DEFCON 22カンファレンス「1日2ドルのDDOS携帯電話攻撃：1分あたり70コール」 ウェストン・ヘッカー

今日の私の話のテーマは、1分あたり70コールの強度でDDOS攻撃を実行するために、1日2ドルの料金で携帯電話を使用することです。



私の名前はWeston Hecker、侵入テスト、コンピューターサイエンスと地球物理学の勉強、証明書がたくさんあります。PMSHotelの不動産管理ソフトウェアとインターネットプロバイダーのユーザーエクスプロイトとスクリプトを書きました。今日説明するようなISPデバイスをいくつか作成しました、およびソフトウェアをテストするための多くのデバイス。







私は9年以上にわたってデバイスのテストとセキュリティの問題に取り組んできました。 私は、USBラバーダッキーハッカーデバイスよりも優れた「Fake iPhone Park」ハッカー製品シリーズの作成者です。







これは、ArduinoをサポートするコンパクトなTeensy 3.0プラットフォームを使用した私の偽造iPhoneの艦隊の外観です。







侵入テストまたは他の脆弱性テストでラバーダッキーを使用したことがありますか？ Teensy 3.0に接続してiPhoneに挿入することができます。使用方法についてのアクションプランがあります。 これらの部品は1個あたり7ドルで販売されており、USBを搭載した従来の「ダック」よりもはるかに優れた働きをします。



また、太陽エネルギーで動作し、公共図書館の照明などに隠すことができる、Samsungプリペイド電話をベースにした「Call bomber」電話呼び出し爆撃機ハッカーデバイスも開発しました。



また、椅子または椅子の下に取り付けられるRFIDスキャナーを思い付きました。 3軸ジャイロセンサーを備えたArduinoプラットフォームを使用します。 人が椅子に移動すると、スキャナーはポケットや財布にある銀行カードのデータをスキャンします。 オーディオ信号によるデータの正常な読み取りを確認するため、シークレットモードでは機能しません。



次に、DDOS攻撃とTDoS攻撃の違いを説明します。



DDOS攻撃は、ユーザーがコンピューターまたはネットワークにアクセスできないようにする試みです。 動機と目標に応じて、これらの攻撃は実装方法が異なる場合がありますが、いずれにしても、インターネットサービスを提供するホストを無効にすることを目的としています。



TDoS攻撃（Telephony Denial of Service）、または電話サービスの障害は、望ましくない悪意のある着信呼び出しのストリームです。 これらの通話は、音声通信を複雑にしたり不可能にしたりするために、コールセンターやその他の顧客サービスによって攻撃されます。 実際、人々は誰かに連絡して電話で彼と話すための正当なサービスを奪われています。 これは過去数年にわたって起こり、多くの場合、活動主義の現れでした。







今日、ほとんどの人は従来のアナログ電話通信を使用せず、SIPプロトコルを使用してIPネットワーク経由で電話をかけます。つまり、実際には電話通信はインターネット経由で行われます。



ほとんどの場合、銀行詐欺に関連するTDoSのケースに遭遇しました。 現在、物理カードの盗難は泥棒を引き付けません。彼らはネットワーク上でより活発に活動しています。 例を挙げましょう。テキサス州のガソリンスタンドの支払いにクレジットカードを使用すると、ウェルズ・ファーゴの銀行会社は間違いなく私に電話しようとします。 したがって、詐欺師はTDoSを使用して、プレミアムバンクカードを所有している人々の電話を攻撃しようとします。 銀行詐欺のほとんどのケースは、ロサンゼルスとカリフォルニアで発生し、攻撃者はコールセンターと既存の銀行間の電話通信に侵入します。



パーティーIDと呼ばれる偽のCIDを使用したことが、私がここで終わった理由の1つです。 数年前の朝、ミネアポリスへの旅行の直前に、私は3つの電話を受けました。 新しい番号があったので、これらは不在着信通知サービスを使用した電話の前の所有者への通話であると想定しました。 しかし、この番号に電話をかけると、偽の発信者IDがあることがわかりました。 この電話はデラウェア州のどこかから来た年配の男性のもので、彼は1日に約140の電話を受けたと言った。 人々は彼から電話を受けたと言い、彼が彼らに何を望んでいたのか尋ねます、そしてそれゆえ彼は彼の電話番号を変えようとしています。 それから私は最初にTDoS攻撃について考えました。



