КАРТЫ. ДЕНЬГИ. ДАБЛ ВПН

Undetected, unexpected
Wings of glory
Tell their story

(с) Sabaton, Night Witches

Эта небольшая местами печальная, а местами смешная история, о том как можно потерять всё на ровном, если совсем забыть про свою совесть.

ВНИМАНИЕ!!!

Текст содержит ненормативную лексику, эротические сцены описание проникновения на компьютеры, роутеры, применение социальной инженерии. В нём постоянно происходит какая-то малопонятная ерунда, которая может подорвать пуканы мамкиным хакерам экспертам по кибербезопасности и ввести в ступор даже матерых спецов, поэтому большая просьба пройти всех чувствительных мальчиков и девочек от экрана подальше. Супер крутым пентестерам, кормящим матерям, лицам не достигшими 18 лет, а также высоконравственным личностям - читать не рекомендуется. Всем остальным - адекватным и с чувством юмора - милости просим.

Зачем мне это читать?

Если ты занимаешься своими тёмными делишками, сидишь за дабл внп, пользуешься криптой и думаешь что всё будет прекрасно и замечательно, то советую прочитать и посмотреть как попались твои коллеги. Поймёшь как делать не надо. Не забудь сделать правильные выводы. Если ты наоборот на светлой стороне и ловишь всяких негодяев, то всё это сказки, выдумка и вообще автора не существует, а тебе всё это снится. Немного позлорадствуй и не забудь принять таблетки. Если ты будущий бариста пентестер, то тебе будет интересно почитать про реальный случай со всеми подробностями, потом можешь дальше искать ключи от ssh в robots.txt на своих лабах. Если ты просто любопытный читатель и мимо крокодил, то вот тебе текст, чтобы было что почитать кроме освежителя воздуха.

Время чтения: 10 минут

Нудное вступление

Меня разбудил звонок. Первый раз в жизни мне звонили... коллекторы. Сон сняло как рукой, хотя обычно выползти утром из тёплой кроватки занимало минимум пол часа. Оказывается у меня есть долг, причем давно и я ничего не предпринимаю чтобы его погасить. Сначала подумалось, что это обычные мошенники, которые хотят у меня выведать вот ту самую информацию, которую они обычно просят назвать доверчивых бабушек, но внезапно оператор назвал мою почту. Не просто почту, а университетскую почту. Почту, интерфейс которой вызывает кровотечение из глаз, почту, которую не пропустит большинство спам фильтров, почту, суммарный объём писем с вложениями 50 мб, почту, которую использовать где-то, да даже просто заходить в неё целое испытание. Откуда он вообще про неё знает??? Пришлось разбираться. Путём звонков и уточнений, выяснилось, что на карте, которую когда-то мне выдали при поступлении в универ, оказался не ничего себе такой минус. Как???

Здесь стоит сказать что дело происходит в параллельной вселенной другой стране, не в России. В этой стране, за счёт особенностей банковской системы, на дебетовой карте можно уйти глубоко в минус. Надо сказать, что и в России можно, но при отрицательном балансе, даже -5 рублей, дальше платить с этой карты нельзя, а тут не так. За счёт использования этих самых особенностей, можно платить целую неделю картой, а потом всё спишется разом. Как? Долгая история, как-нибудь в другой раз.

Карта использовалась пару раз всего (купить чашку кофе в автомате, оплатить метро), в интернете не светилась и вообще хранилась отдельно как сувенир для внуков. Откуда у них данные?

Ищем утечку

Посмотрим были ли похожие случаи. Да, оказывается в этот день звонили не только мне, а много кому. Все такие же студенты и тоже в шоке. Откуда же могла произойти утечка? Мало вероятно, что из кафе или метро. Вряд ли они так тщательно фильтруют студентов. Похоже на централизованную утечку из (внезапно) родного универа.

Небольшое замечание. Я вот тут пишу всё логично, понятно и всякое. Как и авторы других статей. На самом деле, на практике это всё кровь, пот, боль, слёзы и нервы, а написано так логично и последовательно, чтобы было удобно читать. Причём ты читать будешь 8-10 минут, а на практике это заняло несколько месяцев.

