On 2020-12-18, Krzysztof Halasa <k...@p...waw.pl> wrote:

[...]

>> Oczywiście że ma to znaczenie.
>> To że przejmiesz dostęp do systemu, to jeszcze nie oznacza że
>> jesteś w stanie wywołać wszystko magicznie.
>
> Tzn. czego nie jestem zrobić?

Automatycznie sterować aplikacją, która nie udostępnia jawnych
interfejsów do takiego sterowania?

>>> Nie widzę na jakiej zasadzie. Bo że wyklucza jako wykonawców, to
>>> oczywiście tak.
>>
>> Na takiej, że to się nie opłaca.
>
> A, w sensie że 99% nie ma pieniędzy? Wątpię, poza tym chyba rozumiesz że
> to nie jest tak, że 2 takie same ataki są dwa razy droższe niż 1.

To zależy czy jesteś w stanie zrobić "ogólny" exploit czy musisz
targetować pojedyncze urządzenia. Jak na razie w przypadku przejmowania
telefonów mowa co najwyżej o atakach targetowanych indywidualnie.

Więc chyba rozumiesz że jest to zupełnie inne niż "zrobimy fake stronę
+ mailing i kto się nabierze i zrobi przelew, tego strata"?

>> No ale idea polega na tym, żeby uczynić to mało opłacalnym
>> lub nieopłacalnym. Socjotechnikę i podmianki www opłaca się stosować
>> bo "a może ktoś się złapie". Włam na telefon już niespecjalnie, trzeba
>> starannie profilować ofiarę i dużo więcej o niej wiedzieć.
>
> A akcje z duplikatem karty SIM?

Do tego wystarczy wyciek / kupno bazy danych osobowych (np, ta która
wyciekła z morele.net).

Jak już przejmiesz dostęp do konta operatora można przeskanować
bilingi i wyłuskać informacje w jakim banku ma ofiara konto
(o ile tych danych nie ma w tej samej bazie danych).

> Samo znacząco większe ryzyko już wystarczy (przynajmniej niektórzy
> uzyskiwali karty SIM osobiście w "salonie" operatora - to chyba
> desperacja).

A to robi słup.

> Przejęcie telefonu jest praktycznie bezpieczne dla atakującego.

Jasne. Ale wymaga wiedzy i umiejętności. Którą albo masz, albo
kupujesz.

> Szczerze mówiąc, nie wiem co trzeba wiedzieć
> o ofierze - nie widzę większych jakościowych różnic w stosunku
> do "podmianki www".

Ok. Ja widzę.

> To wcale nie musi być "celowane", właśnie z tego powodu, że nie mamy
> dwóch oddzielnych kanałów.

Ale nie mamy jednego uniwersalnego pyczka do "przejmowania" dowolnego
telefonu, a zdajesz się to sugerować. Ale oczywiście mogę się mylić
i FBI wcale nie miewa problemów z dostępem do komórek, a firma
tworząca Pegasusa nie każe sobie płacić milionów za przyjemność
posiadania narzędzia (które trzeba i tak aktualizować).

--
Wojciech Bańcer
w...@g...com

do góry

On 2020-12-18, Krzysztof Halasa <k...@p...waw.pl> wrote:

[...]

>>>> miałoby się opłacać przejmowanie urządzeń u gości którzy mają
>>>> po 2-3, może 5k pln na koncie.
>>>
>>> Doniesienia "portalowe" mówiły chyba o setkach tysięcy zł?
>>
>> Nie kojarzę żadnych doniesień medialnych o przejętych telefonach.
>> Podrzucisz?
>
> Przejęcie telefonów było w tamtych przypadkach akurat zbędne, ale chyba
> widzisz, że nie chodzi "tylko" o przejmowanie "po 2-3, może 5k pln"?

No wg Ciebie jest to najprostsza forma.
Więc skoro tak najprościej, to czemu tak się nie dzieje?

> Aczkolwiek, gdybym był przestępcą, i chciałbym zajmować się taką
> "działalnością", to 2-3-5 kpln nie widziałoby mi się jako problem.
> Może to dlatego, że nie zarabiam 40-70 tys.
>
>>> Chętnie poznałbym też kalkulację owych 40-70 tys. zł. Zwłaszcza taką,
>>> która dotyczy *wszystkich* ludzi zdolnych do prowadzenia takich działań.
>>
>> Jasne. Tyle (miesięcznie) zarabia specjaliza z wiedzą, który byłby w stanie
>> coś takiego ogarnąć.
>
> To fajnie, ale ja pytałem o konkrety. Np. takie, które mógłbym komuś
> pokazać jako argument na coś. Sama wiara tu nie wystarczy.

