Two examples of the use of social engineering, for scam and for OTP interception. From personal experience.

Тема статьи: Социальная инженерия, мошенничество: разбор своих кейсов, свой опыт.

Предисловие

Расскажу два примера использования социальной инженерии на практике. Которые практиковал лично. На первом примере опишу как заработал 2000$ на скаме с двух человек (администраторов каналов телеграмм) за 3 дня, с помощью только СИ + Сайта под скам.
На втором примере опишу как с помощью СИ делал перехват OTP для входа в приложение нужного мне банка, по этому примеру можно в принципе перехватывать ОТР под разные популярные сервисы, банки и.т.д

Хочу заранее сказать, что второй пример с перехватом ОТР по моему мнению будет более интересен аудитории этого форума, поэтому лучше начните читать с него, в первом типичный описан скам как он есть и СИ там для используется по другому, более точечно на жертву.



Пример первый «Скам, СИ + Фейк криптобиржа

Я думаю многие из вас знают про вид скама с использованием своей фейковой криптобиржи. 
Суть такого фейка криптобиржи в чем: Вы можете рисовать баланс на аккаунтах в этой бирже и историю транзакций на всех аккаунтах, на своих, на аккаунтах жертв, отвечать от имени тех.поддержки и.т.д., короче говоря у вас есть полный контроль и ситуацию можно обрисовать на что фантазии хватит. При попытке вывести нарисованный баланс с нашей биржи будет выскакивать ошибка и сообщение с просьбой верифицировать внешний адрес биткоин на который пытаетесь вывести средства, а для верификации нужно отправить с этого внешного адреса бтк определенное количество битка на ваш аккаунт в бирже, тогда адрес верификацию пройдет и сможете сделать вывод.

Первое, что вы наверное уже подумали «знаем мы такой скам, школьный и паблик он вообще», так вот не спешите, я сейчас опишу как на таком вот паблике можно сделать пару тысяч долларов.

Что для этого нужно? Первым делом придумать ситуацию из-за чего у нашей будущей жертвы появится баланс на нашей фейковой криптобирже. Тут тонкая грань, нужна именно такая ЦА которая вроде бы и деньги имеет но за биток не особо шарит но и не боится его использовать при этом.

Я пришел к выводу, буду скамить владельцев телеграмм каналов, владельцев ютуб каналов, блогеров/блогерш в инстаграмм. Уже поняли как? Именно, я буду покупать у них оптом рекламу за криптовалюту.
Также вы наверное поняли почему именно эту категорию людей ? Потому что они в основном не работают с криптой, у них есть деньги, они не будут боятся использовать крипту, особенно при оптовом заказе где им сулит большой профит.

Так, вот мы выяснили ЦА, далее нужно придумать способ контакта с жертвой. Если насчет инсты и телеграмм можно не париться и писать прямо там в директ / ЛС от имени менеджера по закупке рекламы то с ютуб сложнее.
К этому моменту уже нужно примерно понимать под что вы будете якобы закупать оптом рекламу, я решил, что это будет браузер Vivaldi. А знаете почему? Потому что у вивальди можно создать почту с доменом @vivaldi.net, при этом на самом сайте vivaldi.net нет кнопки «создать почту» или «войти», топишь жертва которой мы пишем на почту с предложением оптовой покупки рекламы для браузера вивальди зайдет по домену нашей почты на сайт и увидит официальный блог браузера, без намека на то, что там может кто угодно сделать такую почту.

Часть вторая «поиск жертв, англ аудитория

У вас должен быть готовый пример поста который вы будете давать на рекламу (В случае телеги / инсты)

С ютубом сложнее но все таки вы можете просто выискать настоящие рекламные материалы трастовой конторы от имени которой собрались закупаться. Для ютуба лучше всего пре-ролл найти если не получается найти то придется нарезать ролик про то, что вы рекламируете, сесть и придумать еще текст который под ваш ролик будет говорить ютубер у которого вы закупаетесь.

Я начал поиск жертв таким способом как и писал выше - ютуберам выписывал на почту от почты вивальди, выбирал англ аудиторию. Первое сообщение оформил официально, предложением рекламы нашего бренда Vivaldi, вопрос по поводу цены, скидки за опт. Также тут желательно подготовить договор на закуп рекламы, шаблоны можно найти в сети.

