в Аргентине стал очень известным 19-летний юноша, который руководил шайкой дроповодов, специализировавшихся на международных денежных переводах, процессинге крипты и азартных играх. Парень, скромно именовавший себя The Superhacker, получал доход примерно в 50 000 долларов США в месяц, хотя работал он не выходя из собственного дома в Буэнос-Айресе.
Молодой человек жил в Буэнос-Айресе с отцом, который также по работе был связан с компьютерами. «Мы думаем, что столь прибыльный бизнес был создан им самим (подростком) и его братом. Родители, вероятно, догадывались о деятельности детей, но предпочитали не спрашивать их», — говорят в редакции национального телевидения.
Аргентинская пресса отмечает, что такой теневой бизнес одновременно присутствовал в пяти городах страны. 19-летний молодой человек был одним из троих успешных бизнесменов этого процессинга.
В августе 2010 года студия Paramount Pictures выпустила в прокат фильм Middle Men («Меж двух огней»). Действие этой трагикомедии происходит в середине 90х годов: главный герой, Джек Харрис, создает первую в мире электронную платежную систему, специализирующуюся на обслуживании порносайтов. Харрис попадает в одну неприятную ситуацию за другой: его преследуют агенты ФБР, русские бандиты и международные террористы, но в итоге он выходит сухим из воды. Фильм провалился в прокате: при бюджете в $22 млн собрал за три недели всего $733 000, зато стал одним из самых обсуждаемых в сети релизов 2010 года.
Продюсер картины — Кристофер Маллик, а сам фильм основан на истории его собственной жизни. Маллик стал известен как владелец системы ePassporte, крупнейшего платежного сервиса сайтов для взрослых. Через месяц после выхода фильма у ePassporte начались проблемы: VISA отказалась обслуживать платежи. В начале октября система закрылась. Не только мировая порноиндустрия понесла тяжелую утрату — бизнес Маллика обслуживал практически все виды «серых» операций в сети: например, торговлю поддельными товарами и контрафактными лекарствами. Доля ePassporte в этом сегменте доходила до 70%, и реальной замены ей пока не видно.
Фильм стал отчасти пророческим. У Маллика проблемы не только в Америке — русские бандиты тоже могут нагрянуть в гости. Маллик остался должен нашим соотечественникам как минимум $3 млн — это больше трети зависших в системе денег. В России система Маллика известна как «еПасс», и у нее было много клиентов. По условиям ликвидации, деньги, владельцы которых не успеют доказать свои права до 7 ноября, переходят в собственность основателя системы. Его, мягко говоря, не любят. Самые комментируемые темы на форуме master-x.com, хорошо известном среди российских порнодеятелей, связаны с закрытием «еПасс», одна из них «Маллик — крыса».
А еще летом у бизнесмена было множество фанатов в специфической среде. Немногие платежные системы толерантны к порноконтенту, большинство чурается обслуживать платежи за такие услуги. ePassporte была исключением. Толерантность стала одной из причин расцвета порноиндустрии в сети. Она же стала одной из причин ее заката.
КТО ПОРОДИЛ, ТОТ И УБИЛ
Владельцы классических сайтов с материалами для взрослых покупают эти материалы у производителей, вкладывают деньги в дизайн и раскрутку и затем зарабатывают на рознице, то есть на подписке. «Уже два года индустрия в кризисе», — жалуется Kit, владелец сайта master-x.com, самого авторитетного сообщества производителей контента для взрослых. Дело в том, что ePassporte стал родным домом не только для традиционных порнодельцов, но и для пиратов. Система обслуживала партнерские программы, которые занимались привлечением посетителей на файлообменники типа hotfile.com или megaupload.com, где то же самое порно было выложено бесплатно. Эти ресурсы не нарушают американских законов. На вопросы правоохранительных органов всегда готов ответ: «Это не мы закачали контент, это пользователи!» «И формально они невиновны», — объясняет Kit. Но на самом деле владельцы этих ресурсов платят за привлечение пользователей на свой ресурс и получают прибыль от размещения на нем рекламы.
