”u kaste, gluži pretēji, visu pārbaudÄ«s pati, izmantojot failus tāpat kā tos izmanto cilvēks. Rezultātā smilÅ”kastes iekÅ”ienē veiktās izmaiņas atklās iespējamo ļaunprātÄ«go komponentu.
  • AizsardzÄ«bas lÄ«dzekļi pret mērÄ·tiecÄ«giem uzbrukumiem. Kā jau minēts, klasiskie pretvÄ«rusu rÄ«ki labi sagatavota uzbrukuma gadÄ«jumā neatklās ļaunprātÄ«gus failus. Vismodernākajiem produktiem automātiski jāuzrauga tÄ«klā notiekoÅ”o notikumu kopums - gan atseviŔķa resursdatora lÄ«menÄ«, gan trafika lÄ«menÄ« tÄ«klā. Uzbrukumu gadÄ«jumā parādās ļoti raksturÄ«gas notikumu ķēdes, kuras var izsekot un apturēt, ja uz Ŕāda veida notikumiem ir vērsta uzraudzÄ«ba.

OriÄ£ināls raksts publicēta žurnālā ā€œInformācijas droŔība/ Informācijas droŔībaā€ Nr.6, 2019.g.

Avots: www.habr.com

Pievieno komentāru