Легко ли отследить злоумышленника в Интернете и как его найти?

Мои уважаемые читатели.

Сегодня я вам расскажу о практике отслеживания злоумышленников в Интернете, но учтите, я раскрою тему лишь в плане принципа, без приведения конкретных названий софта и точных терминов, которые могут быть интерпретированы и использованы против меня самого.

Для начала, определим злоумышленника, это может быть какой-то спамер, недоброжелатель, или же человек, который кинул вас в чём-то при совершении каких-то сделок в Интернете.

Отмечу, что каким бы многогранным и гигантским не был Интернет, в нём всё равно можно найти практически любого человека, главное знать, где и как искать.

Разберём термины

Для начала нам стоит разобраться в основных терминах источников получения информации или инструментов взаимодействия со злоумышленником.

• Ip-адрес – уникальный сетевой адрес узла в компьютерной сети, построенной по протоколу IP. Поробнее читаем в википедии.
• MAC – уникальный идентификатор, присваиваемый каждой единице оборудования компьютерных сетей. Подробнее читаем в википедии.
• Cookie – небольшой фрагмент данных, отправленный веб-сервером и хранимый на компьютере пользователя. Подробнее читаем в википедии.
• Http – протокол прикладного уровня передачи данных. Подробнее читаем в википедии.
• Https – расширение протокола HTTP, поддерживающее шифрование. Данные, передаваемые по протоколу HTTPS, «упаковываются» в криптографический протокол SSL или TLS, тем самым обеспечивается защита этих данных. Подробнее читаем в википедии.
• FireWall – комплекс аппаратных или программных средств, осуществляющий контроль и фильтрацию проходящих через него сетевых пакетов в соответствии с заданными правилами. Подробнее читаем в википедии.

Остальные термины я буду объяснять в соответствующих разделах статьи.

Как засечь злоумышленника?

Допустим, это спамер или недоброжелатель, значит, первый оставит комментарий, а второй будет либо пастись на сайте, либо так же оставлять комментарии, либо ддосить, либо запускать sql-инъекции. Так или иначе, он запалит свой ip-адрес, и не важно, реальный, или подставной, главное, что бы запалил, что-нибудь.

И так, остановимся на варианте с комментарием, где проще всего запалить его ip-адрес, а если повезёт, то и email. Вообще, при вычислении недоброжелателя важно собрать как можно больше информации, и подойдёт всё, начиная от ip, заканчивая ником и мылом.

Для справки:

Если злоумышленник засветил где-либо, что-либо, скажем ip или почту, то его уже можно будет найти. Исключением является особо грамотные специалисты – невидимки.

И так, вы имеете ip-адрес злоумышленника, и чем быстрее вы начнёте его искать, тем больше шансов у вас его найти, так как некоторые служебные действия пользователя, могут отсечь как половину следов, так и практически все.

Для справки:

Удалить все следы пребывания в интернете просто невозможно, но зато можно сделать их неактуальными.

Определили IP-адрес, что дальше?

И так вы имеете IP-адрес злоумышленника, если у него белый ip (статический), то вот он и попался, а вот если серый (динамический), то мы лишь вначале поиска, и интересного приключения.

Статический IP – хорош тем, что он не изменяется, таким образом, можно самые важные сайты привязать к нему, тем самым обезопасить себя от взлома. Кроме того, на него можно навесить брандмауэров и фаерволов, и загрузить канал до такой степени, что вас ломануть будет практически нереально, но зато без «подставного» Ip или VPN, вы будет уязвимы в плане анонимности, если вы злоумышленник.

Пример злоумышленника

Допустим, у злоумышленника динамический ip-адрес, и значит, кроме него на нём сидит ещё куча народу, а значит мы перед выбором, за кого хвататься? Но на самом деле, просто самое интересное начинается.

Для начала вам нужно отсканировать все действующие компьютеры, сидящие на этом IP, дабы знать, с кем работать, а не работать методом тыка. Для этой задачи, вам не сканер портов нужен, а именно сканер ip, хотя бы лёгкий.

