BSides Sofia 2024: The Price of Privacy: Doxing and De-anonymization in the Digital Age

2:27↗правите та какво е донъ всъщност представлява метод на анализ resch с който се събира публична информация и както и така конфиденциална информация за един човек а вследствие на което тази информация от редакторите бива публикувана поради най-различни причини основно информацията която се събира е име дата на раждане ссн или егн в нашия случай а номер на шофьорска книжка лична кореспонденция лични снимки месторабота имоти които притежава човека данъци дали е плащал или не и така нататък въобще наборът от информация която може да бъде събрана е много различна и така е варира от случай на случай а най-често извършителите на на така наречения док синг са редактори или хакери а те използват това нещо в повечето в повечето случаи за да придобият информация относно таргета върху който са тръгнали да работят в последствие то може да бъде използвано за фишинг или

3:36↗вишин съ фишинг и така нататък а но това се наблюдава не само в сред редактори това се наблюдава и в обикновени хора които извършват това нещо ученици студенти които са гневни на своите учители или бивши и решават да публикува цялата информация онлайн с идеята да си отмъстят или да навредят на някого а поради тази причина всъщност doxing се предлага и като услуга в dp dark web има не малко туториали не малко сървиси които са платени нали да се извърши дон върху някого а както има не малко сайтове които са всъщност това им е целта където хората направили doxing могат да да споделят тази информация на този слайд може да видите един пример от най-големия doxing сай doin в случая това е ъск или поне част от неговия докс информацията не е пълна тъй като е доста голям доста обемен самия док синг може да видите част от информацията която е извадена за него

4:40↗име адрес телефонен номер социални мрежи а както и по-нататъка има и а лични документи защо doxing всъщност е опасен а той освен че разкрива нашата самоличност наши личен живот го показва на на на яве извежда лична информация той може да бъде използван и като както казах вече нали първата стъпка за за вишин фишинг или всякакъв друг social инжениринг именно събирайки информацията за този таргет впоследствие може да по-добре да да се извърши тази атака също така не е за пренебрегване и а сигурността физическата сигурност тъй като след като бъде публикувана информация относно човека къде живее или с какво се занимава къде е бил това ако особено ако е публична личност и може и така може да да стигне до а физическа саморазправа

5:48↗аа също така не и за подценяване информацията събрана от личните ни документи което колкото и да се опитваме да скрием през най-различни ликове изтича аа това може да стигне до кражба на самоличността и именно някой да тегли кредит от наше име да основе фирма от наше име и впоследствие не дай си боже да се стигне до нещо по-лошо а както виждате сложили сме на този слайд няколко новинарски статии свързани с докси именно един случай който може би всички помните наскоро се беше случил как един човек беше превел 26 милиона след доста таргетирана атака с използвайки и дип фейкове а защо докс защо всъщност ние докс един малък дисклеймър ние не докс тъй като извършваме първите стъпки от досига събирането анализа на информацията обработването и но ние не публикуваме тази информация а даваме даваме съвети на своите клиенти как могат да се предпазят от това нещо идентифицираме уязвимости в в

6:58↗техните а така техния дитл футпринт а правим го най-вече с цел давайки тези съвети да се предпазят от евентуални последващи атаки друго нещо за което може да бъде използван док синга а все пак и треда акрите са хора и те си комуникират в социалните мрежи и те допускат грешки колкото по-голям е един треда акър толкова по-самоуверен е толкова повече а не спазва правилата които е с когато е започнал и толкова повече по-голяма вероятността ние да го намерим та по същия начин както редакторите докт хора за да извършат атаки по същия начин ние докс треда актри за да разкрием тяхната самоличност така че в последствие да се стигне до арест евентуално а и така стигаме до интересната част а именно дито а за целта на на разследване сме използвали истински човек но за да предпазим неговата идентичност и да не докс реално всъщност сме скрили името му джон доу сме го кръстили всякаква лична

