Capitulo 5
"Posso Ajudar?"
49
Com o software em execução, Bobby leve o controle completo do computador de Tom através de uma aplicação-cliente repleta de shells de comandos remotos. Quando Bobby acessava o computador de Tom, ele podia procurar os arquivos da contabilidade que lhe interessavam e podia copiá-los. Em seguida, quando quisesse, ele poderia examiná-los para obter as informações que dariam a seus clientes aquilo que eles estavam procurando. E isso não era tudo. Ele poderia voltar a qualquer momento para pesquisar as mensagens de correio eletrônico e os memorandos particulares dos executivos da empresa, poderia executar uma pesquisa de texto com as palavras que revelariam partes interessantes da informação. Naquela noite, depois de enganar o seu alvo para que ele instalasse um Cavalo de Tróia, Bobby jogou o telefone celular em uma lata de lixo. Obviamente, ele teve o cuidado de limpar primeiro a memória e tirar a bateria — a última coisa que ele queria era que alguém ligasse para o número do celular por engano e fizesse o telefone tocar!
Analisando a trapaça O atacante cria uma teia para convencer o alvo de que ele tem um problema que na verdade não existe --- ou, como neste caso, de um problema que ainda não aconteceu, mas que o atacante sabe que acontecerá porque ele vai causá-lo. Em seguida, ele se apresenta como a pessoa que pode fornecer a solução. O cenário desse tipo de ataque é particularmente suculento para o atacante. Devido à semente plantada com antecedência, quando o alvo descobre que tem um problema, ele mesmo faz a ligação telefônica para implorar ajuda. O atacante só tem de se sentar e esperar que o telefone toque, uma tática conhecida na área como engenharia social inversa. Um atacante que consegue fazer o alvo ligar para ele ganha credibilidade constante. Se eu fizer uma ligação para alguém que acho que trabalha no help desk, não vou começar a pedir que ele prove a sua identidade. É nesse ponto que o atacante sabe que conseguiu.
Recado do Mitnick Se um estranho lhe fizer um favor e depois pedir outro em troca, não faça nada sem antes pensar cuidadosamente naquilo que ele está pedindo.
Jargão Shell de comandos remoto Uma interface não-gráfica que aceita comandos baseados em texto para executar determinadas funções ou executar programas. Um atacante que explora as vulnerabilidades técnicas ou que pode instalar um programa Cavalo de Tróia no computador da vítima pode obter o acesso remoto a um shell de comandos. Engenharia social inversa Um ataque de engenharia social no qual o atacante cria uma situação na qual a vítima tem um problema e entra em contato com ele para obter ajuda. Outra forma de engenharia social inversa é aquela que se volta contra o atacante. O alvo reconhece o ataque e usa princípios psicológicos de influência para tirar o máximo possível de informações do atacante para que a empresa possa preservar os ativos visados.