Прослушивание компьютеров

Простой скан предоставит вам список всех компьютеров без фаервола, это те компьютеры, которые можно спокойно «прослушивать». Для прослушки вам понадобится работоспособный «сниффер» (википедия), который для этого и предназначен.

Прослушивая эти компьютеры, в зависимости от интенсивности и ширины вашего канала, вы сможете получить «данные их движения», такие как посещаемые сайты, отосланные письма, сообщения по icq, и все остальные данные.

Для справки:

Лично я не знаю, универсальную программу для прослушивания трафика пользователей, с хорошим дешифратором данных, поэтому нужно будет использовать самостоятельный дешифратор.

Кроме того, не получится получить данные по сайтам, работающим по протоколу https. Точнее некоторую информацию можно будет получить, а вот расшифровать нет.

Компьютеры с фаерволом.

При сканировании ip-адреса и поиске компьютеров, ваш сканер наткнётся на ПК без фаервола, на ПК с агрессивным фаерволом и не сможет отследить ПК с тихим фарволом.

• Агрессивный фаервол сразу же отсечёт скан, тем самым выдаст себя. Это то же самое, как если бы разведчик с маяком разведывал территорию в поисках цели, а цель вместо того, что бы затаиться, взяла и прикончила разведчика, тем самым выдав своё точное местоположение.

• Тихий фаервол полностью изолирует и скрывает себя, таким образом, никак не реагируя на сканирование ip, и соответственно не выдавая ни себя, ни соответственно ПК.

Как вы понимаете, тихий фаервол в таком случае является самым оптимальным вариантом. Лучший фаервол из этой серии Outpost Firewall, в том время как KIS является агрессором, который можно настроить под тихий режим.

Как вычислить компьютеры с фаерволом?

И так, вы произвели сканирование, вычислив компьютеры без фаервола, которые уже можно начинать слушать, а так же точки, где ваше сканирование было прервано агрессивными фаерволами.

• Отсекаете ПК без фаервола, и включаете повторный скан ПК, по всему IP или по конкретным позициям, дабы знать, не было ли перемещений, или не отключился ли кто. Подобное сканирование это как пальцем в толпу, и всё же…

• Далее включаете сниффер, и начинаете прослушку ip по диапазону засвеченных, но не определённых ПК, отсекая любые левые направления по ПК без фаервола.

• Для прослушивания ваш ПК должен быть включён 24 часа в сутки, в течение 2-3 дней, тогда вы сможете вычислить все ПК с фаерволами. Если расширите диапазон прослушивания до всех ПК с учётом чёрного списка (ПК без фаервола), то сможете вычислить вообще все ПК, в том числе и те, у которых стоят тихие фаерволы.

Вычисляем злоумышленника

Как вычислить злоумышленника, учитывая, что вы можете уже прослушивать все компьютеры его Ip-адреса? Если у вас имеются хоть какие-нибудь ещё данные по злоумышленнику, например, ник, или email, то можно включить поиск на соответствие в потоках трафика с автоматической дешифрацией данных.

И если в потоке трафика проскользнёт, этот ник, или email адрес, или же злоумышленник снова зайдёт на ваш сайт, то вы сразу же его вычислите.

Чем меньше компьютеров вы прослушиваете тем, проще и быстрее вам будет найти злоумышленника. На соответствие можно выставить и ваш проект, и прочие, которые как вы думаете, он точно должен будет посетить.

Если вы будете записывать всю информацию в логах, то нагрузка на ваш ПК и интернет канал будет более значительной, нежели, если бы вы этого делали. Простое прослушивание происходит быстро, и если дать лишь задание на отсев нужной вам информации, то вы сможете видеть весь поток трафика, но можете пропустить другие возможные соответствия.

Если записывать лог трафика, то вы сможете записать не всё, и может что-то проскользнуть мимо считывателя трафика.

Злоумышленник найден, и что дальше?

Вы нашли вашего злоумышленника среди группы других ПК его ip-адреса, вы прослушиваете его трафик, и получаете всю незашифрованную ssl-сертификатами информацию, сопоставляя её и вычисляя важную информацию, необходимую для…

Тем не менее, допустим, у него стоит тихий фаервол (или агрессивный), значит вы, даже найдя именно его индивидуальный поток трафика, всё равно знаете его местоположение и индивидуальную информацию лишь на 90%.