Едем в универ, идём туда, где получали карту. Там уже очередь, все недовольны, все возмущаются. Ждём. Надоело. Идём за кофе. Очередь. Едем на лифте 8 этажей вверх (а может вниз, кто знает) в секретное место, где очереди нет. Кофемашина расположена в закутке, там же стояли работники бухгалтерии, которые вздрогнули при моём появлении. Обозначив, что я не буду их душить голыми руками, и мы просто попьём кофе, пытаемся поддержать светскую беседу. Удивительно, но тема как-то всё равно сползает на отрицательный баланс. Перейдя в наступление работники бухгалтерии гордо заявляют, что это всё "русские хакеры", а у них всё хранится безопасно, под защитой антивируса и (внимание!) на сетевом диске, доступном только из локальной сети. Ага, вот это новость.

Локализуем утечку

Звоним админу, хорошо что у нас с ним хорошие отношения (были бы плохие, было бы плохо) и кроме того, мы еще немного волонтерим его помощником. Уточняем секретные детали где находится розетка, чтобы можно было оказаться в той же подсети. Розетку нашли, но непонятно что дальше делать. Попробуем построить топологию сети. Это легко можно сделать с помощью nmap запускаем и сканируем сеть. Оказывается, всё идёт через один роутер Mikrotik. Перезваниваем админу, просим дать логин пароль от роутера. Естественно нас вежливо (отношения то хорошие) посылают далеко и твёрдо. Не менее твёрдо говорим, что случилось, какая утечка произошла. Если даст он доступ, будем в одной лодке, не даст пойдёт ко дну сам. Где логика? Никакой логики нет - одни эмоции. Это вам реальная жизнь, а не сериал со своим лором. Где что-то сделал, а потом думаешь, а нафига оно надо было. Пока мы всё это рассказываем админу, телефон радостно вибрирует и вот у нас на почте есть ключи от роутера. Login: Mike and password: Tyson1982. Как вы догадались, в тексте всё приведено как есть, без купюр. В идеале надо бы ещё скриншоты было приложить, но мне лень.

Смотрим что там на роутере

Заходим на роутер. Ничего не понятно. Космический корабль какой-то. Ладно, гуглим как это бывает и что делают плохие парни попав на роутер. Оказывается они поднимают VPN и спокойно им пользуются для своих грязных делишек. Смотрим внимательно мануал и находим подозрительный l2tp туннель. Снова звоним админу и узнаём детали - нет, это не его, ох ты ж б**дь н**я себе как так. Вместе разбираемся где найти адрес того, кто подключился. Есть! Первый результат! Найден ip засранца.

А кто это тут у нас такой...

Анализ показал что ip принадлежит VDS провайдеру OVH Cloud. Надо бы написать что не реклама, но и так понятно)))). Запускаем nmap, сканируем. Сложно сказать зачем, но так принято. Есть удалённая машина - надо просканировать. Внезапно, ничего такого там нет. Открыт 22 порт (ssh), ещё несколько. Операционная система (внезапно) Linux. Супер-мега эксплойтов у нас нет, да и RCE (remote code execution) что-то как-то маловероятно что вообще есть в природе, ну может и есть, но не у нас. Грустим, расстраиваемся, злимся, заводим себе там же VDS, чтобы посмотреть как это вообще работает изнутри. Единственным вариантом у нас остаётся брут, брут ssh. Эксперименты со своим VDS показали, что:

  1. На машину можно зайти как обычным пользователем, так и root. Обе опции включены, вторую рекомендуют отключить в веб панели.
  2. Имя пользователя совпадает с названием ОС машины, но root везде root.
  3. При попытке брута, машина сразу отправляется в песочницу провайдера.