したがって、これらの攻撃が適用されます。

• CNPに基づいて物理的なカードなしで銀行業務を実行する詐欺師。
• 「お金のラバ」、つまり、盗まれたお金を異なる銀行口座間または異なる国間で送金する詐欺師。
• 偽の発信者ID CIDを使用。
• コールセンターへの攻撃が顧客サービスに干渉する場合。
• 政治的目標を達成するための抗議活動の形で。

私は彼らの活動を麻痺させる膨大な数の匿名の電話を受ける政府機関を知っています。 これは政治活動の現れです。



次に、既存のTDoS攻撃方法について説明します。







1つ目は、偽の発信者IDの反射攻撃と呼ばれます。これは私自身の開発であり、後で詳しく説明します。 次に続くのは、電話および通話管理ソフトウェア上のマルウェアです。 iOSおよびAndroidでのマルウェアの使用について議論した多くのDEFCON会議に参加したと思います。



次に、ハッキングされたPRIおよびSIPサービスが提供されます。これにより、いわゆる「軍事呼び出し」が行われます。戦争ダイヤルとは、加入者リストの自動スキャンと、各ローカル電話ネットワーク番号の呼び出しで、コンピューター、BBS掲示板、ファックス、モデムを検索します。



私の最新の開発は、加入者の電話番号を不動産業者の既存のWebページにアップロードするためのスクリプトです。 それはかなりまともで、多くの労力を必要としません。



偽の発信者IDの偽造攻撃は、発信者の電話番号に関する偽の情報を使用して合法的な電話サービスを使用することにあります。 当然、この番号からのように電話を受けた人は、疑いを持たない加入者を何千ものコールバックでいっぱいにします。 PRIサーバーでアプリケーションを使用すると、偽の発信者の電話番号を受け取るさまざまな加入者に対して1分間に23コールを生成できます。 コンピュータで実行されているダイヤラに応じて、電話番号のリストをループできます。 加入者が3〜5回電話をかけようとしたというメッセージを受け取った場合は、電話をかけ直して、彼があなたに何を望んでいるかを見つけます。 実際、実際に電話をかけなかった人の電話番号に電話します。







今日は、15台の電話が200のコールセンターを「崩壊」させた方法を説明します。



私を含む多くの人々は、誰かが彼らに連絡することができなければ、彼が音声メッセージを残すだろうと信じているので、指定された番号にコールバックしません。



以下は、不動産売り手がTDoS攻撃を実行するために使用される場合のトリックです。 これを行うために、クライアントに関する偽情報を不動産業者のWebページに配置し、ページ上のフォームに自動的に記入するスクリプトが使用されます。 不動産サイトの約76％は、「キャプチャ」なしで同じアンケートテンプレートを使用しているため、このフォームに簡単に記入して送信できます。 同時に、フォームに入力するために必要なユーザー名とパスワードは非常に簡単に生成できます。 現在、ネットワーク上には約4800ページの不動産業者があり、スクリプトは2時間で偽の情報を埋めることができます。 たとえば、次のようになります。「ネバダ州で自分の家を売ったばかりで、その地域に適したものを探しています。 電話してください。 ジョン・ドー。」



その結果、不動産業者からの急な呼び出しがフォームで指定された電話に当たります。







感染したスマートフォンのボットネットもあります。 コンピューターのようなスマートフォンは、ボットネットネットワークのプラットフォームとして機能します。 「ルート化」された電話の数が増えると、セキュリティが低下し、ハッキングのリスクが高まります。







OEM携帯電話をベースにした「戦闘プラットフォーム」の開発方法をお伝えしたいと思います。

プリペイド携帯電話はOS Brew 3.1、CDMA 1x 800/1900 MHz通信技術を使用し、Gusto-2として知られるSamsung U365モデルもデジタルサービスをサポートしています。 これは非常に一般的なモデルであり、おそらくあなたの多くはそのような「クラムシェル」を持っています。 この電話は、Verizonの携帯電話から8〜12ドルで購入できます。







これは、192 MHzの周波数のQualcomm QSC6055プロセッサを搭載したチップの外観です。 私の「戦闘プラットフォーム」は、QSC60xxシリーズのすべてのプロセッサーと互換性があります。







