Leaderboard

As vrea sa fac cumva sa prezint totul intr-o lumina super tehnica, dar adevarul este ca felul in care functioneaza internetul ne permite sa futem cu usurinta afacerile unor persoane care isi castiga veniturile din online. Metoda se aplica cu usurinta atat la streameri, cat si la conturi de pe retele sociale, YouTube, sau siteuri. Este blackhat, este muism, functioneaza de foarte multi ani si va mai functiona in continuare zeci de ani de acum inainte. Metoda este cunoscuta de o parte din vechiul staff RST si daca nu era mort forumul si eu nu as fi fost beat nu as fi postat asa ceva. Vedem daca si in zilele urmatoare o sa mai las tutorialul sau o sa cer stergerea lui. E-mail Spam. Aceasta este prima si cea mai usoara metoda. Testata in urma cu mult timp, testata relativ recent. Rata de succes aproape de 100% cu repercursiuni pe termen lung. Hai sa vedem despre ce este vorba. Sa spunem ca vrei sa inchizi un cont de streamer, un canal de YouTube, un cont de Facebook sau un site care nu are tld .ro. Pare cumva imposibil, mai ales in cazul conturilor de streameri sau de YouTube. Insa nivelul de dificultate este aproape mediu. Mediu inspre usor, pentru ca implica resurse minime pentrru cei priceputi si oleaca de creier. Ca sa fie clar pentru toata lumea, aceasta metoda a fost pentru prima data testata de mine in 2013 si se pare ca este valida si in ziua de azi. Specific ca a fost testata de mine in 2013 pentru ca este atat de simpla incat sigur mai exista cateva sute sau mii de persoane care o abuzeaza de ani de zile. Ce implica? Hai sa vedem. Luam ca exemplu un cont de streamer. Sa spunem ca il cheama Filviu Saiăr. Stim ca aceasta persoana monetizeaza atat pe Twitch cat si pe YouTube. Cele doua platforme au reguli bine definite in privinta spamului. Si daca nu ar avea, atata timp cat sunt "legit" (scuze pentru romgleza - muie @mannnu), tot se supun legislatiei in vigoare. Iar legislatia in vigoare din majoritatea tarilor spune ca nu ai voie sa spamezi in inboxurile oamenilor, pentru ca... sloboz la tava. Nu ai voie. Asa ca ce poate face un tampit care prinde boala pe un streamer? Sa trimita spam la cat mai multe adrese de mail cu mesajul: "Hei, eu sunt Filviu Saiăr. In fiecare saptamana intru pe Twitch si fac stream live pentru publicul meu. Am deja 1.000.000 de urmaritori. Intra si tu pe vvv.twitch.rst/filviusaiăr. Garantat o sa iti placa sa ma urmaresti. Si sa stii ca am si un canal de YouTube care poate fi gasit la adresa vvv.youtube.rst/filviusaiăr. Te astept si pe tine". Exemplul de mesaj este ipotetic, dar ati inteles ideea. Trebuie sa para ca acea persoana incearca sa se promoveze prin orice mijloace, inclusiv prin e-mail spam. Mailul trebuie sa para a fi legit, venit din partea acelei persoane, cu scopul de a o promova. Iar aici facem un salt la metoda "cum sa inchizi un website", dupa care revenim la ceea ce se intampla de fapt si de ce sansele ca aceste persoane sa fie afectate din cauza unui e-mail spam facut in numele lor sunt foarte foarte mari. Promit ca este simplu si promit ca este oarecum amuzant cand veti intelege cat de varza functioneaza legislatia nescrisa a internetului. O sa scriu succint cateva reguli care se aplica pentru ca aceasta metoda sa aiba succes: 1. nu trebuie sa fie un tld .ro 2. nu trebuie sa fie un tld vandut de ROTLD Clarificare: pe romani ii doare la banana de spamul in mail. Daca vei cumpara un domeniu .ro sau orice alt domeniu vandut de ROTLD (este irelevant daca este vandut de ROMARG sau alti selleri), este nevoie sa ti se deschida dosar penal