Полный отстой. Хуже некуда. Грустим, злимся, вспоминаем про VPN! Срочно звоним админу и просим ничего не трогать, потому что так надо для дела. Успели. На наше счастье админ оказался очень последовательным, понимая, что за такую утечку он будет скоро осваивать профессию лесоруба, просто уехал пить с друзьями. Забавный факт. Несмотря на хорошую дозу алкоголя, соображать хуже про сети и всякое он не стал. Получив от него дополнительную информацию и советы как настроить маршруты, а так же согласие на проведение работ (в оригинале фраза звучит примерно так: е**шь с компа у стены в лабе, он для тестов всякой х**ни и в этой сетке висит) начинаем брут. Брутить будем с помощью... Правильно, nmap. Нет, никто не упоролся. Всё нормально. У nmap есть свой Scripting Engine, если вы не знали, и там можно вполне себе брутить и кучу всего ещё. Ставить на какой-то компьютер Kali, Hydra и всякое, отвратительная идея. Мы хотим найти засранца, а не подставиться самим. Ищем словарь. Их много, но делать нечего. Запускаем брут и идём спать. Надежды нет, но хотя бы попробуем. По дороге успокаиваем админа тем, что никто не знает, а мы никому не скажем. Получаем в ответ что-то похожее на спасибо. Процесс брута весьма не быстрый, но поскольку мы делаем это всё изнутри, то в песочницу провайдера не улетаем. Попутно выясняем что мамкин хакер не настроил Fail2ban, поэтому брут чувствует себя прекрасно. Спустя некоторое (довольно продолжительное) время нам снова звонит админ и начинает робко пытаться узнать, почему следствие веду я, а не кто-то другой, специально обученный. Ещё раз повторяем, что всё строго конфиденциально, ничего не будет, никому не скажем. Админ снова едет бухать, мы идём проверить наш брут и... Чудо! Пароль найден! Готовы? Вот он: nalanal. Как мило (нет). Попался тварь. Пробуем зайти на сервер, сердце бьётся, пульс зашкаливает. Дааааа!!! Получилось!!! Ключи ssh, да ну нет, бред какой-то. Итак, мы на машине и с полными правами.

Логи? Где логи?

Заходим на машину и внезапно логов нет… Что делать... В этот раз, окрылённый успехом и эндорфинами мозг сразу выдал решение - включить логи и подождать. Если вы один раз отключили логи, кто сказал, что они до сих пор отключены?)))) Тссс... Что за звук? Кто-то жарит попкорн, кажется... а, нет, это сжимаются и коллапсируют в чёрную дыру булки мамкиных хакеров, которые думают, что отключив логи один раз они в полной безопасности навсегда. Звук усиливается. Ладно, продолжаем. Включаем логи и ждём. Уже через два дня видим что сработало))) Вот и настоящий ip засранца.

WTF?

Не передать словами какое разочарование случилось, когда стало понятно что ip принадлежит другому впн сервису. Умник использовал дабл впн. Что тут можно сказать, молодец, правильно сделал. Выясняем какой. NordVPN. Это полный отстой. Провернуть такой же фокус с их серверами не выйдет. Снова грустим, но уже меньше и думаем, думаем, думаем, ду... придумали. Ужасная идея, которую не рекомендую повторять, потому что это писец как опасно и какие нервы. Составляем запрос, благо учились мы хорошо и документы оформить как надо не составляет никакого труда. Оформляем всё правильно и красиво. Понимаем что завернут. Допускаем пару ошибок в форматировании и делаем документ менее идеальным внешне. Понимаем что завернут. Регистрируем домен, очень похожий на тот, что используют сотрудники соответствующих органов. Настраиваем почту для домена. Проверяем что всё работает как надо, отправляя письмо самому себе. Работает. Понимаем, что завернут. Желательно отправить письмо с ip у которого низкий fraud rating, а не вот это вот. Решаемся на отчаянный шаг. Берём скрипт OneShot для реализации WPS атаки (прям с Github качаем), который реализует атаку Pixie dust и едем искать полицейский участок, который в свободное время админит собака, которая ищет наркотики, а не живой человек. Живой человек первым делом выключит на роутере WPS. Понимаем, что зря. Зря. Зря. Зря. Но кажется уже почти получилось, ещё чуть-чуть. В конце концов, шансы на успех малы, но будем спать спокойно хотя бы, понимая, что сделали всё возможное. Мало вероятно что такое прокатит. Внезапно, но такой участок был найден и не один. Ужас, конечно. Хорошо хоть пёс догадался разделить vlan и ничего такого в сеть не торчит. Отправляем письмо и пытаясь скрыть панику от осознания того, что произошло, сваливаем. На следующий день пришёл ответ. Видно, админу уже надоело копаться в этом и поэтому в письме была выгрузка всей ноды. Всей ноды!!! К чести NordVPN информация была крайне скупая. Скачиваем себе файл на флешку (забавный факт из жизни, флешка в унитазе не топится, не пытайтесь даже) чистим всё и идём изучать логи. В очередной раз у нас есть ip это засранца.