2014年に、私は正確に誰がプリペイド電話を使用しているかの調査を実施し、次の結果を受け取りました。

• 高齢の親の60％;
• 麻薬の売人の30％;
• 不適切なユーザーの8％。
• DEFCONの2％の妄想的なネットワークセキュリティの専門家。

このチップには、セキュアブートセキュアブート、SEE、およびSFCの3つのセキュリティ機能が組み込まれています。 ただし、OEMバージョン、つまりメーカーのバージョンでは、機能セットのロックを解除する、つまりルート権限を取得する機能を作成する通常の電話ブートモードがサポートされています。 電話の脆弱性をダウンロードするために、デバイスが動作するように「同意」した擬似署名を作成し、その結果、再コンパイルされたオペレーティングシステムが電話に読み込まれました。 実際、各メーカーは独自のOSを使用しているため、このようなチップを搭載したすべての電話に適したOSの修正版を作成しました。



このモデルは、価格が8ドルであるため、ハッカーの実験に理想的です。つまり、操作の結果として電話が「レンガ」に変わっても残念ではありません。 さらに、C ++で記述された開発者からの大規模なソフトウェアセットを使用できるため、電話を独自のプログラムで簡単に動作させることができます。



Brew OSは、ボイスメールを制御する機能を提供し、Brewアプリケーションを使用してデバイスをオンまたはオフにします。 この機能は、ユーザーインターフェイス（UI）がBrewの上で実行される場合、デフォルトで存在します。 製造元は、PST製品サポートツールを使用してソフトウェア設定を変更する機能を提供します。



私はこれらの電話の多くを使用して、これがすべてどのように機能するかを理解しました。 幸運にも、知識のギャップを埋め、この携帯電話のエクスプロイトの作成を支援してくれた才能のあるドイツ人のチームを見つけることができました。 これは、携帯電話をクラックする方法を学びたい人にとって素晴らしい電話です。







作業の利便性のために多くのアドオンと拡張機能を使用できるように開発されました。 たとえば、バッテリー節約モードを使用すると、電話の受信中に電話の画面が点灯しなくなります。 彼は非常に経済的なバッテリーを持っています。このパフォーマンスの準備をしているときに、DEFCONのメンバーとよく電話をしました。7日間の使用が終わると、バッテリー充電インジケーターに3本のバーが残りました。 この電話をVerizonから12〜14ドルで購入し、さらに10ドルのプリペイドコールがあり、無制限のコールに対して毎日2ドルを支払います。 これは非常に便利な料金プランです。



IRinger Mgrエクスプロイトの導入により、電話のサイレント受信などの電話での操作が可能になります。つまり、電話は着信音をアクティブにせずに、上部カバーを持ち上げなくても着信を受け入れます。 これは攻撃にとって非常に便利な機能です。 Brewでは、IRinger Mgrインターフェイスを使用して、独自の呼び出しプログラムをOSに注入できます。 したがって、このエクスプロイトでは、電話のオペレーティングシステムを使用して、目的のモードで着信コールを受信および処理します。



クラムシェル電話には、裏返したカバーを報告する特定の機能があります。 これらの電話では、着信音などのメディアファイルを変更することで、ユーザーの特定のアクションに応じて、ハードウェアによって開始されたトリガーとイベントをバイパスできます。 したがって、「工場」OSと私がコンパイルしたアプリケーションを備えたOEMバージョンのデバイスを使用すると、ファクトリー機能をバイパスして、電話を好きなように操作できます。



「間違った」パッケージで構成される、希望するペイロードで独自の着信音を作成できます。 したがって、間違ったパケットジェネレーターを使用するか、既に変更された着信音をロードすることで、電話と対話できます。 必要なファームウェアを電話にダウンロードできるのは、修正されたエグゼクティブファイルでした。 この電話のソフトウェアの場合、証明書は2012年に失効し、2006年から有効です。つまり、電話は数年間使用されていません。 変更されたエグゼクティブファイルにより、証明書の有効期間の「穴」を通して電話のセキュリティ機能をバイパスすることができました。 次のスライドは、Samsung PC Studio 3専用ソフトウェアを使用して電話ファームウェアをインストールする方法を示しています。「このソフトウェアをインストールする」を選択するだけで、証明書の期限切れに関するWindowsの警告を無視します。