pentru ca domeniul sa fie inchis, sau confiscat de autoritatile romane. Pentru a se intampla asta trebuie sa faci frauda cu acel domeniu, sau sa vinzi produse contrafacute. Cel putin asa era pana acum 4-5 ani. Nu cred ca s-a schimbat ceva intre timp (muie @mannnu - sa iti iau toata familia in pula). Deci, daca vorbim despre un domeniu .com, .net, .org etc atata timp cat trimitem spam exista sanse mari ca acel domeniu sa fie inchis. Care este logica? Logica din urma cu cativa ani era ca Spamhaus se ocupa de spamul in e-mail (colaborau cel putin cu Yahoo Mail), si cand acestia trimiteau notificare catre registrar si providerul de hosting, ori unul, ori altul luau masuri (atata timp cat nu era bulletproof hosting). In ziua de azi nu stiu daca Spamhaus mai au o influenta atat de mare, insa stiu ca in continuare cine este prins ca trimite e-mail spam poate avea probleme. Iar aici intervine, cred eu, problema cu honeypots. O sa va prezint varianta simplificata a intregului flow folosit de companiile care se ocupa cu combaterea spamului si cums e creeaza honeypots. 1. Se creeaza adrese de mail pe toate platformele de e-mail gratuit 2. E-mailurile respective sunt verificate si analizate zilnic de robotii companiilor cu servicii anti-spam 3. Mailurile care sunt dovedite a fi spam intra intr-un flow de: raportare la hosting, raportare la registrarul de domenii, introducere in blacklist. Sau se adauga pe unele siteuri adrese de mail ale companiilor care ofera servici anti-spam si cand le crawleaza cineva si le spameaza adresele de mail incep sa se ia masuri. Nu cred ca metoda asta mai este de actualitate. Nu este obligatoriu ca toate companiile cu servicii anti-spam sa procedeze fix cum am descris mai sus, dar in general cam astia sunt pasii. Punem accent pe raportare la registrarul de domenii si introducere in blacklist. In ziua de azi nu cred ca se duc direct la hosting. @aelius care ofera servicii de hosting ar putea sa ma corecteze unde gresesc pentru ca este mai familiarizat decat mine cu tot flowul asta. Acum revenim la intreaga imagine de ansamblu. Nici o platforma de streaming, de video hosting, de website hosting, nu isi doreste ca ip-urile sa fie listate ca fiind "spammy". Asa ca ori de cate ori cineva abuzeaza de "e-mail marketing" si exista reclamatii incep sa ia masuri. Dar pentru a se lua masuri coercitive trebuie ca mailurile de tip "spam" sa ajunga la un inbox de tip honeypot, pentru ca mai departe sa se ocupe de raportare compania care se ocupa de blacklistul antispam. Masurile coercitive ale registrarului consta in suspendarea domeniului, iar in cazul providerilor de hosting se ajunge la suspendarea serviciilor de hosting. Pe vremuri ne foloseam de Spamhaus ca sa ajungem la aceste rezultate pentru ca erau foarte influenti. Acum nu stiu ce putere mai are Spamhaus, dar stiu ca in cazul reclamatiilor de spam atat hostingul cat si registrarul (daca sunt servicii serioase), cat si platformele de streaming/video hosting, iau masuri cand primesc reclamatii pentru e-mail spam. In cazul providerilor de hosting exista doua metode pentru a le influenta deciziile: - spam in e-mail - DOS/DDOS pe domeniul hostat de ei Imi amintesc cu zambetul pe buze (futu-ti mortii ma-tii @mannnu), cum in 2013 Slick mi-a facut un programel care imi permitea sa modific pachetele RTMP folosite de Adobe flash. Aveam un chat din UK care folosea pachete RTMP, chat pe care il abuzam folosind taguri html de tipul <img src="https://www.domeniu.com:3306" />. Cand trimiteam in chatul respectiv acea sintaxa html de fiecare