Вы можете прослушивать его трафик, и расшифровывать, если нет никаких факторов мешающих этому, но, тем не менее, он как рыба на крючке неумелого рыбака, может и сорваться. Между прочим, способов сорваться, и убить вашу работу на ноль, просто масса.

Но прослушивая трафик, вы в зашифрованном виде получаете всю информацию для того, что бы определить местоположение и права доступа к ПК злоумышленника.

Получаем доступ к ПК злоумышленника

• Для начала отмечу, что можно записывать поток трафика всех прослушиваемых ПК ip-адреса, не теряя ничего из виду, если изначально отсеивать служебную и техническую информацию, но при этом, когда злоумышленник будет найден, нам потребуется вся информация, для создания слепка системы.

• Из прослушивания часового потока трафика злоумышленника можно выделить всю требуемую информацию для получения точного местоположения его ПК и всю соответствующую индивидуальную информацию для создания слепка системы.

• Слепок системы необходим для создания зеркальных паразитов, маяков, троянских коней и тд., которые для всей его системы защиты будут выглядеть как своя же система, которую ни антивирус не будет атаковать, ни фаервол блокировать.

Для справки:

Обнаружить зеркальный софт (паразиты, трояны) не сможет ни один антивирус или фаервол, потому что они по идентификаторам идентичны системе жертвы. Зато их можно обнаружить специальным софтом для полного удаления файлов, и без проблем удалить.

• Имея ip-адрес, имя ПК и его идентификаторы работы в интернете, а так же данные самой системы, делается обычный зеркальный паразит, который встраивается в канал приёма и загружается на ПК жертвы в папку куки. При этом паразит не обнаруживается антивирусом, и не удаляется средствами удаления куки, а защищается от удаления и обычно скрывается от глаз.

• Этот зеркальный паразит выступает в роли маяка и подгрузчика информации в систему. Таким образом, даже если ip-адрес злоумышленника изменится, маяк оповестит сниффер о новом местоположении ПК. В этот самый момент, если посмотреть на логи фаервола, то можно обнаружить несанкционированные действия левой программы (паразита), выявить его местоположение и удалить, используя специальный софт. Сам фаервол никак не среагирует на это.

• Имея на компьютере злоумышленника зеркальный паразит, можно отслеживать любые его действия, изменения ip-адреса, установку нового софта и тд., то есть теперь он не сорвётся с крючка.

• Используя функции подгрузчика можно загрузить на ПК злоумышленника такой же зеркальный троян, и увести пароли, используемые даже на зашифрованном протоколе https. Так же с помощью него можно будет скачать любой файл, в том числе и кошельки Webmoney, если конечно они не весят больше 100 метров.

Особенности зеркального софта

• Зеркальным можно сделать любой вирус, троян, паразит, и никакой антивирус или фаервол в таком случае не поможет. Но стоит понимать, что зеркалка будет работать лишь на той системе, для которой делался слепок, так как на любом другом ПК, зеркалка не даст никаких преимуществ.

• Кроме того, в отличие от паразита, зеркальные трояны уязвимы в отношении изменения параметров системы. Для того, что бы троян начал тупить, достаточно будет банального изменения разрешения монитора. Более глобальные изменения, приведут зеркалку в неработоспособность, и заставит себя обнаружить.

• Если же кроме, зеркального трояна, на ПК стоит и зеркальный паразит, то последний способен корректировать параметры любого вируса/трояна, который он сам загрузил.

А оно вам надо?

Как вы поняли, можно отследить практически любого пользователя сети вплоть до управления курсором мышки на его ПК, и не помогут в таком случае ни прокси (даже анонимные), ни фаерволы, ни брандмауэры, которые будут выступать лишь в качестве помех.

На некоторых сайтах и вовсе стоят простейшие счётчики, которые собирают практически всю необходимую информацию, кроме индивидуальных идентификаторов и некоторой служебной информации. Таким образом, больше половины проделанной работы при нахождении злоумышленника, делать не придётся, если её выгрузить.

