Театр абсурда или же сколько нужно мошенников чтобы вкрутить одну лампочку
Вторым вариантом названия было "Сочинение на тему "Как я провел вечер""
Но сначала – с возвращением меня. Старый блог, который висел на домене b.s4lieri.tech, к сожалению, был утерян (ввиду некоторых моих ошибок), и поэтому был поднят новый, более удобный Ghost. Добро пожаловать. Снова.
А теперь – к вчерашней истории!
На часах – 19:31 по МСК. Пишет мне, значит, Декс (когда-нибудь и он заведет себе нормальный блог, но явно не сейчас). С просьбой. Если коротко – его даме сердца резко начал написывать некий @KarenPho (ссылки я прятать не буду, знай своего врага в лицо) с достаточно, я бы сказал, интимной просьбой: скинуть ему целых десять тысяч вечнодеревянных (только дерево качественно разнится ото дня ко дню). И не за просто так, а... За то что он удалит интимные фотографии жертвы, сделанные года так 3-4 назад!
Тут вы можете наблюдать уникальный кадр - мудак в естественной среде обитания.
Как вы понимаете, сердца дама ув. Декса впала в состояние аффекта от неожиданности. Испуг, паника, ужас! Сольют! Да-да, вот то красное замыленное пятно в моих скриншотах сольют. Что там – я и сам (очевиднейшим образом) знаю только со слов Декса: несколько фотографий, и лишь одна – с лицом.
Вот тут уже приходится поднимать спинку кресла, и начинать задумываться о каких-то конкретных действиях. Призвал на помощь свою представительницу лучших доксеров мира. Моя дама сердца заявила следующее:
Да почему эта штука работает в 2016 году? Типа, во-первых, чел, какого чёрта (все выделенные жирным слова были заменены на их цензурные альтернативы)? Тебе настолько негде бабок взять, что ты пошел красть фотки, ещё и приходить "сКиНь ДеСяТкУ [CENSORED] иНаЧе я ОтПрАвЛю эТо ВсЕм ТвОиМ кОнТаКтАм"? Ну пусть посмотрят, чёрт побери, на мои фотки. Не плевать? Ну, меня взломали. Как неловко, простите, да, я человек, у меня есть интимки или что-то ещё, сын собаки. Какие к дьяволу проблемы? Типа, это может быть страшно, когда ты учишься в какой-то школе, и находишься в невыгодном положении в классе, и если это куда-то попадает, то тебя могут загнобить. Но это работает классе в седьмом, увы. ... Типа, чего, а? Я не понимаю. И мне очень понравился пункт про то, что все фотки полетят в предложку telegram-каналов. Просто потому что, ну окей, может быть, чела, который скинул это пустым ником, не привяжут, но, невероятное совпадение, админов tg-каналов! Как бы, ну, не самая хорошая штука распространения чужих фото- и видеоматериалов.
Голосовая запись данного текста успокаивающим женским голосом сработала ошеломительно, снизив общий кризис всей ситуации примерно вдвое. Лучше всего сработал следующий отрывок, полностью отрезвивший женщину Декса, и выбивший ситуацию на ту тропу, которой мы вчера всей командой прошли, и о которой я и буду рассказывать. Вот он:
Плюс, если это фотки старые, с лицом, и тыры-пыры, я почти уверена, что они красивые, если фотки отличные, то почему их не слить? ... Ну, ало, столько людей выкладывают свои полуголые фотки в инстаграм, а почему-то если это, как неловко, интимка, то всё! Это запрещено [я не смог придумать] законом, все морально будут осуждать, человек совокупляется, удивительно, вот это да! Секс это грех, в Советском Союзе такого не было вообще-то, да.
Тут резко было обнаружено, что лица-то ни на одной интимке и впрямь нет! И вообще, не было таких интимок, и так далее.
Конечно же, мошенника никто не послал, решив немного подождать. А вот у нас с Дексом зародился отличный недобрый план, о котором я сейчас и расскажу...
19:49
Обнаруживаем, что мошенник скидывает всем жертвам запись экрана, на которой он "удаляет" интимки, перебрасывая их с рабочего стола в корзину. Выясняем, что работает чучело на Windows 10/11 (нам непринципиально, ядро одно и то же).
Замечаем скриншоты чеков от жертв. Обрабатываем. Получатели все разные – работает через дропперов. Не совсем дурак, но и не особо умный.
Просим Декса передать на тот конец провода, что надо время, чтобы "собрать деньги".
Выбиваем время до конца дня. Таймер пошёл. Через платежные реквизиты ничего не узнать, думаем, чтобы сделать дальше.
19:51
Блядота (это реально его ник, не смотрите на меня так), в таких делах подкованный, вспоминает о возможности вшить трасер (сильно упрощая – отслеживалку, или же маячок – кому как удобно называть) в файл с чеком – очевидно, сфабрикованным. Сам он этого делать не умеет. Предложение принято единогласно, греем угли и начинаем ковать.
Замечу, что от момента начала операции "О" (от слова отпиздить – рус. "избить") до первого не особо легального решения проблемы прошло всего три минуты.
Проверяю свои закрома с атакующими инструментами информационной безопасности (также известными как "инструменты информационной опасности"). Ничего не нахожу – всё умерло ещё до моего выхода на первую работу, когда я завязал с мечтой стать одним из "красных".
Решаю проверить на наличие инструментов брейч. Ага, domain is seized by U.S. Government. Не выйдет. Решаю поднять у себя замену Empire – замену Cobalt Strike с открытым кодом. Дважды жалею об этом решении – когда пытаюсь его запустить на своих серверах, и когда понимаю, что он не отработает.