data cand cineva scria un mesaj pe chat se faceau exponential requesturi de la cei care foloseau Firefox, pentru ca in plugin-container.exe (proces folosit de Firefox pentru Adobe Flash), nu se incheia sesiunea decat la restartul pc-ului, nu si la inchiderea browserului sau a tabului. Practic daca scria cineva pe chat imediat dupa ce injectam html-ul cu imagine, fiecare utilizator de Firefox prezent pe chat facea un request, apoi la urmatorul mesaj - scris de oricine - pe chat se faceau doua requesturi, apoi la urmatorul mesaj 4 requesturi, la urmatorul 8 requesturi s.a.m.d.. Am descoperit bug-ul din intamplare si nu a fost niciodata facut public. Manca la banda ca la balamuc. A murit odata cu Adobe Flash si acum regret ca nu l-am raportat ca sa fac niste $$$ sa imi cumpar Urus. Unde vreau sa ajung este ca la siteuri cu shared hosting si cu limita de resurse, astfel de requesturi pica baza de date a tuturor siteurilor hostate pe acel server, sau intreg hostingul avea banda de net fututa la maxim, iar la cateva ore de la inceperea atacului compania de hosting suspenda site-ul respectiv si il trimitea pe owner in pizda ma-sii in 90% din cazuri. Florin Grozea de la Hi-Q a simtit asta pe pielea lui cand i-am aplicat metoda asta pe siteul floringrozea punct com. Alte clarificari: nu va asteptati sa inchideti domenii de tip amazon punct com. Functioneaza pe domenii normale, de oameni normali, sau de afaceri micute. In cazul creatorilor de content sau al streamerilor va functiona oricat de mare este numarul lor de urmaritori, dar trebuie sa bombardati honeypot-urile serviciilor anti-spam pe termen mai lung. Si cum este, cred eu, imposibil sa aflati care sunt adresele e-mail de tip honeypot, va trebui sa spamati constant un numar mai mare de mailuri (cam 100.000) ca sa aveti rezultatele dorite. Cine are resurse pentru spam poate face asta cu usurinta, dar in general nu o va face pentru ca nu aduce profit financiar. Un copil care vrea sa inchida contul unui streamer care i-a dat ban, nu are resursele necesare pentru a duce planul la bun sfarsit. Cam atat despre subiectul asta. Sa imi bag pula in mortii ma-tii @mannnu. Uite ca oricat de zmeu te crezi imi sugi pula. Bine ai venit pe internet, luati-as familia in pula.

Studiu de caz: Operatiunea “DeepFake” Context In data de 7 august au fost retinuti in Chisinau 12 persoane intr-o ancheta desfasurata de autoritatile romane in colaborare cu cele din Republica Moldova. Cei 12 suspecti au fost arestati deoarece se considera ca ar fi inselat sute de romani si au obtinut un total estimat de 15 milioane de lei. Operațiunea a fost coordonată cu implicarea structurilor de drept din ambele țări, evidențiind colaborarea transfrontalieră în combaterea criminalității organizate și a noilor tipuri de infracțiuni care implică tehnologii avansate. Gruparea infractionala folosea tehnologia deepfake pentru a genera clipuri trucate cu personalitati mari din Romania in care acestia incurajau populatia sa investeasca in diferite escrocherii online. Despre gruparea “DeepFake” Conform cercetarilor mele, gruparea activeaza inca de la sfarsitul lui decembrie anul trecut(2023). Nu exista o data exacta insa pot estima undeva de la opt luni pana la un an de la momentul scrierii acestui studiu de caz. Gruparea are sedii fizice atat in Moldova cat si in Romania, de unde acestia apeleaza clientii. Conform moldova1.md “Persoanele reținute, cu vârste între 20 și 45 de ani, erau angajate de companii care implementau selecții riguroase, inclusiv teste de poligraf. Majoritatea bănuiților