Ouçam crianças, esta é uma lição de soco de verdade, Omien. Isso é completamente copiado e colado de Funshine, deus, descanse sua alma, o que quer que ele esteja fazendo agora.
Tudo bem, vamos falar sobre phishing para cartões de crédito (CC), para que você não precise confiar na compra desse tipo de dados de vários mercados, fornecedores ou outros locais. Além disso, quando você compra CCs, precisa descobrir se os CCs que comprou são válidos, expirados ou mesmo úteis. É irritante tentar obter esse tipo de dados de outras pessoas sem saber se os CCs já foram gravados.

Quando se trata de obter contas bancárias, nosso nível cibercriminoso visa contas bancárias que você conhece ou, no mínimo, possui uma conta com elas para obter todas as informações necessárias para o funcionamento do evilginx2. Bem simples né? Basta fazer login em sua conta bancária, copiar as informações do cookie e alimentá-las em seu phishlet evilginx2 personalizado para poder fazer phishing de contas bancárias XYZ e partir para suas aventuras de phishing. Parece tão simples, certo? Tudo pode ser tentativa e erro com muitas variáveis ​​em jogo, o que torna tudo mais complicado do que você pensa. Como você sabe que as pessoas que você está fazendo phishing têm uma conta no banco XYZ? Certo?

Não vou me aprofundar em contas bancárias, pois haverá um curso completo sobre como comprometer contas bancárias no futuro, mas tenho certeza de que algumas pessoas que estão lendo isso terão uma ideia de como obter contas bancárias e começarão a testá-las por conta própria com o conhecimento ensinado aqui, especialmente agora que você conhece evilginx2. É melhor esperar até que o curso de bancarização e conta seja liberado, então até lá tenha um pouco de (mais) paciência.

Quando se trata de phishing de informações de cartão de crédito por e-mail, isso pode ser um pouco complicado, pois você de alguma forma atrai o (s) alvo (s) a inserir suas informações CC, que dependerão muito de quão bem você criou seu e-mail de phishing e o alvo que está perseguindo (eles são educados, retardados, alheios, etc.).

Pessoalmente, nunca enviei e-mails aleatórios para pessoas tentando obter informações de CC, pois já estava lutando para manter minhas outras operações de phishing online e achava irritante quando você precisava reconfigurar e mover constantemente suas operações. Preguiça mesmo. Em vez disso, alvejei pessoas e lugares específicos, nunca enviando meus e-mails de phishing para as massas e mantendo-os sob o radar. Você não precisa de 1000 CCs. Você só precisa de um punhado dos certos na hora certa. A menos, é claro, que você planeje capturar CCs e vendê-los a outros. Muitas opções.

Se você estiver em uma rede Wi-Fi, tente redirecionar todos para sua página de destino de phishing, que consiste em um tipo de página de destino "Pagar pelo uso da Internet". Assim que o(s) alvo(s) estiver(em) em sua página, eles considerarão comprar o uso da Internet para que possam ter Internet (bom em cafés e saguões de aeroporto) e inserir seus detalhes de CC para você ou não. De qualquer forma, é uma boa técnica obter CCs em sua área atual e cortar outros intermediários nos quais você confia.

Quando comecei, dependia de terceiros para malware, CCs e tudo o que era necessário para ser um cibercriminoso bem-sucedido. Eu dependia muito de outras pessoas para manter minhas operações funcionando e, quando um recurso acabava ou aquele fornecedor/site começava a enganar seus clientes, eu ficava à mercê deles. Tenho certeza que muitos de vocês que estão lendo isso também. O que percebi foi que a quantidade de dinheiro que estava gastando em CCs mortas e contas de merda estava comendo meus lucros e afetando minha confiança. Eu precisava cortar essa merda.

Minha primeira tentativa de phishing para CCs foi bastante básica, mas foi bem-sucedida e isso é tudo o que importa para mim. Vou compartilhar com você na esperança de que isso desperte algumas ideias perversas em sua cabeça sobre como você pode fazer o mesmo.