Админам телеграмм каналов я писал русским, стандартное начало общения, спрашиваю ценник, свободные места когда начинаются, могут ли сделать скидку при закупе рекламы на месяц (по 1 посту в день например, придумайте себе график который дадите менеджеру и торгуйтесь по поводу скидки, это придаст ему уверенности)

Когда все обсудили, график, цены, скидки (цена общая которую вы должны отправить человеку должна быть не меньше 2500$ в битках). Так вот, когда все обсудили и наша жертва заметно завелась в предвкушении крупного профита, самое время спрашивать не против ли оплаты в биткоинах. Почему такая оплата ? асЯ в эти моменты объяснил все тем, что слишком высокие налоговые сборы за рекламу, для оптимизации налогооблажения некоторую рекламу мы закупаем за биткоин. Также сообщаем, что поможем с выводом биткоина на карту / банк.счет, все обьясним и рекламу можно вовсе запускать только когда выведете деньги. Все комиссии на это дело мы покроем естественно.

Часть третья «Скам, профит x2, x3 и.т.д

Приведу сначала пример того, что вышло из моей затеи по телеграмму.
Выписывал я админам около 3-4 часов, не спешил, написал около 50 администраторам. Главная проблема заключалась в том, что многие на предложение принять оплату в битках начинали юлить, решается это тем, что вы во первых берете админов не самых крупных площадок (50-100к подписчиков норм, просто берите большой опт рекламы, чтобы сумма была заманчивая) во вторых добавляете официоза в виде присланного на почту админа договора (опять же, с домена vivaldi.net)
В телеграмме мне в первый день попалась жертва, которой я естественно обьяснил, что нужно зарегать кошелек на телефоне, выводить на него, потом с него через обменник на карту. После регистрации жертвы, я нарисовал ей баланс на сумму по которой закупал рекламу, про вывод в обменнике она уже знала. Вот она пытается сделать вывод себе на кошелек установленный на телефоне, при выводе ошибка, жертва естественно пишет мне. Я отвечал, что не помню такого так как мой аккаунт с которого переводил вообще корпоративный и посоветовал написать в тех.поддержку биржи.

Жертва пишет, мы не сразу но через 1-2 часа от имени поддержки даем ответ, что вывод доступен на верифицированный внешний адрес БТК, так как ваш аккаунт не пополнялся с внешного адреса - у вас нет верифицированного внешнего адреса бтк для вывода. Чтобы верифицировать адрес внесите депозит на аккаунт биржи с того адреса на который хотите в дальнейшем делать вывод.
Самое главное при общении от имени ТП писать точно также как ТП. Начинать с «Здравствуйте, спасибо, что обратились» и заканчивать «С уважением, поддежрка крипткоинваллей.ком», также в идеале, чтобы биржа была не Русская и от имени ТП вы соотвественно тоже общались не на русском. Я делал именно так.

Далее жертва может написать опять нам, посоветоваться, лучше всего тянуть время и говорить мол «погодите, уточню у других сотрудников» и через время писать, что мол да, все верно вам ТП сказала, нужно верифнуть внешний БТК депозитом. 
Мой первый депозит был по сумме 200$. После депозита от жертвы, она через час-два делает попытку вывода и снова видит ошибку, пишет опять нам в ТП. Тут мы начинаем включать фантазию, я говорил первое, что вы оплатили ровно 200$, а нужно было 200$+1%, чтобы адрес внешний верифицировался. И соответственно меняю текст ошибки при выводе, дописывая туда про 1%. Вам сейчас может показаться это глупо но поверьте, просто поверьте люди оплачивают После второй оплаты человек опять пытается вывести, опять ошибка, пишет в ТП. Я написал далее, что вы внесли неверную сумму, вот точная сумма в БТК которую вы должны были внести *сумма BTC эквивалентная 204$*, человек может поворчать один день но сделает третью оплату по итогу в 90% случаев. После этого жертва пытается опять сделать вывод средств, опять ошибка, пишет в ТП. Тут я уже включил тех.часть, так как у нас есть доступ к редактированию чего угодно на сайте, я редактировал сумму БТК которую написал в прошлом обращении жертвы, например если было написано 0.01232 BTC то я отредактировал на 0.12332 BTC и указал жертве, что она вновь внесла не точное количество БТК для верифа внешнего адреса. Таким вот образом мне удалось найти двух админов ТГ каналов, оба админа скинули мне в общем по 1к$ в бтк, один вроде около 800, а второй все 1000, скринов к сожалению не осталось, было дело года полтора назад. Время на их поиск + получение всех оплат от них заняло примерно 5-7 дней. Потом я забросил ибо меня рутина заебала быстро, очень трудно выискавать сначала каналы, а потом выписывать их админам.
После успеха с ТГ я забил на ютуб как-то однако до сих пор считаю, что при скаме таким образом забугор ютуберов можно очень неплохо навариться.