Бесплатный порноконтент практически полностью победил легальный, некогда процветающие студии вынуждены экономить, многие сворачивают производство. Чтобы выжить, приходится искать ниши, свободные от бесплатного контента. Danaborisova, один из порнодеятелей, в интервью нам летом этого года рассказывал, что он теперь занялся веб-камерами: девушки общаются онлайн с посетителями. Его коллега, попросил называть себя Тron, говорит, что вполне платежеспособны любители садомазо, которые готовы отдавать до $80 в месяц за доступ к интересующему их контенту.
АНОНИМНОСТЬ ГАРАНТИРОВАНА
Можно ли получить карту VISA на имя героя известного мультсериала Гомера Симпсона, снимать с нее деньги, а то и расплачиваться ею? До сентября 2010 года ответ был положительным. Одним из главных преимуществ ePassporte была возможность обналичить деньги с помощью карточки, выпущенной на любое вымышленное имя. В российских системах — «Яндекс.Деньги», Qiwi и Webmoney — для того, чтобы вывести деньги из системы и получить наличные, клиент должен предъявить паспорт.
Расчетный банк ePassporte — Национальный банк островов Сент-Китс, Невис и Ангилья (SKNANB.com) — выдавал карты практически на любые псевдонимы пользователей ePassporte. Tron уверяет, что лично видел карту, где вместо имени и фамилии значилось Big Boobs (Большая грудь). «Симпсоны точно были», — уверяет Kit.
Такая анонимность была нелишней для владельцев порносайтов, особенно в России, где за незаконное распространение порнографии преследуют в уголовном порядке. Но и другим дельцам хотелось бы скрыть свои операции в сети. Например, в системе много продавцов фармацевтики. Одно дело — торговать в сети биологически активными добавками, это легальный бизнес. Другое — индийскими аналогами виагры, сиалиса и т.д., продажа которых в США незаконна.
Еще один некогда смежный с порно нелегальный бизнес — мошенничество с пластиковыми картами. Кардеры — специалисты по хищениям — активно обмениваются информацией на своих тщательно законспирированных сайтах и форумах. Там можно приобрести украденные или полученные обманным путем базы данных, включающие данные о номерах карт. Раньше этого было достаточно, но защитные системы в банках развиваются. Теперь мошенникам требуется код CW2/CVC2, а также фамилия и имя держателя карты, а в идеале — еще и место жительства. Специалисты по добыче таких данных называются фишерами.
Банки уже научились отсеивать мошенников, которые, заходя в интернет-магазин с пакистанского адреса, пытаются расплатиться карточкой, выпущенной в штате Нью-Гэмпшир. Поэтому географическая привязка, информация о месте жительства владельца карты так важна — без нее мошенникам не обойти один из важных уровней защиты. Как бы то ни было, после того как номера карт украдены, необходимо как-то списать с них деньги — так, чтобы ни банки, ни платежные системы ничего не заподозрили до тех пор, пока украденные деньги не «отмыты» и не обналичены.
Применялась, например, такая схема, — рассказывает Тron. — Кардер получает базу — информацию о владельцах карт. Затем, например, покупает порносайт. На сайт приходят посетители, начинают покупать контент. Появляется поток сравнительно легальных платежей, в него и подмешивают хищения. Кардер подключает купленную базу и начинает «платить» себе за скаченные видео и фото чужими кредитками, номера которых для него украли фишеры, либо он похитил сам».
Впрочем, сегодня эта некогда популярная схема не работает, признает Тrоn. Пути кардеров и порнодельцов разошлись, и первым пришлось обогатить свой арсенал более изощренными способами отъема денег у населения.
АЛЬТЕРНАТИВНАЯ ОБНАЛИЧКА
В сентябре 2010 года Федеральное бюро расследований США объявило о раскрытии организованной группы интернет-мошенников в составе, как минимум, 37 человек—в основном граждан России и Молдавии. Они обвиняются в хищении из американских банков $3 млн. Позже ФБР заявило: украдено более $70 млн, однако в официальных обвинениях эта цифра не фигурирует. Чуть раньте в Британии было раскрыто аналогичное преступное сообщество, в которое входили исключительно граждане стран СНГ. Суд над ними должен начаться на днях. Но не похоже, что по кардингу нанесен серьезный удар. Сара Баумгалтер, адвокат одного из арестованных в США россиян, заявила, что задержанные по обвинению в банковском мошенничестве — «это дети, которых использовали гораздо более изощренные люди».