NAT или не NAT вот в чём вопрос

Звоним админу и говорим, что очень просим перестать бухать и озаботится безопасностью сети, пока еще есть такая возможность. Попутно прикидываем что за новый ip. Ого! Ростов-на-Дону вот это да. Выясняем провайдера высылаем дронов думаем что дальше. Собственно, кажется, что всё. Что ещё можно сделать? Пробуем социальную инженерию. Звоним провайдеру и пытаемся выяснить что и как. Поскольку у нас не фильм и не статья для журнала, всё идёт так себе. Точнее откровенно плохо. У поддержки скрипт и они ему следуют. Нас регулярно шлют далеко и не всегда очень культурно, поскольку кроме ip мы ничего не знаем. Никаких номеров договора, даты рождения и всякого такого. Приехали... Ладно, пробуем ещё вариант. Просим переключить на тех. поддержку, потому что документы далеко, а интернет не работает. После нескольких попыток, в один прекрасный момент, когда мы заводим грустную историю про сломанный интернет, который никак не работает, а сайты открываются через один, на том конце произносят фразу: у вас белый ip, возможно он...

Ничего себе! Белый ip! Вот это да. Надо было догадаться))) Пойдём-ка посмотрим что у нас там такое. Интернет резко заработал, большое спасибо тех. поддержке))) Смотрим. Роутер на openwrt! Как замечательно, молодец какой. Безопасно и надёжно. Запускаем RouterScan - нет результата. Запускаем RouterSploit - нет результата. Жалко... Мы ведь почти у цели. Думаем, думаем, думаем. Смотрим на наши заметки и видим что на сервере был пароль nalanal, а что если... Да, так и есть. Догадайтесь какой пароль был на роутере))) Правильно: nalanalnalanal. Это всё же роутер. Б - безопасность.

Да кто ты такой?

Итак, мы на роутере. Внезапно. Не планировалось что всё зайдёт так далеко. Что дальше делать? На самом деле это большой вопрос. Если бы мы были крутыми спецами, то было бы понятно, но в нашем непонятно ничего. Штош. Попробуем изучить трафик и посмотреть что там есть. Возможно, мы залезли к каком-то левому челу на роутер и сидим радуемся непонятно чему. Серьёзным оказался вопрос чем смотреть трафик. Вариантов не оч много. Кстати, ещё момент. Нужно поднять на роутере с openwrt впн сервер и настроить маршруты. В моём случае он был уже поднят, но чел оказался умным и генерил ключи не на месте, а где-то у себя (ну, а вы продолжайте дальше использовать скрипт автоустановки openvpn, чтобы всё в одном месте лежало), поэтому пришлось поднять ещё один. Как показала практика, конфиги никто не проверяет, так что норм. Тестируем инструменты, на выбор есть BurpSuite, Wireshark, tcpdump, Intercepter-NG. На всякий случай напомню ещё раз, что перед тем как делать что-то на реальной системе, лучше сначала это протестировать где-то. Так и было сделано. Тесты показали, что если что-то нужно, то берётся Intercepter-NG и делается дело. Нет, это не реклама, мне никто не платил. Просто раздражает, когда конкретные вещи не называют, говоря что ой-ой, реклама, не скажем и приходится тратить кучу времени на элементарные вещи. BurpSuite постоянно стучится себе на сервер, что нам совсем не нужно, wireshark и tcpdump вываливает столько инфы, что пошло оно всё в одно место, на реальной системе объём трафика такой, что могу только пожелать успеха во всём этом разобраться и найти нужную инфу. Да, в итоге это оказался тот самый тип.

Как не надо делать

Внезапно, но посмотреть информацию в https весьма сложно, иногда невозможно. Если на машине стоит впн, то особенно. Кроме ip сервера впн провайдера ничего найти не получится. Однако есть и хорошие новости)))) Во-первых, оказалось что впн это как кунг-фу, без необходимости им не пользуются. Надо что-то делать, тогда включаем, не надо выключаем. Пожалуйста, делайте так тоже, не усложняйте мне себе жизнь. Во-вторых, несмотря на то что нормальные сайты (я говорю не про качество услуг) типа гугла, соц сетей и прочего, почти нереально что-то где-то подсмотреть, большинство других сайтов вполне себе можно. Можно конечно и с гуглами повозиться. Это надо, наверное, … В общем, куча хлопот и заморочек, а вот порно сайты другое дело)))) Кто знает зачем регаться на порносайтах? Зачем покупать там премиум? Что???? Куда столько? Зачем делать там двухфакторку? Кто-то посторонний зайдёт и настройки поиска собьет???? Риторический вопрос. Хочется написать, что дальше был легкий деанон и всё, но нет. Это большая, кропотливая и нудная работа (очень мерзкая при том). В итоге нам стало известно всё.