sunt tineri angajați în centre de apel, specialiști IT și agenți de vânzări, în timp ce alții aveau roluri de superiori sau administratori. Unele persoane și-au recunoscut vinovăția și cooperează cu autoritățile.” Din cateva apeluri purtate cu operatorii acestei grupari am inteles ca programul de lucru al angajatilor este de luni pana vineri. Majoritatea dintre acestia sunt oameni cu varste cuprinse intre 25-30 ani dar sunt si studenti cu o situatie financiara precara care nu stiu cu adevarat ce vand oamenilor. Cel mai probabil, acestia sunt recrutati de pe grupuri de Facebook si de pe platforme precum OLX. Cum functioneaza toata operatiunea Scam-ul incepe dindata ce utilizatorul de rand foloseste retele sociale precum: YouTube, Facebook, Instagram. Gruparea genereaza reclame de pe mai multe pagini de Facebook, Instagram chiar si YouTube. Din cercetarile mele, grupul foloseste persoane cunoscute din Romania pentru a ajunge mai usor la public, printre care regasim: Andreea Esca, Mugur Isarescu, Florin Zamfirescu, Ion Tiriac, Iancu Guda ruleaza mai multe scenarii, dar in acest document o sa investigam modul de operare a scenariului BRUA. Personal, am dat de reclama pe YouTube, unde Denise Rifai, prezentatoarea emisiunii “40 de intrebari” vorbea cu Florin Zamfirescu unde acesta afirma ca reuseste sa faca zeci de mii de lei prin intermediul investitiilor in BRUA. BRUA există, dar nu ca fond de investiții ci este magistrala de GAZ dintre Bulgaria-România-Ungaria-Austria și găsim informații pe site-urile oficiale ale statului. Utilizatorul care acceseaza pagina din reclama este redirectionat pe un domeniu unde site-ul rfi.fr/ro este clonat 1:1. Pe site este prezentat un articol unde se prezinta o conversatie intre Denise Rifai si invitatul Florin Zamfirescu. De exemplu, doua dintre domeniile folosite sunt dixycaa.com si fuwakumarofe.life La sfarsitul articolului se regaseste un link de redirect pentru a completa un formular cu: nume, mail si numar de telefon. Odata completat, un operator urmeaza sa se sune victima. Conversatia urmeaza intotdeauna acelasi curs, daca cumva clientul deraiaza cu o intrebare care nu este anticipata, operatorul ramane blocat, deseori oprind microfonul(probabil pentru a intreba colegii din incapere ce sa raspunda). Tonul este unul prietenos, operatorul este instruit sa se adapteze oricarui tip de comportament social. De asemenea, acesta este foarte sociabil, aproape ca un prieten(dar care vrea sa-ti fure banii). Dupa ce victima este convinsa si se stabileste o relatie de incredere minima, operatorul trimite pe WhatsApp un link catre un site web fals, care arata identic cu site-ul legitim din care iti poti retrage “câștigurile”. Dar, nu inainte sa efectuezi un transfer prin IBAN de minim 1250 RON pentru a-ti incepe ‘’investitia’’. Convorbirea se deruleaza astfel: Prezentarea operatorului si a firmei Intrebari precum: varsta, locul de munca, surse de venit, cetatenie, banca, buget Explicarea procesului Trimiterea unui mesaj pe WhatsApp cu link catre o platforma clonata la fel, 1:1 Generarea unui cont pe platforma respectiva si trimiterea acestuia prin WhatsApp Castigarea increderii Si desigur, plata prin card catre contul trimis prin WhatsApp Desi operatorii sunt instruiti sa fie prietenosi si sociabili, am observat ca se enerveaza foarte tare cand nu esti in stare sa scrii codul IBAN corect pentru a face plata, chiar nu inteleg de ce. Manipularea psihologica Tot procesul este unul amplu si bine gandit, textul de pe site-ul web fiind unul bine gandit cu scopul de a manipula