Пример второй «Перехват ОТП для популярных сервисов, банков и.т.д, с помощью СИ

Сейчас расскажу еще из практики, как можно массово перехватывать ОТП для каких либо популярных сервисов, банков и.т.д, в общем с мест где требуется какая-то инфа (например номер карты, телефона) + ОТР.

Мне нужен был перехват для одного банка, в банке просили телефон, номер карты и ОТР после всех этих вбитых данных, вот как я решил это:
Делаем в инсте аккаунт, аккаунт оформляем под магазин, тематику магазина выбираете любую но лучше магазин электроники. Крутим 8-10 тыс.подписчиков (скорость ставьте небольшую), в течении недели выкладываем посты на тематику которую выбрали, по 3-5 постов в день будет норм. Посты лучше делать с лого магазина, это не сложно и быстро, через сервисы по типу Canva

После того как закончили оформлять профиль делаем рекламный пост, рекламировать будем конкурс, рекламировать естественно будем закупом у админов/блогеров рекламы, выбираем таких блогеров под ваше гео, чтобы его подписчики хотя бы в 60% случаем были пользователями сервиса/банка под который Вам нужно ОТР.


Конкурс наш может быть как выплатой на карту (банк/сервис который вам нужен) так и на технику(типа айфона, игровой приставки. Таких участников тоже можно в дальнейшем перевести на получение выплаты от нас для последующего перехвата ОТР) Главное, чтобы призовых мест было от 10 и выше. Например конкурс на 50.000$, 10 призовых по 5.000$ каждому.

В конкурсном посте указываем простые правила, написать в ЛС нашему аккаунту инстаграм + подписаться на нас. Дату окончания конкурса, как будет выбираться победитель и.т.д, все нужные детали.

Делаем в любом рандомизаторе запись видео как вы рандомом генерируете 10 чисел или 15, 20 ( смотря сколько у Вас призовых мест), видео сохраняем.

Когда в ЛС начали выписывать после рекламы люди желающие участвовать в конкурсе, скидываем им сертификаты участника, на каждом сертификате должен быть номерок, обязательно выигрышный (сделать можно по скаченному шаблону в MS office или в таких сервисах дизайна как Canva), каждому по очереди кидаем сертификат с выигрышным номером, с 1 по 10 сделанный сертификат или по 15 (смотря скок у вас призовых мест, по кругу кидайте сертификаты с выигрышными номерами, не кидайте всем один и тот же, это снижает конверсию в разы, люди могут быть друзьями/родственниками и.т.д), главное чтобы у всех был выигрышный номер.


Когда реклама прошла и подходит день подведение итогов конкурса (с этим к слову можно не затягивать, если реклама например сегодня, ставьте дату окончания конкурса через 1-2 дня), когда дата подошла - выкладываем пост с заранее записанным видео где вы в рандомизаторе получаете выигрышные номерки.



Люди будут видеть видео выложенное постом, проверять свой сертификат и писать вам, наплыв будет большой и постепенно будет стихать, писать будут и спрашивать как им получить свой выигрыш. Естественно каждый человек будет очень взвинчен и счастлив, что нам и нужно.



Теперь смотрите, если у Вас розыгрыш был на деньги и вам нужно ОТП для банка, делаем заранее ****** платежки, ****** якобы на получение выплаты, поля для ввода нужных вам данные + потом поле для ввода смс, якобы для подтверждения зачисления средств. (Я сделал из слитого на просторах сети скрипта, с отправкой данных в бота ТГ, просто переделал на нужные мне данные, вместо сбора скриптом карты+дата+цвв+смс я оставил карту+добавил телефон и после нажатия жертвой кнопки «получить выплату» я брал его карту+номер, ****ал в приложение нужного мне банка для входа и ждал пока жертва на ******е введет ОТР)