Занятная новая техника спама с поддержкой из Китая

Ок, ок, может не очень новая. Я просто хотел обратить внимание на некоторые технические детали.

Некоторое время назад - пару месяцев - мне начали приходить спам-сообщения, как обычно для спама, очень грязного и пошлого сорта, но (!) с моего собственного адреса, так что даже Гугл не ловил подвоха и честно совал мне это в Inbox.

Вот здесь для любопытных фрагменты типичного заголовка такого письма (привожу последнее, полученное сегодня):

Delivered-To: МОЙ-КОНЕЧНЫЙ-АДРЕС
Received: by 10.100.210.13 with SMTP id i13cs203927ang;
        Sat, 13 Jun 2009 19:25:00 -0700 (PDT)
Received: by 10.114.199.1 with SMTP id w1mr9040225waf.151.1244946299863;
        Sat, 13 Jun 2009 19:24:59 -0700 (PDT)
Return-Path: <МОЙ-ПЕРЕНАПРАВЛЕННЫЙ-АДРЕС>
Received: from МОЙ-ДОМЕН (МОЙ-ДОМЕН [IP-АДРЕС-МОЕГО-ДОМЕНА])
        by mx.google.com with ESMTP id 15si4368125pxi.159.2009.06.13.19.24.59;
        Sat, 13 Jun 2009 19:24:59 -0700 (PDT)
Received-SPF: pass (google.com: best guess record for domain of МОЙ-ПЕРЕНАПРАВЛЕННЫЙ-АДРЕС designates IP-АДРЕС-МОЕГО-ДОМЕНА as permitted sender) client-ip=IP-АДРЕС-МОЕГО-ДОМЕНА;
Authentication-Results: mx.google.com; spf=pass (google.com: best guess record for domain of МОЙ-ПЕРЕНАПРАВЛЕННЫЙ-АДРЕС designates IP-АДРЕС-МОЕГО-ДОМЕНА as permitted sender) smtp.mail=МОЙ-ПЕРЕНАПРАВЛЕННЫЙ-АДРЕС
Received: from [86.73.44.239] (239.44.73-86.rev.gaoland.net [86.73.44.239])
 by МОЙ-ДОМЕН (8.13.1/8.13.1) with ESMTP id n5E2OuRf016440
 for <МОЙ-ПЕРЕНАПРАВЛЕННЫЙ-АДРЕС>; Sat, 13 Jun 2009 20:24:57 -0600
Date: Sat, 13 Jun 2009 20:24:56 -0600
Message-ID: <GHWADMCMRATV.VHIJIVAWPOUMFGA47439594680@[86.73.44.239]>
From: "Alayna Boron" <МОЙ-ПЕРЕНАПРАВЛЕННЫЙ-АДРЕС>
To: МОЙ-ПЕРЕНАПРАВЛЕННЫЙ-АДРЕС
Subject: Suiciders online
MIME-Version: 1.0
Content-Type: text/html; charset="iso-8859-1"
Content-Transfer-Encoding: 7bit

Кстати, подобное издевательство было бы невозможно без попустительства Китая. Это меня так озадачило, что я даже пообсуждал с супругой, а есть ли у китайцев понятие этики как таковой или оно принципиально иное? Ведь у них, если такое без разрешения партии - все просто, пуля в затылок и на запасные органы. Так почему же высокие партийные органы там подобное безобразие разрешают? Я, конечно, понимаю, что особой любви к Америке они не питают, но тут-то они мараются в таком... мерде, что о сохранении лица даже говорить смешно. Да, а почему я говорю, что помощь идет из Китая? Да очень просто - спам не работает без линков, а все линки - в Китае, на китайских серверах. Спамеры, кстати, их очень хвалят, говорят, совершенно непробиваемые для жалоб.

Ладно, это все детали, а как же все это сделано? А очень просто. Если вы внимательно посмотрите на заголовки, то окажется. что главный вонючка - это машина в сети gaoland.net.

C:\>NSLOOKUP 86.73.44.239
Server: cns.beaverton.or.bverton.comcast.net
Address: 68.87.69.146

Name: 239.44.73-86.rev.gaoland.net
Address: 86.73.44.239

Если посмотреть заголовки других таких же писем (я их аккуратно собираю), то встретятся серверы в Нью-Йорке, Пенсильвании, Миссури и еще много где. Откуда же они берутся?

