Как меня пытались взломать неизвестные.

Сижу на паре, листаю ленту пикабу и тут приходит смс с кодом доступа телеграм.

Как меня пытались взломать неизвестные. Взлом, Telegram, ВКонтакте, Одноклассники, ФСБ, СМС, Хакеры, Длиннопост

Подумав, что это кто-то неправильно ввел у себя номер или просто какой-то незадачливый хакер пытается получить доступ, я не придал этому особого значения, как вдруг мне приходит второе такое же смс и вырубается сеть. Намертво.

Как меня пытались взломать неизвестные. Взлом, Telegram, ВКонтакте, Одноклассники, ФСБ, СМС, Хакеры, Длиннопост

Здесь я уже заметно перепугался и попросил одногруппника раздать интернет. Следующая картина заставила меня заметно понервничать.

Как меня пытались взломать неизвестные. Взлом, Telegram, ВКонтакте, Одноклассники, ФСБ, СМС, Хакеры, Длиннопост

Кто-то успешно (!) ввел код из смс, но не смог получить доступа к аккаунту, так как не знал пароль двухфакторной аутентификации. На всякий случай сменив пароль, я полез проверять почту и там меня ждал еще один неприятный сюрприз. Даже два.

Как меня пытались взломать неизвестные. Взлом, Telegram, ВКонтакте, Одноклассники, ФСБ, СМС, Хакеры, Длиннопост
Как меня пытались взломать неизвестные. Взлом, Telegram, ВКонтакте, Одноклассники, ФСБ, СМС, Хакеры, Длиннопост

Аккаунт одноклассников я не использовал с 2013 года, и там абсолютно пустая страница, так что мне его не было жалко. Его взломали и изменили пароль. А вот попытка взлома аккаунта ВК, прямо скажем, заставила кровь в жилах застыть. Но, слава богу, двухфакторная аутентификация и тут спасла - неизвестные не смогли получить доступ. Но опять же - они успешно вводили все коды подтверждения СМС! Сеть, тем временем, так и не появлялась. После пары, по пути домой я зашел в салон известного сотового оператора красного цвета, и спросил у оператора, в чем дело и почему сеть пропала (Про взлом ничего не говорил). Оператор решил проблему банальным выниманием и обратной установкой симки, после чего я поспешил домой, чтобы посмотреть истории входов в одноклассниках. И тут я заметил два любопытных IP. Первый - IP из Владивостока. Второй - японский (скорее всего VPN). Второй IP так же пытался взломать телеграм.

Как меня пытались взломать неизвестные. Взлом, Telegram, ВКонтакте, Одноклассники, ФСБ, СМС, Хакеры, Длиннопост

Пытаясь загуглить японский IP, я ввел его в адресную строку и мне открылось это.

Как меня пытались взломать неизвестные. Взлом, Telegram, ВКонтакте, Одноклассники, ФСБ, СМС, Хакеры, Длиннопост

Очень странная ситуация, кто мог получить доступ к моим СМС? Спецслужбы? Японские хакеры? Или просто хакеры, которые перехватывали сотовые данные?

За всю сознательную жизнь в интернете у меня никогда не было таких ситуаций. Максимум взламывали твиттер - и то по моей вине, из-за вирусняка на компе. А тут явная хакерская атака сразу на две соц.сети и мессенджер. Удивительно, что еще почту не тронули.

Получается, мы никак не защищены? Любой может вот так просто получить доступ к кодам доступа через СМС?

Если есть знающие люди, проясните, что это и как от этого можно защититься. Отдельно хотелось бы узнать про японский IP - может он уже где-то засветился?

Вы смотрите срез комментариев. Показать все
27
Автор поста оценил этот комментарий

Да симку где-то твою перевыпустили.

А заработало после повторной вставки потому, что приоритет при одном и том же номере имеет симка, зарегистрированная в сети последней

раскрыть ветку (18)
20
Автор поста оценил этот комментарий

перевыпуск симки означает, что старая навсегда перестает работать. дубликат на современную симку в общем то тоже сделать невозможно, если только не иметь доступ к базе с парами IMSI/KI, но это тоже из разряда анриал, не тот уровень.

тут поимели уязвимости самой сети, точнее старых ее протоколов (в 80е считалось что у злоумышленников никогда не будет доступа к закрытой сети, где передаются без проверок незащищенные данные), нужен софт и операторская лицензия, что за деньги не проблема.

раскрыть ветку (16)
32
Автор поста оценил этот комментарий
15 значный идентификатор симкарты - IMSI, номер - MSISDN. Связь между ними хранится в гллобальной базе данных HLR. У коммутаторов используется аналогичная база данных VLR (отличие в том что она временная для текущих абонентов). Злоумышленник знает MSISDN, сперва получает IMSI. Это можно сделать путем формирования запроса на доставку SMS-сообщения из сети, эмулируемой на компьютере. Домашняя сеть благополучно сливает, где сейчас абонент (дома или в роуминге и если вроуминге то в какой сети) и в служебнйо инфе есть IMSI. По IMSI можно выйти на отслеживание перемещения абонента по базовым станциям (если нужно). В HLR можно сообщить что такой то абонент зарегистрировался в роуминговой сети передав IMSI и новый MSC/VLR. В этот момент у релаьного абонента отшибает связь. Затем перенаправляются смс на себя и все - можно читать все новые смс. А если не палиться с подтверждением принятия смс, то вообще фоном можно читать смс, тк в конечном счете они придут и абоненту через несколько попыток отправки. А так можно и обчистить счет абонента, тк доступны и USSD-запросы и смс. Аналогично можно вклиниваться и в звонки, получая их, а дальше уже переадресовывая реальному абоненту.
раскрыть ветку (10)
2
Автор поста оценил этот комментарий
Есть еще один способ связанный с ip телефонией. Суть в том, что парочка(мы пока нашли три) поставщиков услуг из европы, никак не могут закрыть дыру с подменой номера...
раскрыть ветку (2)
Автор поста оценил этот комментарий

Ну так они исходящий наверно подменяют?