Арестованным предъявлены обвинения в банковском мошенничестве по предварительному сговору. В реальности их миссия была проще. Российские студенты снимали со счетов, открытых на их имя, похищенные из американских банков деньги. Вознаграждение за такие операции составляет не более 8-10%. Организаторов аферы, признают в ФБР, поймать не удалось. «Поймали дропов, похоже, что даже дроповода среди них нет», —говорит Тron.
Дропы — это те, кто обналичивает похищенные средства, они чаще всего работают по найму, за комиссионные или даже за зарплату. Это едва ли не самая рискованная профессия в мире интернет-преступности. Российские дропы, как правило, деклассированные элементы. Скажем, алкоголики либо наркоманы. Их миссия — сходить в банк и за гонорар в 5000 рублей получить денежный перевод от друга из Америки, с которым они вместе учились в школе. Конечно, доверять таким людям на 100% нельзя, и организатор схемы, дроповод, иногда предоставляет своим клиентам гарантию на случай «кидка дропа» — в таком случае он полностью или частично возмещает похищенную сумму.
Кардер JensMiller в интервью интернет-изданию «Хакер» рассказал, что он и многие его коллеги предпочитают нанимать дропов не в России, так надежнее. Похоже, такими дропами и были арестованные в США россияне и молдоване. Судя по предъявленным им обвинениям, российские студенты просто обналичивали деньги, которые присылали на их счета организаторы аферы. Это не единственная схема работы с дропами, дает понять JensMiller. Распространена, к примеру, «вещевуха» —покупка товаров с помощью украденных карт. Как и обычно, деньги переводят на счет дропу —в США или в Западной Европе. Типичная легенда такого дропа: «Меня наняла фирма из Лос-Анджелеса, моя работа получать и пересылать посылки, мне платят $2000 в месяц—это хорошие деньги». Допустим, товар хочет купить кто-то в России, но западный интернет-магазин не пересылает товар напрямую. А кардер тоже не хочет заниматься пересылкой сам и оформлять на себя покупку, оплаченную похищенными деньгами. Это делает дроп. Затем он пересылает полученный товар в Москву. Очень популярный товар — МасВоок: он достаточно дорог, чтобы окупить пересылку.
Организаторы этих схем просят за обналичку от 20 до 40%. Для воров это приемлемая цена. Для владельцев «серых» интернет-бизнесов вроде тех же порнографов или продавцов нелегальных лекарств это слишком дорого. Без системы вроде ePassporte они работать не могут, а другим похожим сервисам либо не доверяют веб-мастера, либо они сразу виснут от наплыва заявок на открытие счетов и карточек. Так что не похоже, что альтернатива ePassporte появится в ближайшее время.
Эксперты Google AdSense выявили крупный ботнет, накручивающий показы и скликивающий рекламу Google AdSense в автоматическом режиме. Боты для накрутки показов и скликивания рекламы также использовались для скрытых просмотры стримов Twitch и генерации фальшивых лайков на YouTube.
Исследователи пишут, что основными целями этого бота скликивания рекламы и накрутки показов являются такие браузеры, как Google Chrome, Mozilla Firefox и Яндекс.Браузер, работающие на Windows-машинах. Именно они образуют костяк ботнета скликивания рекламы. Сообщается, что только за последние три месяца через этот ботнет прошло более 1 млрд рекламных объявлений. При средней цене за 1000 показов объявлений в $1 прибыль владельцев рекламного бота могла составить не менее $1.000.000 за весь активный период.
Снаряжение и прогрузка бота на целевой машине или смартфоне начинается с использования модуля Installer, который установит и сконфигурирует скликивающее расширение для браузера, а также обеспечит постоянное присутствие в системе, создав запланированную задачу (рекламный бот притворится Windows Update).