Помните я недавно рассказывал как посетителей вебсайтов заражают троянами? Вот для этого в частности и заражают. Это безвинно зараженные машины обычных обывателей, которые совершенно не в курсе, что из машины используются для рассылки спама. Кстати, потом ISPs - провайдеры Интеренета - это обнаруживают и их отключают, хотя вся их вина в том, что их машину заразили всякие сволочи. В общем, рассылается это дело обычными бот-нетами или как их еще называют, зомби-сетями.

Грустно это, господа... куда-то непонятно куда развивается наша любимая компьютерная технология. Как говорил профессор Преображенский "Такой кабак мы сделали с этим гипофизом, что хоть вон беги из квартиры."

Ну, да, кросс-пост с персонального блога...

Сказ про то, как вас пытались достать через мой блог... а я им не дал!

Постоянные читатели уже в курсе, что на Technet я в основном публикую кросс-посты с моего персонального блога eldar.com (например, вот этот пост находится здесь). И вот, месяца четыре назад, пришло мне такое письмо (в вольном изложении, само собой, оригинал был на буржуинском): «Здрасьте! Я интернет маркетинг менеджер компании Крибле-Крабле-Блюмс! Мы спецализируемся на Интернет рекламе на небольших сайтах. Мы готовы вам платить $20 в месяц, если вы разместите рекламу наших клиентов. Все что нужно сделать – вставить небольшой PHP код на каждую вашу страницу...»

Ок... Вы знаете, за уже скоро десять лет на Майкрософте, моя нынешняя группа – первая, где я не отвечаю за секьюрити всего продукта. Так что, как вы понимаете, у меня сформировалась некоторая, вполне здоровая в моих обстоятельствах, паранойя... Так они хотят, чтобы я вставил PHP код выполняемый на МОЁМ сервере???

Но я не стал судить резко, все-таки взял PHP код и внимательно посмотрел ему в глаза... Вроде бы все честно. Берет что-то с их сайта и выводит их в HTML на моей странице. Обычно и правда честный набор из четырех-шести линков. Первое чувство было, что они пытаются взломать мой сайт. Но вроде бы не должно получаться... Конечно, скребло чувство, а не может ли их вывод вторично интерпретироваться как PHP? Это-то точно было бы огромной дырой в секьюрити. Вроде бы нет, но все же... что-то еще скребло...

И тут до меня ДОШЛО. Достать пытались не меня, А ВАС! Позвольте обьяснить как.

Это в период переговоров этот код выдает скромный набор из четырех линков. А если бы я его вставил на свой сайт, он начал бы выдавать еще дополнительно скромный Javascript. Вы можете спросить, ну и что? Увы, еще как что. Дело в том, что если система не имеет все последние заплатки, то в ней часто есть дырки, через которые Javascript может заставить систему выполнить произвольный код. «Произвольный код» звучит заумно и не очень страшно, но на самом деле это обычно трояны. Точнее, установка троянов. Причем ныне уже не те времена, когда троян заставлял буковки сыпаться с вашего экрана, сейчас этим занимаются вполне серьезные дяди, которым совершенно неинтересно вас шокировать или пугать, им просто нужны ваши деньги. Современные трояны в основном делают очень простую вещь – они сидят тихо и ждут, когда вы сделаете что-нибудь интересное. Скажем, залогинитесь в ваш счет в банке или купите что-то на Интеренете по кредитной карточке. Тут они ловят ваш ввод и отправляют на анонимный сервер хозяину трояна, которые затем может этими данными воспользоваться или, что более часто, продать их тем, кто может ими воспользоваться.

В общем, такой вот я молодец! Защитил и свой сайт и своих читателей. Пойду, возьму с полки пирожок. Тот, что посередине...

Из мелочей, наконец обзавелся телефоном с камерой. Вообще-то камера мне была ни к чему, я просто хотел батарею, которая дольше работает без подзарядки, но как-то там же оказалась и камера. И вот три снимка с уже знакомой прогулки по лесу, о которой я уже рассказыал не раз и не два...

Шотландская метла - красиво!

По дороге окруженной желтыми цветами

 

Круглое озеро с утятами

Сколько дверей у вашего сейфа?

