Stan zagrożeń w internecie znajduje się obecnie na poziomie standardowym. Nie występują duże epidemie a eksperci z Kaspersky Lab nie zanotowali żadnych poważnych incydentów związanych z bezpieczeństwem. Poziom zagrożenia: 1

Dostajesz to, na co zasługujesz

Maria Garnajewa
Kaspersky Lab Expert
Dodany 8 grudnia 2009, 08:43 CET

Czy jesteś jedną z tych osób, które zawsze zastanawiają się, o czym rozmawiają inni lub dlaczego osoba w boksie obok zawsze mówi szeptem odbierając telefon, lub do kogo twój partner wysyła maile późno w nocy? Ciekawość, wścibstwo czy paranoja: nieważne, jak nazwiesz takie zachowanie, tego rodzaju ludzi jest mnóstwo.

Niedawno “źli” chłopcy po raz kolejny dowiedli nam, że znają się na psychologii człowieka i są gotowi wykorzystać każdą słabość ludzką.

Zamieszczony poniżej przykład rosyjskiego spamu oferuje wszystkim ciekawskim, wścibskim lub cierpiącym na paranoję możliwość czytania wiadomości innych osób wysyłanych za pośrednictwem rosyjskich portali społecznościowych, różnych internetowych serwisów pocztowych oraz ICQ. W jaki sposób? Poprzez atak typu brute-force na hasła do ich kont.

Odsyłacz w wiadomościach prowadzi do strony, która oferuje “usługę umożliwiającą uzyskiwanie zapomnianych haseł za pomocą ataków brute-force”. Ponieważ e-mail oferuje możliwość „włamania się na dowolne konto”, słowo usługa nie jest tutaj, łagodnie mówiąc, najodpowiedniejsze.

Według informacji podanych na stronie, “zapomniane” hasła zostaną poddane atakowi „brute-force”, rozpoczynając od prostych możliwych haseł (np. nazwa użytkownika i hasło są takie same, popularne hasła, takie jak "12345", nazwa + data urodzenia itd.) kończąc na bardziej złożonych (np. ataki słownikowe wykorzystujące angielskie słowa – pamiętaj, że jest to rosyjska usługa). Proces ten zajmuje od 3 minut do 10 dni, w zależności od złożoności hasła, i w 80% przypadków kończy się powodzeniem. Naturalnie, dzisiaj nikt niczego nie dostaje za darmo, dlatego i w tym przypadku trzeba zapłacić, wysyłając SMS-a na krótki numer (tj. o podwyższonej płatności).

Umowa użytkownika końcowego nie jest w tym przypadku szczególnie pomocna (czy ktoś w ogóle je czyta?); nie określa, ile wynosi koszt SMS-a, zamiast tego odwołuje do strony pomocy. Po wejściu na tę stronę, nadal nie uzyskujemy wyraźnych informacji o kosztach SMS-ów – domyślnie, lista krótkich numerów oraz ceny wiadomości wysyłanych na każdy z tych numerów otwiera się na tanim numerze (wiadomość kosztuje 45 rubli lub około 1,50 dolarów). Jednak SMS-y aktywujące usługę “zapomnianych haseł” kosztują znacznie więcej, około 300 rubli lub 10,25 dolarów. Ceny są podane, trzeba się tylko do nich dokopać. Z drugiej strony, kto będzie chciał zadać sobie taki trud?

Umowa zawiera również następujący zapis: „[niniejsza strona] jest źródłem informacji z kategorii rozrywki. Informacje umieszczane na tej stronie są częściowo wymyślone i nie należy brać ich poważnie”.

Innymi słowy, nie jest to oferta prawdziwej usługi: wyślij SMS-a, pozbądź się tym samym 300 rubli ze swojego konta, a dostaniesz „zapomniane” hasło do skrzynki pocztowej dowolnej osoby, jaka cię interesuje. Jednak prawdopodobnie nie będzie z tego nic dobrego – prawdopodobnie dostaniesz standardowe, proste hasło, które na niewiele się zda, ponieważ dzisiaj (na szczęście!) większość osób zaczęła odchodzić od haseł typu "qwerty123". Rezultat: straciłeś 10 dolarów, nie zaspokoiłeś swojej ciekawości, a spamerzy odnieśli spory zysk.

Morał tej historii jest taki, że nieładnie jest czytać czyjeś listy!