このエラーは、変更された実行可能ファイルを実行するために使用され、他のデバイスは有効な署名を持つドライバーと共にインストールされました。







パソコンを使用してドライバーを更新した後、電話で本格的な攻撃を実行することが可能になりました。







次のスライドは、2012年に有効期限が切れた証明書を示しています。これにより、セキュリティ機能の設定をバイパスできました。







デバイスに関するすべての情報を修正できる修正済みドライバーファイル。







このソフトウェアの非常に古いバージョンがあったサムスンの公式Webサイトからファームウェアを更新するためのドライバーとプログラムをダウンロードしたことに注意してください。 おそらく、これは電話がそれほど安く売られている理由の一つです。 繰り返しますが、私はこの電話で簡単に何とかやりたいと思っていました。



このSamsungのもう1つの優れた機能は、このCDMA電話を使用できるネットワークを決定する優先PRLローミングリストを作成することです。 電源投入時にスキャンする必要がある範囲とモバイルネットワーク、および接続の優先順位を指定する必要があるものを示しています。 通常、12のセルタワーをスキャンするため、三角測量によって自宅の位置を特定できます。 3つの任意のタワーを修正して、電話のGPS位置を「フリーズ」するか、位置決定をオフにすることもできます。これにより、電話の実際の位置を追跡できなくなります。







PRLの変更も攻撃に必要です。GPS測位機能が無効になっている場合、携帯電話事業者の注意は、同じ電話から毎分70コールをかける必要があるという事実に引き付けられないためです。 GPS機能をオフにすることは非常に簡単であることがわかりました。 911に電話をかけるまで、完全には回復しないことに気付きました。これは、継続的にセルタワーと何らかのやり取りをしているように見えます。



OEM機器開発者が作成したプラットフォームエミュレータを使用してソフトウェアをエミュレートすることにより、攻撃プラットフォーム用のアプリケーションを作成できます。 つまり、完全にオープンな「ネイティブ」プラットフォームを使用して、独自の「格闘」プラットフォームを作成できます。 同時に、アプリケーションを電話にダウンロードしなくてもテストできます。







プラットフォームをテストして、いくつかの電話を壊しました。 ところで、私が着信音を悪意のあるパッケージで書いた理由の1つは、着信音の助けを借りて電話を壊したいという欲求でした。



電話機にダウンロードされた攻撃プラットフォームを使用すると、TDosやBrickmodeなどの機能を完全に制御できます。 まず、特定の「ペイロード」を搭載した着信音をダウンロードする必要があります。 Callbombと呼ばれるこの着信音を着信音として設定すると、それに関連するイベントに関連して着信音の悪意のある機能が起動します。 つまり、この着信音を携帯電話にインストールして、手に入れたい電話番号に送信すると、彼は毎分70コールの強度でテキストメッセージに示されている番号に電話をかけ始めました。 通話は、バッテリーが完全に放電されるまで続きました。 これは、追跡できない最短時間の極端な数の呼び出しです。







5日間の「通話による爆撃」サイクルを完了するために、アラームを設定し、電話を無効にしました。 プログラミングの経験が豊富で時間があれば、電話ソフトウェアを破壊する「フラッシュ」のようなものを整理して、復元できないようにすることができます。 したがって、私の技術の助けを借りて、電話機自体、そのモジュール、およびインターフェースに完全にアクセスできました。



CheeseBoxが何であるか知っていますか？ これは、製本に関連する「古い学校」の用語です。 たとえば、ブックメーカーは、いくつかの電話とCheeseBoxと呼ばれる電子機器を設置した未使用のアパートまたは店を借りました。 プレーヤーはこれらの電話のいずれかを呼び出しました。 電話が電話を受信すると、CheeseBoxはそれをブックメーカーの電話への発信通話に自動的に変換しました。これはまったく異なる回線上にあります。 したがって、プレーヤーはブックメーカーの実際の電話番号を決して知りませんでした。 この手法は、電話番号を匿名のままにしたい人が使用します。







他の着信音を配信するのに役立つ着信音のパッケージを作成しました。 他の電話とのBluetooth接続を提供し、通話を迂回させる機能を作成しました。 必要な番号に電話をかけ、ランダムな時間（5〜15秒のタイマーを設定できます）の後、電話が別のセルタワーに「所属」したとします。 同時に2台の電話を使用することが可能で、それぞれがその塔に接続されていました。 技術は次のとおりです。