Konkrety: W Polsce inżynier ds. bezpieczeństwa bez trudu znajduje
ogłoszenia >15k PLN, np. https://justjoin.it/?q=Cybersecurity@skill;engineer@
keyword
Poza Polską, a w szczególności przy wiedzy aż na takim poziomie,
to cena wędruje do poziomów które Ci podałem.

https://www.google.com/search?q=senior%20cybersecuri
ty%20engineer%20salary

$139,830
The average Senior Cybersecurity Engineer salary in the United States
is $139,830 as of November 25, 2020, but the salary range typically
falls between $125,010 and $159,275.

A w tej branży ceny rosną a praca zdalna to norma.
139 tys. dolarów to ok. 11500$ miesięcznie, co daje
>40 tys. zł. I to są w miarę normalne pensje, przy
czym te stanowisko to jest jednak jeszcze "oczko"
niżej od tego którego szukasz, dlatego zasugerowałem
że widełki są jednak bliżej tych 70 tys. zł.

A jakbyś myślał o wynajęciu kogoś "na robotę",
a nie na stały kontrakt, to już mówimy pewnie
o 100k+.

--
Wojciech Bańcer
w...@g...com

do góry

Olin napisał(a) :
> promieniowanie X, co wykorzystuje się w synchrotronach; tam elektrony w nic
> nie uderzają, tylko lecą po krzywiźnie.

Czyli mówiąc z obca: zakurvjają.

--
Pozdrawiam
Zbyszek
PGP key: 0xDCEF4E65

do góry

Wojciech Bancer <w...@g...com> writes:

> No wg Ciebie jest to najprostsza forma.
> Więc skoro tak najprościej, to czemu tak się nie dzieje?

Najprostsza z możliwych do zastosowania w takich okolicznościach. Nie
wiem czy się nie dzieje - trzeba zauważyć, że w dalszym ciągu wielu
klientów nawet nie używa apek.

>> To fajnie, ale ja pytałem o konkrety. Np. takie, które mógłbym komuś
>> pokazać jako argument na coś. Sama wiara tu nie wystarczy.
>
> Konkrety: W Polsce inżynier ds. bezpieczeństwa bez trudu znajduje
> ogłoszenia >15k PLN, np.
> https://justjoin.it/?q=Cybersecurity@skill;engineer@
keyword

No tu akurat nie widzę żadnego ogłoszenia, w którym widełki zaczynają
się od >15 kzł. A ogłoszeń z podanym wynagrodzeniem widzę w ogóle dwa
(+ duplikaty). Ale może to tylko w tej chwili.

Jasne, wiem że 15 kzł w przypadku takiego pracownika to nie jest nic
wyjątkowego, tylko po prostu nie ma takich ogłoszeń, dwa ogłoszenia
w ogóle to raczej niekoniecznie jest "bez trudu", i 15 to nie jest
40 - 70.

> Poza Polską, a w szczególności przy wiedzy aż na takim poziomie,
> to cena wędruje do poziomów które Ci podałem.

Nawet jeśli, to maksymalne stawki nie definiują sytuacji. Robią to
minimalne stawki. Nie myślisz chyba, że przestępcy muszą szukać
w najdroższych krajach.

> A w tej branży ceny rosną a praca zdalna to norma.
> 139 tys. dolarów to ok. 11500$ miesięcznie, co daje
>>40 tys. zł. I to są w miarę normalne pensje, przy
> czym te stanowisko to jest jednak jeszcze "oczko"
> niżej od tego którego szukasz, dlatego zasugerowałem
> że widełki są jednak bliżej tych 70 tys. zł.

Albo 700 tys. itd. To nie jest informacja.

> A jakbyś myślał o wynajęciu kogoś "na robotę",
> a nie na stały kontrakt, to już mówimy pewnie
> o 100k+.

Z tym akurat mógłbym się zgodzić. To właśnie pokazuje, że sprawa jest
opłacalna - można to sfinansować *jednym* udanym włamem.

