SOCIAL ENGINEERING
~~~~~~~~~~~~~~~~~~
Social Engineering, ovvero Ingegneria Sociale... cos'e`?
E` il metodo piu` semplice ed efficace per ottenere informazioni che
altrimenti non sapreste dove trovare, come ad esempio la password di
un
utente, o addirittura i suoi dati personali (indirizzo, telefono, ecc).
Sono solo esempi, ma con un po` di fantasia e fortuna potete fare davvero
di
tutto. Non si tratta, nel caso ve lo stiate chiedendo, di tecniche
come
quelle che abbiamo visto fino ad ora: niente Telnet, niente file di
log,
solo voi e la vostra intelligenza.
Ma procediamo per ordine.
Fare del "Social Engineering" significa far credere di essere qualcun
altro
allo scopo di ottenere qualcosa.
Immaginate di andare dalla segretaria di Bill Gates a chiederle di
versare
sul vostro conto un paio di milioni. Al massimo vi ridera` in
faccia... :)
Ma se invece fosse lui, il "caro" Bill, a telefonare alla sua segretaria
da
una riunione d'affari e dirle di sbrigare un attimino una faccenda
urgente
per conto suo.... ho reso l'idea? ;)
Beh, normalmente ci si limita ad utilizzare il Social Engineering per
ottenere password e dati personali, ma l'uso e` lasciato a voi.
Si puo` fare S.E. (Social Engineering) per telefono o via modem (e Internet).
Le regole sono semplici:
- dovete agire "professionalmente" ed essere credibili
- dovete informarvi sull'argomento che state per affrontare
e, se utilizzerete il telefono:
- dovete essere sicuri di voi stessi e di quello che dite
- dovete avere una voce credibile, che non sia cioe` quella di
un ragazzo
che vuole sfottere un po` per telefono...
Per quelli che tra voi stanno pensando che il S.E. non funziona: vi
basti
sapere che praticamente tutti gli hackers piu` conosciuti utilizzano
proprio
il S.E. per ottenere le informazioni di cui hanno bisogno.
E` l'unica "tecnica" che, se fatta come si deve, non fallisce e non
diventa
obsoleta con il passare del tempo.
Ma ora veniamo alla pratica.
Supponiamo ad esempio di voler ottenere la password di un utente (sia
essa la
password del suo account Internet oppure quella della sua mailbox).
In quale caso potremmo chiedere a un utente la sua password?
Probabilmente, nel caso in cui fossimo il SysAdmin (o un tecnico del
servizio
utenti) del suo provider.
In questo caso, non dovremo fare altro che crearci un account di email
su
usa.net mailexcite.com che possa sembrare l'indirizzo email di un tecnico
del provider, come ad esempio servizio_utenti@usa.net o altro.
Meglio ancora, se avete un account di posta elettronica potete usare
iNAME
(http://yahoo.iname.com) per creare un account email "virtuale".
Potrete
cioe` crearvi un account come ad esempio servizio_tecnico@fastservice.com
(che e` MOLTO piu` credibile di pippo@hotmail.com) e tutta la posta
che
verra` inviata a quell'account sara` ridirottata anonimamente sul vostro
account normale.
Potrete scegliere tra vari nomi di server, e cio` torna a vostro favore.
Se state fingendo di essere del servizio tecnico o help utenti di un
provider
scegliete qualityservice.com, topservice.com, oppure cyberservices.com.
Ora viene il bello. Supponiamo di voler ottenere una password
di un server
senza allarmare il SysAdmin tentando di prelevare il file delle password
:)
Cio` che vi serve e` l'indirizzo di email di un utente qualsiasi di
QUEL
server. Come trovarlo: se il server ha una messaggistica, un
forum dove
gli utenti possono chiacchierare... vedete li`.
Altrimenti non scoraggiatevi: collegatevi a http://www.whowhere.com
oppure a
http://www.four11.com e cercate il server che vi interessa.
Avrete una lista di tutte le email che vi possono interessare, complete
di
nome e cognome che vi torneranno certamente utili.
Oppure potete usare finger, se e` abilitato... facendo "finger @server.com"
avrete la lista di tutti gli utenti presenti su quel sistema.
Come vedete, ci sono molti modi per ottenere la stessa cosa.
Fate MOLTA ATTENZIONE a non scrivere all'indirizzo del SysAdmin, del
Webmaster o di uno dei responsabili o dei tecnici del server!
Trovata la "cavia" ora dovete scrivergli un messaggio di questo tipo:
--->
Da: Servizio_Tecnico@TopService.com
A: utente@provider.it
Soggetto:
Gentile Utente,
per offrirLe un miglior servizio abbiamo aggiornato
il server software
del ns. Internet Provider. Per problemi tecnici non ci e` stato
possibile
importare il database Utenti, motivo per cui
La preghiamo di volerci
comunicare al piu` presto il suo username e la sua password,
scrivendo al
nostro indirizzo email: Servizio_Tecnico@TopService.com
La ringraziamo per la cortese attenzione.
Cordiali saluti
Dr. Antonio Brambilla
Resp. Servizio Tecnico
XXXX Internet Provider
Via ................
Tel/Fax ............
<---
Poche righe, insomma, ma ben scritte.
E per rendere piu` convincente il tutto, aggiungete anche informazioni
come
indirizzo (vero) e nomi e cognomi (falsi), telefono e fax (falsi),
ecc...
Vi meraviglierete di come talvolta anche le societa` che si appoggiano
ai
provider per l'accesso a Internet cascano in questi trucchi.
NOTA: in alcuni casi puo` essere utile utilizzare la tecnica delle FakeMail
per inviare un "ordine di servizio" a qualcuno da parte di una persona
(un
dirigente, ad esempio) di cui si conosca pero` l'indirizzo di email.
Ricordate pero` che, in caso di risposta, l'email andra` all'indirizzo
falso
che avremo utilizzato (cioe` quello del dirigente!).
Se avessimo invece voluto fare qualcosa di piu` complicato, come ottenere
un
qualche tipo di informazioni piu` o meno riservate da una grande azienda,
avremmo dovuto utilizzare (preferibilmente) il telefono. Avere
prontezza
di riflessi, sicurezza e una voce "adatta allo scopo" in tal caso sara`
indispensabile se non si vuole mandare tutto a monte.
Nel caso di personale particolarmente attento (raro...), del tipo che
vuole
chiedere prima un'autorizzazione al capo e roba del genere, e` utile
far
capire di avere altri affari da sbrigare, di essere seccati dall'inettitudine
di quell'impiegato e roba del genere... perdere la pazienza, insomma,
senza
essere ne` patetici ne` isterici.
Il resto e` lasciato a voi.
Copyright (C) 1997 by
:: LoRD SHiNVA ::
-Digital Alliance Confederation-