oamenii. Putem observa in imaginea de mai jos cum se creeaza scenariul perfect pentru un atac de tip phishing. Gruparea incearca sa distraga omul prin creearea senzatiei de a rata oportunitatea vietii. De asemenea, in sectiunea falsa de comentarii, putem observa recenziile. Aceasta tehnica este folosita frecvent in campaniile de inselatorie, unde victimele sunt atrase prin recenzii false si promisiuni de castiguri rapide. Odata ce utilizatorii sunt convinsi de veridicitatea comentariilor, acestia devin tiinte sigure. Efectul de validare sociala joaca un rol crucial in acest proces. Comentariile pozitive creeaza o iluzie de incredere ceea ce ii face pe utilizatori mai predispusi sa pice in plasa escrocilor. Cum manipuleaza oamenii Odata furnizate datele pe domeniile fantoma, oamenii sunt sunati de catre un operator. Operatorii, conform recorder.ro aveau script-uri gata pregatite pentru a raspunde victimelor cu raspunsuri predefinite. Putem observa clar cum operatorii au raspunsurile pregatite pentru cele mai comune intrebari si raspunsuri date de clienti. Asta denota ca gruparea este una profesionista si bine pregatita, nu doar un simplu grup de oameni fara cunostinte. Dupa captarea atenției și câștigarea încrederii, acesta urmeaza sa introducă date precum: numele, email-ul si numarul de telefon. Astfel, la scurt timp dupa (maximum 24 ore, potrivit site-ului), o persoana implicata in gruparea infracțională te va suna sa te convinga de legitimitatea investiției si garantarea unui profit intr-un timp foarte scurt. Anonimizarea operatiunii Fiind o grupare infractionala bine organizata, acestia si-au luat masurile necesare pentru a-si asigura procesul de anonimizare minim. Regasim urmatoarele tehnici folosite. Anonimizarea datelor din registrele domeniilor ICANN care este o organizație non-profit responsabila pentru coordonarea și mentinerea stabilitatii si securitatii sistemului global de adrese IP si nume de domenii pe internet care este supusa in mod direct legii GDPR care protejeaza datele personale. Domeniile folosite de atacatori sunt cumparate de la namecheap, un comerciant care dupa implementarea GDPR in 2018 a creat serviciul withheldforprivacy, un serviciu menit sa mascheze datele reale ale detinatinatorului unui domeniu cu date generice. Asadar, informatii precum: nume, numar de telefon, adresa, mail sunt toate inlocuite cu unele generice. Numere spoofed Gruparea foloseste numere spoofed, adica atunci cand esti apelat de catre operator, numarul original este afisat ca fiind altul. Nu mare mi-a fost mirarea cand sunam inapoi la numarul operatorului, imi raspundeau persoane care nu aveau nici-o legatura cu operatiunea aceasta. Reclame non-stop Deoarece acestia stiau ca platformele mentionate vor depista rapid reclamele inselatoare, acestia generau sute de conturi si domenii dupa care promovau videoclipurile care utilizau deepfake incontinuu avand ca target de audienta persoane din Romania cu varste cuprinse intre 30-60 ani. Ce urmeaza? In urma convorbirilor si a pretextului ca vreau sa investesc, am reusit sa obtin de la un operator IBAN-ul contului in care urma sa virez suma(spoiler alert: n-am facut-o) Deoarece consider ca IBAN-ul este defapt a unei persoane pacalite la randul ei, nu am sa divulg IBAN-ul in mediul public. Parerea mea este ca grupul infractional nu a fost constituit doar din cele 12 persoane prinse si ca aceasta urmeaza sa isi desfasoarea activitatea in continuare. Am sa urmaresc in continuare acest caz iar daca alte date relevante apar am sa continui cu acest studiu.