O que eu faria é realizar algum reconhecimento na cidade em que eu estava hospedado na época e procurar locais onde as pessoas estariam usando seus laptops ou computadores de fácil acesso. Os locais que alvejei foram quase sempre bibliotecas, cafés, albergues, hotéis e espaços de coworking na maior parte, já que isso me convinha pessoalmente e eu me sentia confortável nesses locais. Eu costumava estar nesses tipos de locais com frequência, já que estava viajando e constantemente em movimento, então foquei nesses tipos de pessoas porque, na minha opinião, eram o tipo de pessoa que estaria acostumada a pagar pela Internet ou estaria familiarizada com isso tipo de solicitação para que nada pareça muito fora do lugar.

Eu lançaria um ataque DoS contra o roteador Wi-Fi comercial/pessoal colocando-o offline e criaria uma rede Wi-Fi aberta com um nome semelhante com uma página inicial básica do site solicitando o pagamento de uma taxa única por (3) semanas uso ilimitado da Internet por US$ 0,50. Eu mantive a quantia muito pequena, então as pessoas estavam mais inclinadas a pagar uma quantia tão pequena do que reclamar ou deixar aquele local. O que é $ 0,50 para alguém, certo? Você vê o que eu estou fazendo sim?

A página inicial do meu site era uma página HTML básica com uma função POST para um banco de dados para que eu pudesse capturar todas as informações inseridas e uma página de redirecionamento para uma página da Web com um erro depois que eles clicaram em "Enviar". A página de erro consistiria em algo sobre ser incapaz de processar a transação, tente novamente mais tarde, digite merda. É isso. Eu não estava enviando malware personalizado para capturar suas informações ou gastando 1.000 anos codificando meu próprio malware para obtê-lo. Eu estava simplesmente fazendo coisas básicas de HTML e implantando uma rede Wi-Fi aberta. Eu ficava sentado por algumas horas fazendo minhas coisas, que geralmente consistiam em manter minhas outras operações cibercriminosas com o objetivo de capturar pelo menos (1) CC por dia. Se você está sentado no café lançando seus ataques e mantendo suas operações cibercriminosas desonestas, você também pode coletar CCs paralelamente. Seja eficiente.

Isso parece bobo, eu sei, mas a quantidade de tempo que você provavelmente está gastando na obtenção de CCs válidos é irritante e você provavelmente está perdendo dinheiro com cartões queimados ao longo do caminho. Quero dizer foda! na última auditoria que fiz sobre os recursos de CC no Armory, eu tinha mais CCs queimados do que trabalhando, e é por isso que você deve se concentrar em obter o seu próprio. Claro que vai exigir algum tempo e comprometimento, mas bem-vindos ao mundo, meus amigos! Esforce-se para ser autossuficiente.

Para cada (1) CC que consegui obter com essa técnica, eu tinha quase a garantia de poder cardar com ela, pois o método de cardagem que eu tinha na época estava funcionando bem e eu estava obtendo CCs da área local.

Outro método que usei para capturar dados de cartão de crédito foi algo mais automatizado porque, tenho certeza que, como muitos lendo isso, não queria gastar muito do meu tempo sentado em cafés e lugares de merda. Prefiro que seja automatizado para mim enquanto fico sentado em meu quarto de hotel na cobertura, ficando chapado o dia todo, sem me estressar com o tempo que preciso gastar comprando essa merda e tirando meu próprio tempo. Eu sei direito? Merda de princesa, mas por que ficar parado quando você pode automatizar algumas operações e deixar que os itens que você procura venham até você?

O que fiz foi criar um site falso que vendia todos os tipos de produtos eletrônicos de alta qualidade a preços com desconto, enviados para qualquer lugar do mundo. Claro, uma vez que eles inseriram suas informações CC para fazer uma compra, os dados foram capturados e as vítimas redirecionadas para um site de erro. Uau, eu sou tão elite, certo?

Realmente não havia nada sofisticado no que eu estava fazendo quando você pensa sobre isso, mas a criatividade é importante em qualquer tipo de cibercrime.