8:12↗информация която може да бъде идентифицирана е замъглена а също в процеса на разследването по принцип ние всяка една информация която видим я сравняваме поне от няколко източника защото не винаги е вярна а трябва да сме сигурни че наистина на това което намираме е така а и давам думата на моята колега така а първата стъпка която предприемаме за да направим един такъв ресърч е социалната медия много често и въобще повечето в 90% от случаите хората не осъзнават колко много сензитивна информация те а предоставят абсолютно безплатно на всички а наистина без пари това е ценна информация това е вашата информация в съответния случай сме намерили linkedin акаунта съответно това е на ceo голяма личност linkedin е златна мина за информация понеже там имаш години на work exp години на education back ти в случая нали както виждате 1979 може да се пре предположи че

9:34↗правейки простата сметка че този човек е роден около 61-ва най-вероятно 61-ва а съответно от linkedin също имаш локациите на фирмите той може да работи в голяма международна компания не е задължително да се намира там но пак е някаква предпоставка и стъпка напред в под самото име тук не се вижда на скрийншотовете всички знаем излиза локацията в която е раз нали се е разположен човек а във facebook също а имаме роден град град който всъщност в момента моя текущото местообитание а има с кого си обвързан а семейство а дали профилът ти е публичен или не това не е от значение понеже той в някакъв момент в който ти си го създал този по профил е бил най-вероятно публичен което значи че този профил със сигурност един път бил публичен в интернета един път тези данни да са в интернета това значи че те завинаги ще си останат там понеже има много скрепери а уб архай е един

10:49↗такъв в случая бяхме намерили с линка на той е редактиран тоест не е то вече не е до такава степен публичен този профил но с има самия линк а на профила успяхме чрез скрепя аа нали семейна снимка която вече не е достъпна а в сегашния профил но е достъпна защото е била в някакъв момент публична и е било скрепя може да видите че той не е официално обвързан във facebook но съдейки по постовете по всякаква информация която сме се ровичкали сме намирали хващаме публикация в която намираме джейн до която пише нали хъм меби си струва да се види и нейния профил от нейния профил като се влезе се намират вече семейни снимки оказва се че има две деца а и въобще нали вече е доста по-установена цялата връзка между двамата ця цялото това нещо вече имаме университети work background а щат в случая а година на раждане предполагаема а съпруга също което е важно за следващия етап на рисърч и

12:16↗имаме една доста добра база ако може следващия слайд а с която сега всъщност ще ви покажа а предполагам повечето от вас ги знаете тези докове те са супер базови докове но ви насърчавам а лично всеки от вас да се опита да намери информация сам за себе си преди някой друг да я намери а това наистина са най-семплите докове ползването на кавички с full нейма ти easiest thing ever а ако искаш нещо по-специфично заедно с името ти дали да видиш имейл н number или нали physical adress easy ако търсиш специфично в някакъв сайт искаш да търсиш някакъв в някакъв сайт слагаш сайт отпреде това което ви препоръчвам най-много може би а е да пробвате тази със sp bein а понеже в p bein има доста док so you never know maybe trying а както и в dox bein това са най-големите платформи в които има супер много док а съответно с докове могат да се търсят и по file type да видиш дали cv или някакво някакъв

13:39↗друг документ който е свързан с теб може да се намери с такива команди сме намирали а confidencial документи на много големи компании което нали щом на големи компании се ликв неща може да предположим че и на нас може да има нещо а и всъщност само за google dorking много от хакерите го ползват защото има освен това което са много базовите команди нали докове а има доста по-д и целенасочени докове с които можеш да видиш да ти излезат потенциално уязвими сайтове а в случая нали сме ги показали на слайд на слайда не искаме да насърчаваме за такива неща но а има дорко с които могат да се видят слаби сайтове уязвими сайтове към sq инжек естествено това е първата стъпка а в последствие трябва да се мине през много други неща за да се стигне до това наистина да се осъществи тази атака но това наистина една добра първа стъпка а така с google докове и с няколко броя платформи които сме