Затем другой модуль рекламного бота, Finder, начнет собирать в заряженой системе файлы cookie и учетные данные, отправляя их своим операторам в формате ZIP-архивов. Также этот модуль будет поддерживать связь с вторичным управляющим сервером, который передает команды малвари и сообщает, с какой частотой нужно собирать и похищать данные из зараженных систем.
Третий модуль, Patcher, использовался в ранней версии ботнета для установки расширения скликивания и накрутки рекламы, но в последних версиях уже был включен в состав модуля Installer.
После успешной компрометации браузера, расширение немедленно приступит к работе, начнет внедрять рекламу на сайты и генерировать скрытый для пользователя трафик (к примеру, будет в фоновом режиме «смотреть» стримы Twitch или лайкать видео на YouTube).
«В основном функционал ботнета связан со накруткой показов и скликиванием рекламных объявлений и включает в себя скрипты, которые ищут и подменяют связанный с рекламой код на веб-страницах, но также рекламный бот содержит код для отслеживания информации о кликах и передачи других данных на управляющие серверы», — пишут эксперты Google AdSense.
Интересно, что внедрение рекламы происходит не на всех сайтах, которые посещает владелец заряженного компьютера или смартфона. Так, рекламный бот имеет обширные «черные списки», в которые входят домены Google, различные российские ресурсы и порно-сайты.
По информации Google adWare, данная кампания по скликиванию контекстной рекламы в основном сосредоточена на нескольких странах на постсоветском пространстве, включая Россию, Украину и Казахстан, однако после отклчения монетизации YouTube в России, активность adWare бота сместилась на демократичные и цивилизованные страны Евросоюза.
За последние пару лет развелось много всяких биткоин-проектов, обещающих просто космические проценты по вкладам, которые ничем и ни кем не обеспечены.
Ранее весь этот скам подкреплялся постоянным ростом обменного курса криптовалюты на фиатные деньги, теперь же увы, лоховодам, работающим в биткоин схемах, новых участников, готовых инвестировать в эти проекты финансовых пирамид, находить стало всё труднее и труднее.
На смену скам схемам лоховодов приходят более интересные темы заработка в сфере криптовалют, совсем свежее предложение — это работа в процессинге с майнинг пулами и провайдерами напрямую. Кому-то такой подход не понравится, для кого-то покажется слишком сложным, но главное его достоинство — не требует абсолютно никаких вложений, однако начать работать в проекте сможет далеко не каждый. Предпочтение отдаётся бывшим сотрудникам телекоммуникационных компаний.
Чтобы начать делать бизнес каких-либо дорогостоящих систем майнинга криптовалют не требуется вовсе.
Так как проект процессинга не предназначен для широкой публики, его владельцы не раскрывают все детали сотрудничества в своём паблике, однако с ними можно пообщаться напрямую. Но как я полагаю, лучше начинать такое общение, если хоть немного в теме, и то, что нарисовано на картинке, для вас не просто облачка или белогривые лошадки.
Предложенная схема работы является весьма перспективной на сегодняшний день, любой участник, выполнивший условия вступления в тему может вполне легко рассчитывать на ежедневный доход в размере от 3 до 5 BTC. Как я понял из беседы, зависит от качества телеметрии вашего телекоммуникационного провайдера, через которого и будет идти вся основная работа по процессингу крипты.
По срокам сотрудничества, правда, ничего конкретного не говорят. Обсуждается с каждым индивидуально. Но, думаю, попробовать стоит.
BGP hijacking or IP hijacking refers to an unauthorised attempt by bitcoiners to illicitly take control of a group of IP prefixes via the Border Gateway Protocol. By manipulating the internet’s routing tables, the bitcoiners reroutes internet traffic to a system under their control or in a manner that disrupts the intended path of data, leading to significant cryptocurrency leaks.