• 1つの番号に電話します。
• 通話はBluetooth経由で2番目の電話に届きます。
• 2番目の電話は必要な番号をダイヤルし、最も近い追跡されていないプロキシを作成します。

したがって、携帯電話の絶対的な匿名性が確保されました。 多くの理由で人々はこれを必要とするかもしれません。







ランダムに発信するために、Bluetooth経由で最大3台の電話を同時に接続できます。



先ほど言ったように、多くの人は、たとえば、モデム番号を決定してボイスメールメッセージを検索するために、War Dialingを使用します。 「充電済み」の電話でも音声メッセージを管理できます。 彼はボイスメールをアクティブにするためにターゲット番号を3回続けてダイヤルし、3番目の呼び出しの.mp3ファイルをBluetooth経由で接続されているコンピューターに書き込み、このファイルがボイスメールに直接送信されるようにします。



左側の次のスライドは、Bluetooth接続を使用して作成された呼び出しファイルを示し、右側は出力されるS2Text形式のテキストファイルを示し、下部はオープンテキストソフトウェアを使用して.mp3ファイルをオーディオメッセージに変換するプロセスを示します。







電話スクリプトProgram Botは、リストからの着信情報を呼び出して使用し、対応するサービス回線をアクティブにします。







ここでは、1〜900個の着信音または最大900個の電話番号を使用して通話できることがわかります。 一番下の行はプログラムコードではなく、これは単なるコメントです。これは、このプレゼンテーションのスライドの最終バージョンには含まれていません。 このスクリプトの元のバージョンは、ナイジェリアポストからのスパムメールのように見えます。 したがって、最新バージョンのスライドが必要な場合は、メールでご連絡ください。

実際、プログラムに2つの機能を追加しました。 1つ目は、ボイスメール用の匿名.mp3メッセージを記録する機能です。2つ目は、プログラミングのために5台の電話を同時にコンピューターに接続し、キーを押すだけでプロセスを開始できることです。 そして、このプログラムは、私の番号にカロライナ州の電話プレフィックスを提供して、スパム送信に使用できるようにしました。







したがって、このプリペイド携帯電話は、5日間の合法的な電話の受信を妨害しますが、次の特性があります。

• これは匿名での購入です。
• このような電話の使用には1日2ドルかかります。
• 追跡できません。
• ソーラー充電器を使用して充電できます。
• 電話機の誤った場所を示すランダムPRLを生成できます。
• 公共の場所の照明器具の中に簡単に隠れて、ランプの光から充電します。
• ソーラー充電を使用する場合に5日間のTDoS攻撃を提供する総費用は20ドルです。

太陽電池式のUSB充電器自体のコストはわずか6ドルです。 私が書いた着信音は、携帯電話の電力消費を最小限に抑えました。 指定された期間後にタワーからタワーへ「ジャンプ」する機能により、完全な匿名性が確保されました。さらに、位置を強制的に修正し、たとえば、ラスベガスのセルタワーに電話を接続できました。 無制限の通話に対する1日2ドルのプランは祖父向けであり、Verizonが1か月前に変更した理由はわかりません。 ただし、この料金は、同じBrew OSを搭載しているが新しいバージョン1.151である他のブランドのSamsung携帯電話の「祖父」ESN番号に使用できます。 これは私が使用したものと非常に似ていますが、更新されたセキュリティ証明書があります。 このような携帯電話をハッキングする他の方法が見つかるはずだと思うし、私のハッカーキットはこのための素晴らしい機会を提供します。



次のスライドは、電話がCall Bomber Call Bomberに変わったことを示しています。 特別なUSBケーブルを使用してファームウェアとPRLを更新し、ラップトップに接続して8分で再プログラムしました。







以下のスライドは、「戦闘プラットフォーム」を備えた10台の電話を使用して仮想コールセンターを停止した方法を示しています。 TDoS攻撃は、210の通信回線で毎秒12コールの強度で8分間実行され、コールセンターのプロセッサとメモリの過負荷を引き起こし、クラッシュを引き起こしました。







