Kingpin

Черити научилась принимать горечь Макса, которая появилась у него после возвращения из тюрьмы. Жить с ним значило никогда не смотреть криминальные фильмы по телевизору, потому что любое изображение полиции как хороших парней распыляло Макса. Она не было полностью уверена, что Макс имел в виду сейчас, и она не хотела этого знать. Но одно было ясно. Макс решил, что он будет Робин Гудом.

• • •

Макс знал, где именно получить данные кредиток, которые хотел Крис. Были тысячи потенциальных источников, которые были на виду как CarderPlanet и Shadowcrew. Сами кардеры были его добычей. Большинство из них не были хакерами, они были просто мошенниками, которые знали немного о мошенничестве и ничего о компьютерной безопасности. Это, конечно, не могло быть труднее, чем взлом Пентагона. Также это было морально приемлемым предложением: он будет красть номера кредитных карт, которые уже были украдены. Преступник собирался их использовать, поэтому он может сойти за мошенника Криса Арагона.

Он начал выбирать оружие, подбирая троянскую программу, которая уже циркулировала онлайн и настраивал, чтобы антивирус ее не обнаруживал. Чтобы тестировать результаты, он использовал симулятор компьютерного обеспечения VMware, запуская сразу десятки различных виртуальных систем Windows на своём компьютере, каждая загрузка с разным набором программ по безопасности.

Когда вредоносные программы остались незамеченными для других, он приступил к следующему шагу: собрал список номеров от карточек и электронных адресов с публичных форумов, добавляя их тысячами в базу. Затем, представляясь как известный продавец дампов Hummer911, он отправил сообщение для всего списка. В сообщении говорилось, что Hummer911 приобрёл базу дампов American Express больше, чем он мог бы использовать или продать, поэтому он готов часть отдать. «Кликните сюда, — написал Макс, — и получите бесплатный Amex!». Когда владелец карты кликнул по ссылке, то он обнаружил, что смотрит на поддельные дампы Amex. В это время Макс генерирует невидимый код на веб-странице, используя новую уязвимость Internet Explorer.

Эксплоит воспользовался тем, что Internet Explorer может делать больше, чем просто обработка веб-страницы. В 1999 Майкрософт добавил поддержку нового типа файла под названием HTA-приложение. Файл, написанный в той же разметке и языком кодирования, что используется на веб-сайтах, при этом позволяет делать на компьютере пользователя то, что не может делать веб-сайт. Например, создание и удаление файлов по запросу или выполнение произвольных программ. Идея была, чтобы разработчики привыкли к программированию для веба, используя те же навыки, как и при разработке полностью функционального десктопного приложения.

Internet Explorer распознает HTA-приложение, которое может быть смертельно опасным, и не загружает их из сети, а только с жёсткого диска пользователя. В теории. На практике, Майкрософт оставил лазейку на пути сканирования браузером содержания веб-страниц. Многие веб-страницы содержат объектные тэги — простые инструкции, которые говорят браузеру забрать что-нибудь с одного веб-адреса (обычно фильм или музыкальный файл) и включают его в часть страницы. Но оказалось, что вы можете также загрузить HTA-приложение через объектные тэги и получить право на его загрузку. Вам надо только немного замаскировать его.

Пока жертвы Макс радовались поддельным дампам American Express, невидимый объектный тэг управляя их браузером, закачивал вредоносное HTA-приложение, которое Макс, на всякий случай, закодировал.

Важно, что Макс дал файлу имя «.txt» — поверхностный индикатор того, что это обычный текстовый файл. Internet Explorer распознавал имя файла и решал, что его загрузка будет безопасной. Как только браузер начинал загрузку файла, сервер Макса превращал его содержимое в содержимое типа «application/hta», которое идентифицируется как HTA-приложение. По сути сервер Макса изменял историю загрузки, предлагая безвредный документ для проверки браузером, который определялся как HTA-приложение, в момент, когда браузер обнаруживал файл.

Из-за имени файл сохранялся как безопасный, и Internet Explorer не перепроверял данные, один раз убедившись в них. Он просто запускал HTA-приложение Макса вместо веб-страницы.

HTA-приложение Макса было написано плотным Visual Basic скриптом, который запускался небольшой программой-ловушкой на компьютере пользователя. Макс назвал ловушку «hope.exe». Надежда – это второе имя Черити. Ловушка, в свою очередь, загружала и устанавливала троянского коня. Таким образом у Макса всё было под контролем.

• • •