Na verdade, roubei essa técnica de uma pessoa com quem costumava trabalhar e que vendia contas do PayPal como um maldito maníaco na época. Eu queria saber como eles estavam obtendo todas essas contas tão facilmente, porque pensei que esse indivíduo era algum tipo de phisher de e-mail mestre ou alguma merda capaz de pegar todas essas contas à vontade. Eu estava errado.

Tudo o que eles estavam fazendo era administrar uma loja online falsa vendendo equipamentos eletrônicos de última geração a preços com desconto, desviando todos os dados CC, além de oferecer uma opção de pagamento com PayPal, que obviamente era uma página de phishing do PayPal em seu site. Essa pessoa gastou dinheiro em publicidade on-line tentando colocar sua loja on-line falsa nos resultados de pesquisa do Google usando algumas técnicas de otimização de mecanismo de pesquisa (SEO) e apenas deixar o mundo vir ao site. A parte louca era que, como não havia cobrança real nos cartões de crédito da vítima, era ainda mais difícil para as instituições financeiras rastreá-la até a falsa loja online como ponto de comprometimento. Gênio. Nenhum e-mail de phishing aleatório é necessário ou qualquer outra merda, certo?! Super simples, mas eficaz.

Quero que você comece a pensar assim também, pois um dos meus objetivos do HackTown é fazer você pensar de forma diferente e fora da caixa, para que possa começar a formular um método de trabalho por conta própria com o qual seja capaz de ter sucesso. Seja o que for. Existem muitas maneiras de realizar a tarefa em mãos, com a maioria das pessoas sendo capaz de replicar os ataques e as técnicas ensinadas aqui.

Tudo bem, então vamos ver um exemplo super simples de como fazer isso.

Baixe e instale o Ubuntu em uma VM no seu computador. Você deve se sentir confortável em fazer isso agora, eu diria. Vamos usar o Ubuntu porque é fácil de usar e a maioria dos provedores de VPS permite que o sistema operacional Ubuntu seja instalado.

Importante!

Ao usar uma VM Ubuntu, vá para "Configurações" e depois para "Rede" para garantir que ela esteja conectada ao "Adaptador em ponte" e não ao "NAT". É melhor alterá-lo para adaptador em ponte e reinicie sua VM do Ubuntu antes de continuar.

Assim que a VM do Ubuntu estiver funcionando, abra o Terminal e digite o seguinte:
sudo apt-get update && sudo apt-get dist-upgrade -y
sudo add-apt-repository ppa:ondrej/php
sudo apt-get update
sudo apt -get install php7.4 -y
sudo apt-get install net-tools nginx php7.4-fpm vim gedit -y
sudo service apache2 stop
sudo service nginx stop
sudo rm /etc/nginx/sites-available/default
sudo rm /etc /nginx/sites-enabled/default
sudo rm /etc/nginx/nginx.
sudo gedit /etc/nginx/sites-available/default
Copie e cole o texto em roxo abaixo.
servidor {
keepalive_timeout 5 5;
send_timeout 10;
escuta 80 default_server;
raiz /var/www/html;
index index.html login.php;
nome do servidor _;
localização ~ \.php$ {
try_files $uri @missing;
fastcgi_split_path_info ^(.+\.php)(/.+)$;
fastcgi_index index.php;
fastcgi_pass unix:/run/php/php7.4-fpm.sock;
incluir fastcgi_params;
fastcgi_param PATH_INFO $fastcgi_path_info;
fastcgi_param SCRIPT_FILENAME $document_root$fastcgi_script_name;
fastcgi_param DOCUMENT_ROOT $realpath_root;
}
localização @falta {
reescrever ^ /error/404 break;
}
}
Salve e feche o arquivo.

sudo gedit /etc/nginx/nginx.conf
Copie e cole o texto em roxo abaixo.
usuário www-data;
worker_processes automático;
pid /run/nginx.pid;
eventos {
worker_connections 1024;
}
http {
enviararquivo ativado;
tcp_nopush ativado;
tcp_nodelay ativado;
keepalive_timeout 65;
tipos_hash_max_size 2048;
server_name_in_redirect desativado;
server_tokens desativados;
port_in_redirect desligado;
inclua /etc/nginx/mime.types;
aplicativo default_type/octet-stream;
ssl_protocols TLSv1 TLSv1.1 TLSv1.2;
ssl_prefer_server_ciphers ativado;
access_log /var/log/nginx/access.log;
error_log /var/log/nginx/error.log;
gzip em;
gzip_disable "msie6";
inclua /etc/nginx/conf.d/*.conf;
include /etc/nginx/sites-enabled/*;
}
Salve e feche o arquivo.