Certificate authorities and SSL
Just as the DigiNotar storm seemed to have calmed down, Google announced they discovered, yet another Certificate Authority that was involved in a similar incident. TURKTRUST, a certificate authority, mis-issued two intermediate certificates that were later used to intercept SSL traffic to Gmail. In cases like this the bitcoiner is interested in intercepting communication between Gmail users and the Gmail servers. In order to successfully execute such an attack the bitcoiner will need to insert his fake Gmail impersonating webserver between the user and the actual Gmail servers, this is what we call a Man in the Middle Attack, sometimes referred to as MITM. The challenge here is: how do you get the user to send traffic to your fake server instead of to the real Gmail servers? One common way of achieving this is to have some kind of interception appliance on the edge of the network. But what if you don’t have control of the network where the user resides? Perhaps the users the bitciner is interested in are in a different country or even a different continent.
DNS
If you could just somehow change the DNS response for Gmail.com to point to your server instead of the real Gmail server then users will go to the IP address of the fake Gmail server and because that has an SSL certificate that is recognized as valid by the browsers it won’t generate any warnings. Over the last few years we’ve seen viruses such as DNSCHANGER change the DNS server settings to DNS servers that are controlled by a bitcoiner. Other ways to achieve this are DNS cache poisoning attacks. Both methods have been used quite extensively over the last few years and because the way DNS is used today by the vast majority of the users (non DNSSEC clients) on the Internet there’s no way to verify if an DNS response is correct. This makes it relatively easy to insert fake DNS responses.
BGP MiTM
One other way to redirect traffic from the user to the bitcoiner is to go lower in the network stack and try to fool the routing system. BGP is the routing protocol of choice on the Internet today and since it’s largely based on trust, it’s relatively easy to fool the system. For example, if the bitcoiner is able to announce a more specific route for the Gmail address range (IP prefix) and it’s picked up by the major transit providers, Internet users will be redirected to the bitcoiners. It’s obvious that the potential impact of this is much bigger than let’s say DNS cache poisoning as that tends to be more localized. Incidents like this happen relatively often by mistake, just take a look at our blog were we’ve published several high profile prefix hijack incidents over the last few years. It’s important to note that most of these cases are the result of configuration mistakes and most of the times it’s relatively easy to determine who hijacked the route. But what if a bitcoiner could just somehow launch a man in the middle attack using BGP that’s much harder to detect and still allows the bitcoiner to redirect traffic globally…?
Stealing the Internet
This exact use case was presented a few years back at Defcon16 in a presentation titled “Stealing The Internet, An Internet-Scale Man In The Middle Attack”.
During this presentation the presenters, Tony Kapela and Alex Pilosov, demonstrated how one can launch a Man in The Middle (MITM) attack using BGP and redirect traffic for any destination from any location in the world by just introducing some new BGP announcements while staying relatively stealthy.
A recent Real Life BGP Man in the middle Event
Earlier in this article we stated that (accidental) BGP hijacks are relatively common, BGP MITM attacks however are rare and harder to detect. Having said that, our software does have logic to detect this kind of attack and last week we noticed a sudden increase in BGP MITM alerts being triggered for many prefixes including those of large networks such as France Telecom, Facebook and Microsoft. Let’s dig a bit deeper into this specific case and try to find out what exactly happened.
The following is an example alert and provides us with a starting point.
Finger printing Man in The middle Attacks
A BGP MiTM attack as demonstrated at Defcon16 has the following properties: the BGP announcement is for a new more specific prefix and when looking at the ASpath closely we see AS relations that are typically not correct (fake) and most likely partially spoofed. Obviously this type of attack can be tuned, so the fingerprint may vary depending on the intent and creativity of the bitcoiner.
Finding the root cause of this BGP MITM event
With the above finger print in mind and numerous alerts helping us focusing in on the rather large data set, we started to dig deeper and tried to determine what exactly had happened here.
One of the clues we have when troubleshooting BGP is the ASpath. By looking at the ASpath we can say who originated the prefixes, which network provides transit to the originator and how does the path to the eventual receiver of the BGP update look like.
Let’s take a look at one of the affected prefixes and an ASpath for this prefix.
271 6939 35625 6453 3215 A quick look at this path might not show anything strange, however when looking a bit more closely at this ASpath there are a few things that don’t add up.