Что дальше

Идей было много. Написать ему и потребовать вернуть свои деньги. Вернуть всем их деньги. Потребовать выкуп и потенциально обогатиться. Накрыть всю сеть, написать про это диплом, чтобы все офигели. Все варианты такие себе. Вернуть деньги обратно, конечно, хорошо, но тогда продолжат страдать другие. Это не правильно. Совладать с жабой очень сложно. Тем не менее получилось. Пусть подавится этими деньгами, они у него поперёк горла встанут. Решено. Теперь надо как-то довести информацию куда надо. Только чтобы точно. Самые въедливые скажут - хаха, доказательства получены незаконно, все напрасно. Другие докинут что он откупится. В общем, да, отчасти так и бывает, но что зря старались что-ли. Нет! Оформляем все документы как положено, чтобы можно было хоть сейчас на печать пустить, на двух языках разумеется, и отсылаем их по соответствующим адресам. Итак, следите за руками. Не понятно откуда, прилетает подробная информация, оформленная и структурированная соответствующим образом. Дело начинает пахнуть премией. При чем мы не говорили откуда ветер дует, чтобы не подставить админа (не портить отношения, так сказать). Просто вся нужная инфа. После доставки по месту назначения, сразу начнется шевеление - делать ничего не надо, ток проверить немного и вот она премия. При отправке по месту жительства этого засранца, есть три варианта - откупится, возьмёт в долю, накажут. Нас устраивает только последний вариант))) Именно для этого мы и отправили инфу сразу в несколько мест, кроме того, когда всё готово, высока вероятность что желание получить галочку и интерес со иностранных коллег возобладают на жадностью.

Послесловие. Занудное, но полезное

Его пример другим наука (с) Ничего не имею против представителей тёмной стороны силы. Что выбрать - личное дело каждого и он сам за это отвечает. Когда в чатах или в ЛС спрашивают как обеспечить анонимность, настроить защиту и всякое такое, то понятно что это явно не для того чтобы посмотреть пиратскую копию фильма))), но почему бы не помочь и не подсказать. Более того, если бы дело было в том, что утекло фото карты с двух сторон, или данные были оставлены на сомнительном сайте и всякое такое, то вопросов бы тоже не было. Понятно кто виноват в этом случае - я. Но это каким надо быть ублюдком, чтобы украсть деньги у студентов, да ещё не просто украсть, а вогнав их в минус, то есть понимая заранее что денег там нет и быть не может. Дотянуть до стипендии весьма не просто, а кто-то экономит на всём, чтобы отправить немного денег родителям, потому что пока ты учишься, они не молодеют и ещё и ковид докидывает. Из всех не очень позитивных людей, кто встречался мне на жизненном пути, при этом угрожал, оскорблял, пытался нанести всякий ущерб, никогда не было даже мысли его найти и кинуть репорт. Зачем? Пенитенциарная система ничего общего не имеет с исправлением и нечего там делать никому и никогда. Тем не менее оставить всё просто так, чтобы страдали беззащитные люди тоже неправильно. Отчасти цель публикации ещё в том, чтобы дать последний шанс, небольшую фору засранцу (он увидит текст, инфа 100%), есть небольшое время подготовиться. Потому что не надо так делать никогда.

Из всего этого есть только один вывод - даже если делаете что-то сомнительное, никогда не опускайтесь на самое дно, откуда нет возврата.

Выводы. Коротко

  1. Ставь нормальные пароли.
  2. Проверяй настроенную конфигурацию. Вдруг что-то поменялось пока вас не было.
  3. Изменяй настройки по умолчанию на свои. ssh можно поднять на любом (не 22) порту и сканировать будет в разы сложнее.
  4. Добавь защиту от брута, например, Fail2ban.
  5. Лучше всего заходить на сервер через ssh по ключу, а не по паролю.
  6. Не регайтесь на порносайтах (именно так выглядит испанский стыд).
  7. Используйте впн, даже когда вы просто сидите в интернете.
  8. Не делайте совсем плохих вещей.

(с) 2222 год

Автор: Не существует, говорили же прими таблетки...

proof 4 awillix

Edit
Pub: 11 Feb 2022 21:52 UTC
Edit: 17 Jul 2023 10:56 UTC
Views: 7434