sudo ln -s /etc/nginx/sites-available/default /etc/nginx/sites-enabled/

Em seguida, você precisa baixar CCPhish.zip do link abaixo para sua VM do Ubuntu e movê-lo para /var/www/html diretório onde todos os seus arquivos da web estão localizados. Use uma nova VM do Ubuntu para que estejamos na mesma página.

Clique para baixar - Arquivos de modelo de phishing CC- PM ME ZADDY OMIEN SE VOCÊ REALMENTE CUIDAR DESTE mwah

No Terminal, vá para onde você baixou CCPhish.zip e digite o seguinte:
sudo mv CCPhish.zip /var/www/html
cd /var/www/html
sudo unzip CCPhish.zip
sudo rm CCPhish.zip
sudo touch /var/www/html/log.txt
sudo chown -R www-data:www-data /var/www/html
sudo chmod -R 755 /var/www/html
sudo service nginx start
sudo ifconfig
Anote o endereço IP da sua VM Ubuntu.

Insira o endereço IP da VM do Ubuntu na barra de URL do navegador da Web, seguido de /index.html.

Exemplo:
Meu IP da VM do Ubuntu é: 192.168.2.123

Na URL do meu navegador, eu digitaria:
http://192.168.2.123/index.html

Depois de fazer isso, você verá uma página da web simples e básica de captura de CC. Deixei-o bem básico para que as pessoas possam aprender com ele e refazê-lo ao seu gosto quando phishing para VISA, MasterCard, etc. A realidade é que você quer o seu o mais profissional e convincente possível, então faça o seu melhor! Coloque esforço em suas operações de phishing.

Como você pode ver na captura de tela abaixo, tudo está pré-configurado para CCs de phishing e as informações que você deseja ao cardar online.

Você deve ter a mesma tela da captura de tela abaixo se seguir as instruções corretamente e se não vir a tela abaixo, então você estragou tudo em algum lugar.

Depois que eles inserirem suas informações no formulário e clicarem em "Enviar", todas as suas informações CC serão salvas em "log.txt" localizado no diretório /var/www/html para você enlouquecer mais tarde. Vá em frente e insira informações falsas no formulário e clique em Enviar para ver como esta página de phishing específica está configurada.

Depois de inserir as informações na página do coletor CC, abra um novo Terminal na VM do Ubuntu e digite o seguinte:
cat /var/www/html/log.txt

E voilá! Lá você tem todas as informações necessárias para prosseguir e cometer fraudes online com os CCs de sua escolha, sem depender de terceiros. Este é um meio MUITO básico, mas eficaz, de obter CCs por conta própria. Você não precisa enviar spam para as massas, mas pode enviar um link de phishing apontando para esta página e personalizá-la como achar melhor, o que significa que você sabe um pouco sobre HTML.

Eu fiz este exemplo SUPER fácil de aprender e modificar, então se você quiser aprender confira o código-fonte de index.html e post.php e passe por ele. É tudo bastante auto-explicativo se você conhece o básico de HTML e, mesmo que não conheça, eu o projetei para ser muito legível, portanto, não se sinta sobrecarregado ao examinar o código-fonte desses arquivos.

Eu sugiro aprender o básico de HTML para que você possa modificar arquivos como os do CCPHish.zip para atender às suas próprias necessidades, torná-lo mais profissional, adicionar logotipos ou banners de empresas ou anexar as páginas de pagamento de phishing ao seu próprio site falso .

Você pode enviar e-mails de phishing para induzir as pessoas a inserir suas informações CC OU pode configurar empresas falsas e criar páginas de phishing dessa maneira.

Existem muitas maneiras de fazer merda, meus amigos, e nenhuma delas precisa ser muito difícil. Se funcionar, então funciona e é tudo o que precisamos.