Кросс-пост с персонального блога...
---

В году этак 2001-м я натолкнулся на Интернете на новый магазинчик с русскими книгами, музыкой и фильмами. Потратив пару часов на выбирание того, что мне понравилось, я попытался заказать, на что те попытались тут же создать мне "account" и запомнить на нем мою кредитную карточку. То есть, кроме уже существующего в моих руках пластикового ключа и неизбежного при этом виртуального ключа к моим деньгам в виде номера карточки, срока действия и моего имени, они попытались добавить к моим деньгам еще один, свой собственный ключ.

Представьте это себе визуально. Вот есть здоровый сейф с вашими деньгами. Ну, или не очень здоровый. У вас есть ключ от него. Каждый такой придурковатый магазинчик, который запоминает вашу кредитную карточку и дает к ней доступ по логину на их сайт, пропиливает в этом сейфе еще одну дверку со своим собственным, как правило, достаточно ненадежным ключом. Как вам это нравится?

В общем, послал я их подальше, и даже написал им возмущенное письмо. А поскольку послал его с рабочего адреса, то его прочитали, и я даже поговорил с владельцем магазина на эти темы. Его оправданием было то, что он все равно создает "счет" в своей бухгалтерии, и обьяснить ему, что счет в accounts receivable, и логин на сайте, который может автоматически использовать кредитную карточку - это очень разные вещи, я так и не смог.

Кстати, это, пожалуй, один из немногих случаев, когда технология от Yahoo превосходит технологию от Google. Я говорю о системах оплаты от этих компаний. У Yahoo счет заводит фирма-продавец, поэтому плачу я своей кредиткой, но на сайте Yahoo, так что фирма-продавец мою карточку в глаза не видит. Очень удачный компромисс безопасности и удобства. Google Checkout же требует, чтобы я завел счет у них как покупатель и доверил им хранение номера своей кредитки,  в надежде, что мой универсальный Google account никто не сопрет. Да еще и завязав на тот же счет мою электронную почту, календарь, и еще невесть сколько сервисов совершенно иного уровня безопасности. В общем, Google старается нанимать очень умных людей, но судя по этому решению, по крайней мере одного не очень умного человека они все-таки наняли.

Вообще-то, бытует мнение, что безопасность - это всегда морока и головная боль, и в чем-то это мнение оправданно. Однако, удивительно насколько часто эта морока и головная боль связана не столько с безопасностью, сколько с патетичным неумением имплементировать безопасные системы и непониманием всей этой области.

Honey, where are my keys???

Cross-post from my main blog: --------------- No, really? Suppose, you’ve got a certificate from some certificate authority, installed it in the localmachine store, and then your application cannot see it!!! What happened? Is it a bug? Is it a virus? Did somebody stole you precious key??? Not quite… Let’s see what’s happening when you install the certificate. The certificate itself is stored in the registry, and it includes the public key. However, the private key is stored separately in a special folder. That’s “%system drive%\Documents and Settings\All Users\Application Data\Microsoft\Crypto\RSA\MachineKeys”, or whatever it is in a localized version. This folder is quite special. First of all, a normal consumer Windows does not have much to keep there. Sometimes, it’s just empty. Unfortunately, this is important to our story. Read on! So, you install the certificate, and the file with the private key is created in this folder. Where does it gets its permissions? Right, from the folder. That’s quite logical, isn’t it? Step 2, and that a smart thing, maybe a too smart thing, happens. Crypto layer, which created this file, removes the permissions for Everyone (WD) identity on this file. Which is also quite logical, you cannot have a private key that everybody can read, can you? Now, what does it mean if Everyone was the only one having access to this folder? Right, nobody can get your key. Not even Admin or SYSTEM – semi-divine identity in Windows used to run system processes. That’s not fun, but wait, here is more! If for some reason at some moment in the history of the machine this folder gets empty, it may – I repeat, it may – be deleted by the same code that created file for private key and maintained it so far. Then, some other application starts and tried to import a private key. Guess, what happens? The folder is magically recreated. Sounds good? Wait a bit for a small detail. It’s recreated under the current user. Ouch, ouch, ouch! What does it mean for you? It means that on any well used Windows system you don’t have a predictable state of this folder and your private keys. And if you install certificates under one user, it may not work under another user. So, the generic word of wisdom is: take care of ACLs on your private keys, if you install them, or it may be the last time you’ve seen them!