15:05↗ползвали сме успели да намерим и да навържем следната информация в случая имаме настоящия адрес на човека а виждаме сещаме се във facebook пишеше илинойс пишеше града съответно е съвсем възможно името съвпада името на втория ър който е жена му който доказахме по-рано също с съвпада с другите адреси през отново всякакви google докове а се проверяват също има и безобразно много платформи които предлагат този сърфейс особено за американците които също се проверява дали в някакъв момент са били свързани а с този човек така а следващата стъпка вече знаем всъщност ние с google доковете сме идентифицирали и името предполагаема година на раждане или около нея съответствие пристъпваме към следващата стъпка dv dark web а намерили сме имейла му съответно от linkedin или от facebook или чрез google доковете първото нещо което правим влизаме разбира се в един маркет за исти логове и чеква дали няма

16:20↗негови ренли изтекли разбира се в случая сме сложили някакъв нъм нл но а както виждате на горния слайд това е това на на горния скрийншот това е от едини от маркетите а всъщност някои лъри крадат освен юзърнейм и пароли крадат документи крадат скрийншоти крадат биткой улети и така че ние в един момент имайки тази информация можем да вземем живот този човек така да се каже а другото нещо което се среща в dp dark web са именно ликове а комбо листове въобще някакви изтекли бази които се продават раздават и така нататък в случая единия от маркетите има български комбо лист български трекър а това е реален треда актр не сме го ние създали за презентацията а та както виждате продават се и в случая са се дават безплатно тези а комбо листове юзърнейм и парола имейл и парола което в последствие така а може да ни подскаже или да намерим паролата на този човек има други такива платформи които

17:35↗събират бази най-известната he а нашата компания имаме собствен тул който се занимава с това имаме доста голям набор от бази данни така че в последствие търсейки с индикаторите които имаме събираме допълнително информация а друго нещо което може да се направи в dp dark web в случая тъй като човекът е американец а има ssn маркети ssn е алтернативата на нашето егн а като цяло а намираме в ssn маркета неговия social security number а спрямо адреса който вече сме разбрали и предполагаемата година на раждане имайте предвид че може да се намери ssn от нормален човек до политик за $7 в смисъл няма значение какъв си той струва $7 което е буквално без пари и не се притеснявайте наистина няма маркет пси за гнета но има такова грамадно количество бази на български застрахователни фирми да не говорим за напк който просто всеки бе с който знае как да използва google може да го намери

18:51↗този лийк и да се провери даже не му трябва тор тъй че я

19:00↗а така тук продължаваме с това да си надграждаме самия resch за човека тред модула за към който се стремим а долу вляво може да видите един ту той е доста полезен ту той се казва os с него се чеква главно gmail абсолютно най не анонимния имейл който можеш да ползваш а а излиза абсолютно елементарно стигаш до следната информация името на човека id то google maps откъдето може да се види ревюта и снимки които е оставил по ревютата ти можеш а да до докажеш отново информацията къде е той в момента в кой град е къде е бил къде е пътувал а имайте предвид че доста голямо количество хора оставят ревюта постоянно повечето са негатив по-малко са позитивни но и негативните вършат работа а от google календара също ще се изумите колко хора а си оставят прайват не правт пли евентите и съответно с този линк има достъп до тях което предоставя също огромно количество информация и с

20:20↗последното е всъщност we ахава който ви говорих по-рано където ние намерихме че рейп нато а пост който вече не е публичен от 2019 с който доказахме всъщност и семейната връзка от профила на жена му а за телефонни номера всъщност има безобразно много reverse phone number services безплатни платени няма абсолютно никакво значение има в случая ние ползваме и нашия tool tr сй който също помага за това но а в този конкретен сме намерили че този телефон е свързан с дндо а адресът нали е бърнат но пак е илиной а и а е адрес който преди това сме намерили в предната платформа която ви показахме по на по-ранните слайдове друго интересно което успяхме да намерим за този човек а пак чрез дорко е а вин номер вин номера се оказан на кола от 2011 някакъв шавролет който е свързан с джон до нали той като ceo е малко съмнително защо има толкова стара кола х унос да не знам но а а номерът който беше отдолу