Szczerze mówiąc, mógłbym mieć wątpliwości co do opłacalności metody "na
nowy SIM" - duże ryzyko. No ale oczywiście różni ludzie różnie kosztują.
--
Krzysztof Hałasa

do góry

Fri, 18 Dec 2020 04:06:51 -0800 (PST), "witrak()" <w...@h...com>
pisal(a):

>On Friday, December 18, 2020 at 12:35:59 PM UTC+1, Michal Jankowski wrote:
>> W dniu 14.12.2020 o 13:30, Alf/red/ pisze:
>...
>> > PS komputerów używam od 35 lat, i co teraz?
>> A ja od 44, a jeśli dodać to:
>> https://en.wikipedia.org/wiki/Programma_101
>> to jeszcze dłużej.
>>
>> To kto ma większego? :)
>
>No jak to kto? Ja!
>
>On 2020-12-14 15:22, witrak() wrote:
>...> PS. Komputerów używam od 48 lat i co z tego?
>
>witrak()

Wymiękam, 43. Odra na studiach bezkontaktowo, tzn karty + wydruki.
Ale od 1980 ładny rodzynek PDP11/34 + RSX11M.
Od 1985 dodatkowo PG675 czyli PC + CPM/86 + Step 5, jeśli komukolwiek
coś to mówi.
Potem już z górki.



--
Pozdrawiam - Marek

--
Ta wiadomość e-mail została sprawdzona pod kątem wirusów przez oprogramowanie AVG.
http://www.avg.com

do góry

Dominik Ałaszewski <D...@g...pl.invalid> writes:

> Ekran monitora elektryzował się, co powodowało różnicę potencjałów
> pomiędzy nim a operatorem (zwykle "w miarę" uziemionym), co z kolei
> sprawiało, iż wszelakie nieobojętne elektrycznie drobiny w powietrzu
> (kurz i inne takie) w polu takowego kondensatora leciały w stronę
> monitora (to jeszcze nic) albo w operatora, który dostawał "po oczach".
> Po nałożeniu filtra cały kondensator zamykał się między ekranem
> a filtrem, między operatorem a filtrem różnicy potencjałów już
> nie było.

Owszem. BTW filtry (np. 3M) działały dokładnie tak samo, miały warstwę
przewodzącą. Jak się ich nie uziemiło, to ładnie "kopały".

Wiele monitorów miało filtr przyklejony do zewnętrznej warstwy
kineskopu. To było chyba najlepsze rozwiązanie, nie było wewnętrznych
odblasków, problemów z kurzem itd.

> b) Elektrony z działa waliły w luminofor ekranu. Ich gwałtowne
> wyhamowanie powodowało emisję promieniowania hamowania,
> często w widmie promieniowania rentgenowskiego
> (vide: https://pl.wikipedia.org/wiki/Lampa_rentgenowska).
> - choć to raczej w przypadku kineskopów kolorowych, które miały
> wyższe napięcie anodowe.

Teoretycznie poziom promieniowania był "bez znaczenia" także
w przypadku monitorów kolorowych (napięcia do ok. 30 kV). Nie jestem
ekspertem od lamp próżniowych, ale podobno zasadniczy wpływ na
występowanie efektu miało napięcie na ostatniej siatce kineskopu. Czy to
ta siatka głównie przyspieszała elektrony? W przypadku przekroczenia
właściwego napięcie poziom promieniowania miał się znacząco zwiększać,
w instrukcjach serwisowych były na ten temat odpowiednie uwagi itd.

Kiedyś mierzyłem kilka moich monitorów licznikiem G-M (EKO-C). Nie dało
się zmierzyć niczego zauważalnie powyżej tła. Z jednym drobnym wyjątkiem
- przyłożenie miernika do ekranu dawało alarm i wynik 8888 (czy co tam
EKO-C wyświetla w takich okolicznościach). Z tym, że to nie był efekt
promieniowania gamma, tylko jonizacji czujnika przed naładowany przód
kineskopu. Wystarczyło odsunąć czujnik o centymetr i efektu nie było.
Monitory z filtrem nie powodowały alarmu.

> Kineskop wykonany był ze szkła ołowiowego, które powinno
> zatrzymywać promieniowanie rtg, aczkolwiek z tyłu
> szkło było cieńsze i faktycznie jeśli ktoś siedział tuż
> za kineskopem jakąś tam dawkę teroretycznie mógł zaliczyć.