раскрыть ветку (1)
3
Автор поста оценил этот комментарий
Да. Но на нашей стороне мобильные операторы тоже не могут закрыть эту дыру.
В итоге имеем: можно позвонить кому угодно, с номера, допустим, администрации президента.
+ sip транк с gsm могут работать одновременно, и доступность канала будет у обоих устройств.
Я себе уже звонил и тэст прошел успешно.
2
Автор поста оценил этот комментарий

Ох, и кому же это могло понадобится? Я вроде обычный студент, не политик, не бизнесмен, чтобы вот такие сложные махинации проводить с моим номером.

раскрыть ветку (4)
11
Автор поста оценил этот комментарий

сами вы не нужны никому, пусть ваши учетки и стоят "копейки", но скриптом автоматом взламываются аля десятки тысячи аккаунтов, что уже более ощутимо.

раскрыть ветку (2)
Автор поста оценил этот комментарий
Добрый вечер! Скажите, пожалуйста, с вами можно как-то связаться в телеге или др. соц сети, где есть лс? У меня произошла точно такая же ситуация как и у автора поста. Хотелось бы задать вам пару вопросов по этой теме, если это возможно😊
раскрыть ветку (1)
Автор поста оценил этот комментарий

привет, да я диванный аналитик), смысла нет - там ниже под моим комментарием отписывался dtrser, думаю он в этой теме больше варится.

Автор поста оценил этот комментарий

Возможно, вы попали под раздачу, на вас потренировались, как на кошках.

1
Автор поста оценил этот комментарий

90% написанного не верно. IMSI не представляет вообще никакой ценности для злоумышленников. Узнать его может кто угодно, просто посмотрев на свою симкарту и подставив MCC и MNC к ICC коду. И сразу после регистрации IMSI используется только для маршрутизации/анализа, работы сервисов.

Совершенно не понятно для чего нужна отправка СМС, что она дает?


Допустим что злоумышленнику (А) зачем то нужно знать где находится взламываемый (Б). Домашняя сеть (mrEugenS видимо имеет в виду HLR), сливает только GT/FQDN идентификатор сетевого элемента на котором находится абонент (Б). И сливает его только сетевому элементу на котором находится (А). То есть отправляющий СМС, или делающий вызов на якобы взламываемого абонента никогда не узнает этот идентификатор, он хранится внутри оборудования оператора и на мобильные терминалы (телефоны/модемы) не передается. Но даже каким то немыслимым образом узнав его (например он инженер работающий у своего оператора), он получит только идентификатор такого же сетевого элемента другого оператора. В России это минимум область, в которой у операторов в среднем по несколько тысяч вышек. Как он дальше будет отслеживать взламываемого не представляю.


Еще больше вопросов к передаче нового местоположения. Потому что для этого, злоумышленник должен пройти аутентификацию на AUC взламываемого прикинувшись взламываемым. Это необходимо потому что любое сообщение сопровождается так называемым auth-application-id, или auth-key. Проще говоря, HLR всегда смотрит ключ сессии абонента, и если он не соответствует оригиналу он такие сообщения не принимает. Это я молчу, что для этого у злоумышленника должен быть свой ОПСОС имеющий стык с HLR взламываемого.


Но, тем не менее можно прикинуться взламываемым на самом низком уровне, уровне мобильного терминала (телефона/модема). Сделать это можно только одним способом, это установкой липовой базовой станции рядом с взламываемым абонентом Б, и перехватом его обмена при аутентификации с обоих сторон. И со стороны оператора и со стороны взламываемого. Но тут уже возникает вопрос, а заем тогда выкидывать взламываемого из сети, если в этом случае злоумышленник получает доступ абсолютно ко всему (звонкам, смс, личному кабинету и т.п.). А для взламываемого он будет казаться его оператором, потому что пропускает весь трафик через себя.

Стоит такая поддельная БС нереальных денег, у нас в стране вне закона, и под пристальным вниманием "конторы".

Автор поста оценил этот комментарий

👏 Совершенно верно!

6
Автор поста оценил этот комментарий

Все бы так, но... однажды я перевыпустил симку, потому что старая была только микро, а нужна была нано. А на следующий день воткнул старую в другой телефон. И она работала)

2
Автор поста оценил этот комментарий

Я неспециалист, но слышал о копировании симок. Может это как раз такой случай?

раскрыть ветку (2)
1
Автор поста оценил этот комментарий

Дублирование - запись на пустышку IMSI/KI. Секретный ключ KI для считывания недоступен, в 2000х его нахождение достигалось эмуляцией авторизации в сети множество раз, и на основе входных данных/ответа он вычислялся. В итоге в следующем поколении симок это учли и подняли стандарты шифрования и поставили счетчик на ограниченное число авторизаций. И если в году 2008 еще на руках можно было найти старые симки, то сейчас точно нет.

Побочка - к примеру у моем мамы в кнопочном телефоне бессменно стояла симка года 2007-2008, в этом году она сдохла. По идее собственно из-за этого лимита.

раскрыть ветку (1)
Автор поста оценил этот комментарий

Спасибо за пояснение

Автор поста оценил этот комментарий

Значит такой взлом - только единичный случай? Не хотелось бы менять номер.

Автор поста оценил этот комментарий

Не перевыпуск, а залогинились с такими же id в сети, как и у тебя.

Вы смотрите срез комментариев. Чтобы написать комментарий, перейдите к общему списку