駭客社會工程學攻擊的八種常用伎倆
2009-02-24 PChome.net 轉載 責編: 黃蔚
http://article.pchome.net...22707.html十度分隔法
著名駭客Kevin Mitnick在上世紀90年代讓“駭客社會工程學”這個術語流行了起來，不過這個簡單的概念本身(引誘某人去做某事，或者洩露敏感資訊)卻早有年頭了。 專家們認為，如今的駭客仍在繼續採用駭客社會工程學的新老伎倆盜竊密碼、安裝惡意軟體或者攫取利益。此處所列的是一些最流行的利用電話、email和網路的社會工程學攻擊伎倆。
1. 十度分隔法
利用電話進行欺詐的一位元社會工程學駭客的首要任務，就是要讓他的攻擊物件相信，他要麼是1)一位同事，要麼是2)一位可信賴的專家(比如執法人員或者審核人員)。但如果他的目標是要從員工X處獲取資訊的話，那麼他的第一個電話或者第一封郵件並不會直接打給或發給X。
在社會心理學中，六度分隔的古老遊戲是由很多分隔層的。紐約市警察局的一位老資格探員Sal Lifrieri，如今正定期舉辦一個叫做“防範性運營”的企業培訓課程，教授如何識別駭客穿透某個組織的社會工程學攻擊手段。他說，駭客在一個組織中開始接觸的人可能會與他所瞄準的目標或人隔著十層之遠。
“我講課時不斷地在告誡人們，多少得具備一些放人之心，因為你不知道某人到底想從你這兒獲得什麼，”Lifrieri說。滲透進入組織的起點“可能 是前臺或門衛。所以企業必須培訓員工彼此相識。而作為犯罪起點的秘書或者前臺距離犯罪分子真正想接近的目標有可能隔著十層之遠。”
Lifrieri說，犯罪分子所用的方法很簡單，就是奉承某個組織裏更多可以接近的人，以便從職務更高的人那裏獲得他們所需的資訊。
“他們常用的技巧就是偽裝友好，”Lifrieri說。“其言辭有曰：'我很想跟您認識一下。我很想知道在您的生活中哪些東西是最有用的。'然後他們很快就會從你那裏獲得很多你原本根本不會透露的資訊。”
2. 學會說行話
每個行業都有自己的縮寫術語。而社會工程學駭客就會研究你所在行業的術語，以便能夠在與你接觸時賣弄這些術語，以博得好感。
“這其實就是一種環境提示，”Lifrieri說，“假如我跟你講話，用你熟悉的話語來講，你當然就會信任我。要是我還能用你經常在使用的縮寫辭彙和術語的話，那你就會更願意向我透露更多的我想要的資訊。”
3. 借用目標企業的“等待音樂”
Lifrieri說，成功的騙子需要的是時間、堅持不懈和耐心。攻擊常常是緩慢而講究方法地進行的。這不僅需要收集目標物件的各種軼事，還要收集其他的“社交線索”以建立信任感，他甚至可能會哄騙得你以為他是你還未到這家企業之前的一位同事。
另外一種成功的技巧是記錄某家公司所播放的“等待音樂”，也就是接電話的人尚未接通時播放的等待樂曲。
“犯罪分子會有意撥通電話，錄下你的等待音樂，然後加以利用。比如當他打給某個目標物件時，他會跟你談上一分鐘然後說：'抱歉，我的另一部電話響 了，請別掛斷，'這時，受害人就會聽到很熟悉的公司定制的等待音樂，然後會想：'哦。此人肯定就在本公司工作。這是我們的音樂。'這不過是又一種心理暗示 而已。”
4. 電話號碼欺詐
但最分子常常會利用電話號碼欺詐術，也就是在目標被叫者的來電顯示幕上顯示一個和主叫號碼不一樣的號碼。
“犯罪分子可能是從某個公寓給你打的電話，但是顯示在你的電話上的來電號碼卻可能會讓你覺得好像是來自同一家公司的號碼，”Lifrieri說。
於是，你就有可能輕而易舉地上當，把一些私人資訊，比如口令等告訴對方。而且，犯罪分子還不容易被發現，因為如果你回撥過去，可能撥的是企業自己的一個號碼。
5. 利用壞消息作案
“只要報紙上已刊登什麼壞消息，壞分子們就會利用其來發送社會工程學式的垃圾郵件、網路釣魚或其他類型的郵件，”McAfee Avert實驗室的安全研究主任Dave Marcus說。
Marcus說，他們的實驗室在這次的美國總統大選和經濟危機中看到了此類活動的增多趨勢。
“有大量的網路釣魚攻擊是和銀行間的並購有關的，”Marcus說。“釣魚郵件會告訴你說，'你的存款銀行已被他們的銀行並購了。請你點擊此處以確保能夠在該銀行關張之前修改你的資訊。'這是誘騙你洩露自己的資訊，他們便能夠進入你的帳戶竊取錢財，或者倒賣儲戶的資訊。”
6. 濫用線民對社交網站的信任
Facebook、MySpace和LinkedIn都是非常受歡迎的社交網站。很多人對這些網站十分信任。而最近的一次釣魚欺詐事件就瞄上了 LinkedIn的用戶，這次攻擊讓很多人感到震驚。Marcus說，已經有越來越多的社交網站迷們收到了自稱是Facebook網站的假冒郵件，結果上了當。
“用戶們會收到一封郵件稱：'本站正在進行維護，請在此輸入資訊以便升級之用。'只要你點進去，就會被鏈結到釣魚網站上去。”Marcus因此建議人恩最好手工輸入網址以避免被惡意鏈結。並應該記住，很少有某個網站會寄發要求輸入更改口令或進行帳戶升級的郵件。
7. 輸入錯誤捕獲法
犯罪分子還常常會利用人們在輸入網址時的錯誤來作案，Marcus說。比如當你輸入一個網址時，常常會敲錯一兩個字母，結果轉眼間你就會被鏈結到其他網站上去，產生了意想不到的結果。
“壞分子們早就研究透了各種常見的拼寫錯誤，而他們的網站位址就常常使用這些可能拼錯的字母來做功能變數名稱。”
8. 利用FUD操縱股市
一些產品的安全漏洞，甚至整個企業的一些漏洞都會被利用來影響股市。根據Avert的最新研究報告，例如微軟產品的一些關鍵性漏洞就會對其股價產生影響，每一次有重要的漏洞資訊被公佈，微軟的股價就會出現反復的波動。
“公開披露資訊肯定會對股價產生影響，”Marcus說。“另有一個例子表明，還有人故意傳播斯蒂夫•約伯斯的死訊，結果導致蘋果的股價大跌。這是一個利用了FUD(恐慌、不確定、懷疑)，從而對股價產生作用的明顯事例。”
當然，反向操縱的手法也會發生，這很像以前的所謂“哄抬股價”的伎倆。垃圾郵件的發送者會購買大量的垃圾股，然後偽裝成投資顧問瘋狂發送郵件，兜售所謂的 “潛力股”。如果有足夠多的郵件接收者相信了這一騙局並購買了這種垃圾股，其股價就會被哄抬起來。而始作俑者便會迅速賣空獲利。