Zdaje się że to było szkło z niską zawartością ołowiu, przynajmniej
później. Tak czy owak, nie wątpię że monitory produkowały promieniowanie
gamma, ale podejrzewam, że mogło to nie mieć żadnego znaczenia
w normalnych warunkach.
--
Krzysztof Hałasa

do góry

Wojciech Bancer <w...@g...com> writes:

> Automatycznie sterować aplikacją, która nie udostępnia jawnych
> interfejsów do takiego sterowania?

Ale kto chciałby sterować aplikacją? Należy z niej tylko wyciągnąć
(z pamięci) klucze kryptograficzne.
Inna sprawa, że ten "argument" ze sterowaniem to chyba jest słabo
przemyślany.

> To zależy czy jesteś w stanie zrobić "ogólny" exploit czy musisz
> targetować pojedyncze urządzenia. Jak na razie w przypadku przejmowania
> telefonów mowa co najwyżej o atakach targetowanych indywidualnie.

Pojedyncze modele urządzeń. Nie pojedyncze egzemplarze.
Aczkolwiek exploity są bardzo podobne, to nie jest tak, jak
u jednego z wiceministrów finansów, że wpływy z podatków rosną liniowo
wraz z ich stawką.

> Więc chyba rozumiesz że jest to zupełnie inne niż "zrobimy fake stronę
> + mailing i kto się nabierze i zrobi przelew, tego strata"?

Oczywiście - obecnie taka sytuacja może wystąpić tylko wtedy, gdy ktoś
nie przeczyta treści SMSa i na ślepo go zaakceptuje.

>> A akcje z duplikatem karty SIM?
>
> Do tego wystarczy wyciek / kupno bazy danych osobowych (np, ta która
> wyciekła z morele.net).

Ja nie pytam co jest do tego potrzebne, tylko to nie jest "podmianka
strony" (+ mailing).
Zauważ też, że akcje z SIM są możliwe tylko dlatego, że procedury
bankowe są (były?) wadliwe. Zagrożenie było znane od dawna (i to nie
tylko teoretycznie).

>> Samo znacząco większe ryzyko już wystarczy (przynajmniej niektórzy
>> uzyskiwali karty SIM osobiście w "salonie" operatora - to chyba
>> desperacja).
>
> A to robi słup.

A skąd wiesz? Słup może nawet łatwiej wpaść, ryzyko, że razem z kartą
SIM odbiorca znajdzie "funkcjonariuszy" wzrasta. No, może przeceniam
tych ostatnich. W przypadku zdalnego ataku, jeśli przestępca nie popełni
karygodnego błędu, nie ma możliwości namierzenia go (poza sytuacją
"globalnej kontroli", która chwilowo nie występuje, i którą też da się
obejść).

> Ale nie mamy jednego uniwersalnego pyczka do "przejmowania" dowolnego
> telefonu, a zdajesz się to sugerować. Ale oczywiście mogę się mylić
> i FBI wcale nie miewa problemów z dostępem do komórek,

Wyłączonych z zaszyfrowanym systemem plików zdaje się?

> a firma
> tworząca Pegasusa nie każe sobie płacić milionów za przyjemność
> posiadania narzędzia (które trzeba i tak aktualizować).

Kasa za Pegasusa jest dlatego, by nie trzeba było umieć. Sam napisałeś,
można umieć lub zapłacić komuś, kto umie.
--
Krzysztof Hałasa

do góry

W dniu 2020-12-19 o 00:12, Marek G pisze:

> Wymiękam, 43. Odra na studiach bezkontaktowo

Ja na studiach miałem kontakt z Odrą w zegarku.

:-)

do góry

W dniu 2020-12-18 o 11:26, _Master_ pisze:
> W dniu 2020-12-14 o 13:30, Alf/red/ pisze:
>> PS komputerów używam od 35 lat, i co teraz?
>
> To Znaczy że zacząłeś za komuny.
>
> Kto w tamtym czasie maił dostęp do takich urządzeń? ;-)

Ale żeś kryterium wybrał :-)
Gdybyś tylko rozejrzał się (wtedy) bardziej wokół,
to zobaczyłbyś, że może nie stały w każdym domu,
ale nie były jakieś niedostępne.

do góry

Że nie chodziłem na pochody?

Co Ty BREDZISZ?

do góry