21:47↗всъщност доказа връзката защото той е на джон до джуниър доказа връзката между двамата и още повече я потвърди защото просто номер беше свързан със сина му и потвърди цялата информация от facebook и от всички други социални платформи които успяхме да намерим а други инструменти които ползваме съответно за събирането на информация са command тулове повечето от тях са по делт в c linux така че всеки може да ги ползва а първия за който ще си говорим е именно shl а shock проверя за наличието на най-различни us за наличието на определен юзърнейм в най-различни социални мрежи а намерили сме юзърнейма в предишните ликове дали ще е от inf слога който сме намерили или от някои от базите данни но мва sherlock той ни изважда огромно количество а социални мрежи по принцип това нещо може да бъде направено и с google доковете както никол каза по-рано а с сайт съответно и да търсим конкретния

23:01↗юзърнейм но предимството на това е че става автоматизирано и много по-бързо а то проверява около 300 социални мрежи включително и някои за които нали вече не се използват като myspace а тоест човекът може да има някакъв стар акаунт който ние можем да открием по този начин а проблемът със shw по принципа е че той по дизайн проверява слага юзърнейма в url и по този този начин евъзможно да се стигне до някакви fse poses така че трябва да сме много внимателни откъм информацията която сме събрали в случая виждаме че има 241 резултата за за това този юзърнейм просто отваря повече работа да чеквате и да сравнявате информация но е наистина доста ф то а следващия това са изключително едни от най-популярните тулове които предоставяме колкото повече са ровите толкова повече тулове те са безобразно но github просто има страхотно количество и всичките са доста useful

24:04↗а въпреки че нали казвам че gmail е изключително маси изключително неанонимен и алтернативи като proton mail са за предпочитане бях намерила два тула които даваха дигитал фут принта на proton mail и наистина свършиха работа между другото успях да локализирам доста ценна информация за този човек а следващия ей mail mail върши общо взето работата на н и нашия продукт и въобще без още много други продукти но той има 12 епики които може да си настроиш по които да чеква дали е бил компромат съответния имейл или което всъщност повечето трери го ползват е че с локалните си бази данни които са събрали които в някои случаи са буквално терабайти си ги настройват в ту и чекват с него през тях аа moss също би трябвало да е вградено в нормалния пакет ако не винаги може да го инсталирате през github то а проверява в различни с имейл в различни социални медии дали има акаунти dns ip та и

25:25↗всякаква друга информация която може да се се изкара а това са отново препоръчвам насърчавам ако не сте пробвали пробвайте интересно е най-малкото и стигаме до това че с 90% публична информация намираме онези 10% които не би трябвало да са публични а именно ссн а това всъщност доказва как а наистина просто с една доза повече интерес креативност и логическо мислене човек може да достигне и и да се до добар до сензитивна информация а отдолу има пример от йй който колегата ще поговори за него а да както казахме нали това е един от а както така и други продукти така и нашия събира и проверява множество бази данни това е приме на резултат в съответствие както виж в съответно както виждате отново препотвърждаваме а датата на раждане ip адреса този път намираме не е задължително негов но може нататъка да се проведе допълните на ресърч така че да се установи той ли или не е той вижда

26:47↗се имейл парола както и хеш на парола а понякога множество clear tex пароли което не е много окей а виждаме отново адреса а други юзърнейм които са свързани с този имейл могат да бъдат намерени и датата когато е намерено това има не малко подобни тулове h полн проверява но не ни дава резултата например но има и някакви допълнителни в tp dark web които директно ни изплюват информацията подобна на тази а всъщност както видяхте ние успяхме да съберем всичко за този човек а къде живее а как се казва семейството му с техни снимки каква кола кара каква къща има телефонния му номер имейл адреса пароли юзърнейм други социални мрежи включително и ss това цялото нещо може да води до няколко определени такива стъпки това цялото е да един вид тред моделинг с който всяка кибератака в по-големия си процен почва с он а понеже ти за да пратиш най-малко фишинг имейл който да