Ладно, не выходит. На часах тем временем прошло около сорока минут. За двадцать минут пишу генератор нагрузки для файлов с чеками и квитанциями. Начинаем проверять на реальной машине блядоты. Проходят 17/20. Windows Defender в очередной раз показывает верх мастерства защиты от угроз!
Вот только нам это не помогает. На самом деле, в файле документов (он же .pdf-файл) можно спрятать исключительно JavaScript, если использовать полевые методы и инструменты. А тот, благодаря отличным песочницам и тому, что никто не держит Acrobat Reader для открывания таких файлов, а используют браузер, может ну... Не особо много. Да и исполнить его сложнее.
На фоне Декс расковыривает инфу про .docm – обычный Word-файл, но с макросами. Макрос (произвольный кусочек кода на Visual Basic), стоит пояснить, может исполняться от любого триггера. Даже "просто так". Пока я пытаюсь провоевать с загрузкой "крысы" в чек, Декс пытается нашаманить вордовский документ со своей крысой.
Самое обидное в этом всём – то, что современные искины (искуственные интеллекты) абсолютно неспособны обходить гардрейлы. При использовании Claude Code на подписках 5x и 20x мы с Дексом постоянно наблюдали следующую картину:
Model fallback: claude-fable-5 declined this request (cyber); retried with claude-opus-5[1m]. The session will continue on claude-opus-5[1m]. This request triggered restrictions on violative cyber content and was blocked under Anthropic's Usage Policy. To learn more, see https://platform.claude.com/docs/en/build-with-claude/refusals-and-fallback.
Model fallback: claude-opus-5[1m] declined this request (cyber); retried with claude-opus-4-8. The session will continue on claude-opus-4-8.This request triggered restrictions on violative cyber content and was blocked under Anthropic's Usage Policy. To learn more, see https://platform.claude.com/docs/en/build-with-claude/refusals-and-fallback.
Лесенкой. Автоматически спускает с любой модельки до claude-opus-4.8. Неважно, что внутри – мы даже явно не просили ничего, связанного с информационной безопасностью (я так вообще просил только шаблон деплоя написать, что никак не то что деструктивного – обычного кода не касается). Он просто смотрит файлы, видит что-то, похожее на паттерны, и банится. Некруто.
А самое главное, что в любом случае они пытаются отправить тебя на сотрудников органов, причем любых. "Да, это нехорошо, что кого-то пытаются шантажировать в интернете, но права на самозащиту у тебя нет, сначала получи по лицу, а потом иди пожалуйся, вдруг помогут" – как-то так это звучит.
И тут, около одиннадцати вечера по МСК, до нас с Дексом доходит. Макросы по умолчанию отключены. Тупик. На выбор либо JS, с которого можно получить очень мало, либо нерабочий ворд.
Социальную инженерию не рассматривали изначально – такой у нас склад ума и манера речи, что мы человека скорее до самоубийства доведём, нежели убедим его в неправоте.
Примерно за полчаса до полуночи рождается первый прототип JSKnower – приятной штуки, которая собирает всю информацию из браузера, которую может, и выдаёт однозначный уникальный отпечаток пользователя. Проверяем – работает. Определяет одинаково, находит примерное местоположение, находит провайдера, VPN, некоторую хардварную информацию...
Запускаем кое-где. Не на своих серверах – нечего плохими делами заниматься, можно самим присесть.
Делаем смешную шутку – приклеиваем висящий ровно до момента конца идентификации чек, который перекрывает всю страницу. Потом он исчезает, и показывает реальную страницу, которая в этот момент отправляет нам в Telegram все собранные данные.
Запускаем нашего агента, получаем "реквизиты для оплаты" (в Таджикистане, кстати!) отправляем ссылкой на invoice.example.com/some-random-uuid (домен специально поменян, я не хочу после вас искать новый), и ждём.
Мошенник оказался дурак-дураком. Сначала он отчаянно пытался заставить переговорщика (по совместительству девушку Декса) саму открыть страничку, сделать скриншот, даже доходчиво объяснял, как это сделать, но наш шпион не лыком шыт, дуру сыграла как надо. В итоге получаем два набора данных, показывающих одно и то же.
Киев! "Сейчас мы его обработаем!" – уже подумали мы, но тут происходит нечто невообразимо уморительное.
Вот тут уже мы начали сомневаться в собственном здравомыслии. Какой перевод? Почему он решил записывать видос?
И тут жень-чинь Декса резко вспомнила, что она так-то инженер-строитель, и материться умеет если не лучше, то как минимум на том же уровне, что и мы. Началась тотальная резня.
И такого – несколько десятков сообщений. Всё пересылать не буду – чел явно психанул и, видимо, слегка перепугался, и пошел гнать чепуху. Мы уже думали было закончить, но я оставлю вам переписку Блядоты с этим чучелом в качестве бонуса.
Мораль? Не верьте тем, кто пытается вам угрожать, и хочет денег. Блокируйте, подавайте заявления, в худшем случае пишите на почту i@s4lieri.tech – она нерабочая. А если вам угрожают слить ваши интимки – значит, интимки просто огонь. Гордитесь ими.
Подытоживая – вечер был восхитительный. Последний раз я таким занимался года четыре назад, когда надо было найти одного подонка (к слову, мы так и не смогли). Но тут мы знатно напугали одного идиота, попортили ему жизнь, и всё же, если не ошибаюсь, кинули на него жалоб.
Декс и Блядота – лучшая команда, которой я заслуживаю. Нормальных людей, увы, в квоте не было, но и им со мной не особо повезло.
Бонус