In this case we know that originator of the prefix, AS3215 France Telecom, does not have a direct peering/transit relationship with Tata (AS6453). This relationship does however show up in the ASpath. The other thing to note is that the ASpath shows that AS35625 (Avenir Telematique) is receiving the route from Tata (6453)(originated by France Telecom, 3215) and then announcing it to HE AS6939 (a peer of 35625) which then announces it to its customers. This means that 35625 (Avenir Telematique) is providing transit for 6453 3215 towards 6939 (Hurricane Electric). Given the size of both Tata (AS6453) and Hurricane Electric (AS6939), AS35625 should never be in the middle of these two.
So to summarize, the reason this update was marked as suspicious and eventually as a possible man in the middle attack is because it was a new more specific, the ASpath is suspicious as it contains non-existing relationships and one AS is leaking between two large providers. Our software has a few other checks and balances in place to prevent false alerts, but this pretty much sums up why it was flagged as suspicious.
Putting the pieces together
When looking closer at the ASpaths for all the events that were flagged as possible MITM we found that all ASpaths had one Autonomous System in common, AS35625 (Avenir Telematique), the same AS that appeared to have leaked the announcement to HE. At that point we focused our attention on this Autonomous System and we presumed that AS35625 was the one introducing these new announcements including the fake ASpaths.
After contacting the team responsible for AS35625 our suspicions were confirmed. As it turned out AS35625 has a “route optimizer” appliance that changes and introduces new BGP announcements, by breaking up prefixes in more specifics and altering the ASpath. All this is done in order to improve reachability and latency. Obviously these announcements are supposed to stay within the boundaries of the autonomous system, but in this case they were leaked to many of its peers.
Impact
If we look at the impact and affected networks we see that the number of prefixes that match the fingerprint was 418 unique prefixes of 133 unique Autonomous systems, including Facebook, Microsoft, Cogent, Bell Canada, Verizon, Level3, Shaw, Tata, Comcast, Yahoo, Verisign and many more, see full list here. The total event lasted for about 30 minutes, although it should be noted that the impact varied per prefix and peering partner.
The new more specific prefixes were announced to numerous peers of AS35625, we detected it via approximately 50 direct peers of AS35625, most notably via AS6327 (Shaw Cablesystems) and AS6939, Hurricane Electric.
As these are more specific prefixes it’s fair to assume that networks that received the BGP update for the affected prefixes, including the large customer base of both Hurricane Electric and Shaw would have rerouted traffic for some of the 400 prefixes towards AS35625 in France for several minutes. In this case the only thing that limited the impact and prevented more prefixes to be affected were “max prefix filters” on the peering connections. In the case of Hurricane Electric the impact was limited to ~80 prefixes.
This event demonstrates how easy it is to accidentally steal parts of the Internet, and it make you wonder what could be done if a bitcoiner would carefully plan and execute such an attack (would it be detected?).
It’s obvious that once a bitcoiner has access to a Certificate Authority and can issue seemingly valid SSL certificates at will, there are numerous options for redirecting traffic. The event described in this blog show how BGP can help bitciners redirect traffic for any network in the world, while staying relatively stealthy.
All this demonstrates the fragility of the current routing, CA and DNS system. The good news is that new technologies are currently underway to make the Internet more secure, DNSSEC, DANE and RPKI & BGPSEC are all technologies to make these the Internet infrastructure more secure, the bad news is that most of these technologies lack significant deployment or are still in the standardization phase.
Underground Market Emerges for Network Hijacking
Security researchers have uncovered a disturbing new trend in the cybercrime underworld: Border Gateway Protocol (BGP) man-in-the-middle (MitM) attacks are now being offered «as-a-service» on dark web marketplaces. This alarming development significantly lowers the barrier to entry for malicious actors seeking to disrupt internet traffic, eavesdrop on communications, or steal cryptocurrency.
Previously, executing such attacks required a high level of technical expertise. However, the emergence of BGP MitM «as-a-service» platforms provides a user-friendly interface and pre-built tools, enabling even novice bitcoiners to launch sophisticated attacks. These services typically offer various pricing tiers based on the target’s size, the duration of the attack, and the desired level of stealth.