К таким счётчикам относится самый популярный Liveinternet, или Hotlog, которые стоят у меня. В них есть функции для определения 90% информации необходимой при поиске ПК внутри IP, таким образом, вместо, допустим, 24 часов, придётся потратить лишь 2-3 часа.

При этом на любые сканирующие и прослушивающие операции вам потребуется хороший компьютер, с нормальным (постоянным) интернетом со скоростью более 5мбит/сек. Мой уже не походит.

Не рекомендую этим заниматься, если у вас у самих не стоит антивирус и фаервол, причём грамотно настроенные, так как сканируют ip-адреса, не только люди со своим софтом, но и машины, ведь всё вокруг это Матрица .

В завершение.

В рамках этой статьи, я не буду делиться способами защиты, так как она и без того получилась большой, несмотря на то, что я исключил термины, и не публиковал скриншоты. Конечно же, со скриншотами, она была бы более понятной, но ведь я лишь принцип объяснял, а не пособие по взлому и шпионажа.

Тем не менее, я напишу статью по основной защите и создании истинной анонимности в сети, так как многие думают, что заходя в сеть через анонимный прокси, они реально не видимы, и ничего не боятся. А зря…

И напоследок, не палитесь сильно, не становитесь злоумышленниками, и не думайте, что вас нельзя найти или узнать кто вы, даже если у вас нет аккаунтов в социальных сетях, и вы никому не говорите своё настоящее имя.

Узнать ip хакера

Если вдруг вам резко повезло и вы выяснили с какого ай пи сидит злоумышленник — идите на тот же сайт https://2ip.ru и пробейте его. Вам будет дана информация в какой стране и городе находится взломщик.

К примеру вы сидите в сети на форуме или в Вконтакте и вам стал докучать какой-то нехороший человек. Пробив его адрес (спросив у админа) или если вы сам админ, посмотреть в истории. Вы сможете определить провайдера и район выхода в интернет злоумышленника. Вы сможете найти и спамера по почте. Спамы и всевозможные вирусы могут залезть прямо в вашу операционку, один из таких сайт gameharbor. Я уже писал о том как удалить сайт gameharbor.org со своего компа.

Способы вычисления IP другого пользователя

Найти айпи с помощью сайта IPLOGGER

Наиболее эффективен этот способ для определения ip в соцсетях или почты. Работает сервис просто, он генерирует короткие ссылки, которые вы ему укажите. Передав эту ссыль собеседнику вы и сможете узнать адрес. Когда враг нажмет на ссылку и перейдет по ней его перенаправить на указанный вами сайт. После в статистике сайта появится ip адрес компа который переходил на сайт.

1. Заходите на сайт iplogger.ru. В самом верху смотрите ваши данные.

1. Теперь, делайте генерированную ссылку. Сделать это просто, скопируйте адрес любого сайта, либо ссылку на картинку. Введите её в поле Сгенерировать IPLOGGER-ссылку.

1. Сгенерировав адрес вы получите что-то подобное (смотрите на картинку ниже)

Вверху указывается ссылка (для определения) которую надо отослать вашему оппоненту. Отослав в письме, в личном сообщении или еще как-либо человек переходит по ссылке и попадается в нашу сеть. В статистике вашего сайта вы и сможете посмотреть откуда этот человек.

1. После чего вам будет предоставлен идентификатор, который предоставит возможность просмотра статистики. Посмотреть статистку можно и с главной страницы сервиса.

Узнать ip через mail.ru

Для того, чтобы узнать IP адрес человека, который прислал вам письмо, вам необходимо зайти в свой почтовый ящик, открыть письмо отправителя. После чего зайти в следующий раздел меню «ещё->служебные заголовки»

После того как вы нажмете служебные заголовки, вы получите текст примерно следующего содержания.

То что я подчеркнул красной линией это и есть ip адрес, отправителя данного письма.

Определение IP при помощи почтового сервиса YANDEX.RU.

Тут примерно все как на MAILRU. Открываете любое письмо. Нажимаем «свойства письма» .