WhatsApp for Windows lets Python, PHP scripts execute with no warning By Bill Toulas A security issue in the latest version of WhatsApp for Windows allows sending Python and PHP attachments that are executed without any warning when the recipient opens them. For the attack to be successful, Python needs to be installed, a prerequisite that may limit the targets to software developers, researchers, and power users. The problem is similar to the one affecting Telegram for Windows in April, which was initially rejected but fixed later, where attackers could bypass security warnings and perform remote code execution when sending a Python .pyzw file through the messaging client. WhatsApp blocks multiple file types considered to carry a risk to users but the company tells BleepingComputer that it does not plan to add Python scripts to the list. Further testing by BleepingComputer shows that PHP files (.php) are also not included in WhatsApp's blocklist. Python, PHP scripts not blocked Security researcher Saumyajeet Das found the vulnerability while experimenting with file types that could be attached to WhatsApp conversations to see if the application allows any of the risky ones. When sending a potentially dangerous file, such as .EXE, WhatsApp shows it and gives the recipient two options: Open or Save As. WhatsApp options for executable files source: BleepingComputer.com However, when trying to open the file, WhatsApp for Windows generates an error, leaving users only the option to save the file to disk and launch it from there. In BleepingComputer tests, this behavior was consistent with .EXE, .COM, .SCR, .BAT, and Perl file types using the WhatsApp client for Windows. Das found that WhatsApp also blocks the execution of .DLL, .HTA, and VBS. For all of them, an error occurred when trying to launch them directly from the app by clicking "Open." Executing them was possible only after saving to disk first. Launching .EXE from WhatsApp client fails source: BleepingComputer Talking to BleepingComputer, Das said that he found three file types that the WhatsApp client does not block from launching: .PYZ (Python ZIP app), .PYZW (PyInstaller program), and .EVTX (Windows event Log file). BleepingComputer's tests confirmed that WhatsApp does not block the execution of Python files and discovered that the same happens with PHP scripts. If all the resources are present, all the recipient needs to do is to click the "Open" button on the received file, and the script executes. Das reported the problem to Meta on June 3 and the company replied on July 15 saying that the issue had already been reported by another researcher and should have already been fixed. When the researcher contacted BleepingComputer, the bug was still present in the latest WhatsApp release for Windows, and we could reproduce it on Windows 11, v2.2428.10.0. "I have reported this issue to Meta through their bug bounty program, but unfortunately, they closed it as N/A. It's disappointing, as this is a straightforward flaw that could be easily mitigated," explained the researcher. BleepingComputer reached out to WhatsApp for clarification about the reason for dismissing the researcher's report, and a spokesperson explained that they didn't see it as a problem on their side, so there were no plans for a fix: "We've read what the researcher has proposed and appreciate their submission. Malware can take many different forms, including through downloadable files meant to trick a user." "It's why we warn users to never click on or open a file from somebody they don't know, regardless of how they received it — whether over WhatsApp or any other app." The company representative also explained that WhatsApp has a system in place to warn users when they're messaged by users not in their contact lists, or whom have phone numbers registered in a different country. Nevertheless, if a user's account is hijacked, the attacker can send to everyone in the contact list malicious scripts that are easier to execute straight from the messaging app. Furthermore, these types of attachments could be posted to public and private chat groups, which could be abused by threat actors to spread malicious files. Responding to WhatsApp rejecting the report, Das expressed disappointment with how the project handled the situation. "By simply adding the .pyz and .pyzw extensions to their blocklist, Meta can prevent potential exploitation through these Pythonic zip files," the researcher said. He added that by addressing the issue WhatsApp "would not only enhance the security of their users but also demonstrate their commitment to promptly resolving security concerns. BleepingComputer contacted WhatsApp to alert them that the PHP extension is also not blocked but has not received a response at this time. Sursa: https://www.bleepingcomputer.com/news/security/whatsapp-for-windows-lets-python-php-scripts-execute-with-no-warning/

O zi productiva pentru forum, una cu multe conturi noi inregistrate