28:04↗не е найо фишинг имейла на света виждала съм изключително професионално и добре направени таргетиращи съответния човек фишинг имейли които ако стигна до служител който не е в нашата индустрия аз не бих го съдила че ги кликам в смисъл а затова може да са базови но често ги пренебрегваме точно заради това това това са няколко стъпки които а е необходимо всеки от нас да предприеме и винаги да е на щрек първото е моля ви не си свързвайте всички акаунти с gmail а или въобще какъвто и да било имейл но но определено не и с gmail а с gmail има толкова много платформи които правят а инвестигейшън на самата платформа че е просто безумно какво количество информация излиза от този имейл ако все пак сте по публична личност а и нали нуждаете се нуждаете да ви е публик профил а нагласете си постовете които шервате снимки със семейство или някаква по-сензитивни не приемайте всякакви хора за приятели

29:17↗никога не знаеш кой какъв ще е а естествено всички го знам използвайте силни пароли минимум 12 знака малки големи букви специални знаци цифри и ги сменяйте често а да колкото и да са банални тези неща реално предпазват а другото нещо което така можем да ползваме е vpn vpn по всяко едно време скрива ни някаква степен а ip адреса така че дори и да бъде събрана някаква информация от нас ние сменяйки си паролата често прикривайки си нашия ip адрес информацията която е събрана и впоследствие изтича не е задължително реалната а другото което е нали по възможност не си слагайте на юзърнейма а трите имена и егн-то нали а това надявам се че за всички е ясно но в последствие това се оказава че не е така много хора използват лична информация която ползват в юзър нейми си така че да бъдат а да могат да бъдат експлойт нати за полно следващото разследване и опитвайте

30:26↗се максимално нали да не слагате личните си имена на а профилите нали сега всички знаем че linkedin е страхотно място за намиране на нови възможности но не е задължително да слагаме и трите си имена или пък пълното си име може да е съкращение максимално близко така че да да ни предпази а освен стандартните неща които казахме за атака друго нещо което може да бъде използвано е именно sim sloping а когато вече един треда има цялата информация налична която показахме че е възможно да бъде събрана то може да се обади на вашия телекомуникационен оператор и да каже нали здравейте аз съм джон дол загубих си сим картата това е моята дата на раждане това е моето егн или ssn в случая моля изпратете ми нова sim карта друго нещо security questions забравена парола или паролата не е сигурна всички знаем нали кой град си името на домашния ти любимец моми ското име на майка ти

31:28↗всички тези неща вече са събрани и са налични за треда акторите така че да могат да прескоча дори и такова нещо а ами това е всичко от нас а всъщност като завършващи думи бих искала да ви кажа а за един случай който беше представен като новинарска новинарско заглавие малко по-рано а имаше случай в хонг конг февруари месец където служител превежда 25 милиона 25 милиона всъщност с него се свързва уж сито мисля че или някакъв вид шеф и му казва а така и така трябва да ми се преведат тези пари това е по мейл служителят се усъмнява не е това иска лична среща но в следващия момент той му казва не мога да сега да е лична а дай ще направим кол с мен и с с други коркър влиза в кола човек там може би примерно са 10 човека нямам никаква представа колко са няма значение въпросът е че всичките в кола се оказват п фейк той превежда парите отиват си едни 25 милиона и това е едно чисто

32:48↗доказателство как с а аа достатъчно добър осин защото те са знаели кой е оторизирано тази компания да превеждат такива суми те са познавали неговите служители аа те са знаели нали с кои служители е по-близък това всичкото е осин и една голяма предпоставка за фючър атака която в случая била а нали осъществена просто наистина много внимавайте какво споделяте в социалните медии понеже много голям процент от атаките почват с най-лесния ентри пойт към системата а именно човек и това е благодарим ви ако имате някакви въпроси [музика]