これは本当に怖いことです！ 誰でもこのような携帯電話を12ドルで購入でき、ハッキングして他の人に大きな問題をもたらすことができるため、私はこれをこの問題に人々の注意を引き付けるために行いました。 これは、Webページがクラッシュしたときと、コールマネージャーがブロックされたときです。 これらはさまざまなレベルの問題です。 多くの人は、問題が個人に影響を与えるまでこれについて考えません。



TDoS攻撃の可能な標的：

• 911サービスロック
• 緊急サービスの着信コールをブロックします。
• テロ攻撃中の連邦政府機関;
• ホリデーセールシーズン中のショップ;
• 嫌いな人や組織。

生命維持サービスにとって、TDoS攻撃は非常に深刻な問題です。 私は約60万人の小さな州に住んでいますが、石油ブームのおかげで少し「成長」しました。 また、911サービスをブロックすると、悲惨な結果につながる可能性があります。

これらの攻撃は、店舗、税務当局、レストラン、タクシーサービスを襲う可能性があり、米国の金融インフラ全体に損害を与える可能性があります。 誰かが野生の獣TDoSをリリースできると想像するのは怖いです。







これで、あなたの質問に答える準備ができました。



質問：



-コールセンターによるTDoS攻撃を撃退する方法はありますか？



答えは：



-はい、Call ManagerとCall Manager Expressのプラグインを作成しました。これらは、私が実際に来たCISCOハードウェアとソフトウェアで動作するように設計されています。 このプラグインは、3回目の呼び出し後にキャプチャを発信者に送信し、ソフトフォンでキャプチャをダイヤルするまでメッセージを受信しないように設計されています。 今日は15個のキャプチャを作成しました。



質問：



-新しいスマートフォンを「戦闘プラットフォーム」として使用してはどうですか？



答えは：



-10台のスマートフォンを公共図書館に置いてTDoS攻撃を行った後、それらを忘れてしまうほど安くはないので、私はそれを選ぶとは思わない。 私は古いAndroidスマートフォンをそこに置いておくことさえしませんでしたが、2年の契約期間の後に所有権が移りました。 私は実際に「一度限り」の電話を使用しましたが、これは主にその安さのためです。 さらに、最小の電力消費で最もコンパクトなプラットフォームが必要でした。 スマートフォンはスタンバイモードで充電せずに最大15日間機能するため、スマートフォンは「戦闘プラットフォーム」用に設定されたタスクを満たしません。



質問：



-一部の電話が1分あたり70回の通話を試みていたことがVerizonに惹かれなかったのはなぜですか？



答えは：



-Verizonのセルタワーは相互に情報を交換しないため、このようなアクティビティを追跡する本当の機会はなかったと思います。 しかし、念のため、匿名を確保し、モバイルオペレーターの注意を引き付けないように、PRLで定期的に電話をタワーからタワーに「ジャンプ」させました。



質問：



-テキストメッセージでこれを実行しようとしましたか？



答えは：



-はい、SMS機能を完全にロック解除したため、着信音を使用するだけでなく、SMSを介して完全に匿名でエクスプロイトを送信できました。 コンピューター経由でSMSを送信するサービスを使用すると非常に安価なので、「テキスト爆撃機」を作成するのは非常に現実的です。 テキストメッセージは、悪意のある攻撃だけでなく、電話の完全な制御にも使用できます。 DEFCONコミュニティがそれについて何ができるかを知りたいと思います。





ご滞在いただきありがとうございます。 私たちの記事が好きですか？ より興味深い資料を見たいですか？ 注文するか、友人に推奨することで、私たちをサポートします。Habrユーザーが独自に発明したエントリーレベルサーバーのユニークな類似品で30％割引： VPS（KVM）E5-2650 v4（6コア）10GB DDR4 240GB SSD 1Gbps 20ドルまたはサーバーを分割する方法？ （オプションはRAID1およびRAID10、最大24コア、最大40GB DDR4で利用可能です）。



Dell R730xdは2倍安いですか？ オランダとアメリカで249ドルからIntel Dodeca-Core Xeon E5-2650v4 128GB DDR4 6x480GB SSD 1Gbps 100 TVを2台持っているだけです！ インフラストラクチャビルの構築方法について読んでください。 クラスRは、1米ドルで9,000ユーロのDell R730xd E5-2650 v4サーバーを使用していますか？