[Вид кардинга] Залив грязи на банковские карты 50/50 (обсуждение)

Решил вынести на обсуждение тему, так как имеются дропы, и прочие возможности для реализации всей схемы. Я за кардинг ранее слышал только по зомбоящику, сегодня же я начал изучение этой темы, и честно напишу, очень заинтересовало. Нашёл некоторые форумы в том числе и предстваленые на Runion, на данный момент начал изучение.

Беспокоят некоторые моменты по безопастности:
-Что делать с дропами после таких схем, при условии что они меня знают лично?
-Стоит ли начинать именно с этого способа кардинга?
-Какие меры безопастности соблюдать?
-Что делать в случае разоблачения, если сдал Дроп!?
-Какие есть варианты отмазаться?
Любому мнению и рекомендациям буду рад.

========================================================================================================
P.S. Насколько я знаю, поиски ворованных денег ведутся следующим способом:
Автор-Корыто
Приоритет 4. Мошенничество с использованием платежных карт, квалифицированный состав (ч.4 ст.159.3 УК РФ) - это как раз серьезный кардинг с серьезными потерями у банков и частных лиц
Действия правоохранителей "в реале": ВУД, будут ждать данных от "цифры" т.к. без них они ничего не могут, поиск следов сналивания в банкомате (если имело место).
Степень рвения: 6/10
Процентный вес: 30%

Действия правоохранителей "в онлайне": поиск цифровых следов всех видов, пробив по сотам возле банкомата (если было сналивание), записи камер видеонаблюдения, данные о соединениях абонентов, анализ данные криптовалют (при наличии таких операций), проведение ОРМ в виде разработки отдельных лиц, снятие данных с цифровых каналов связи и пр.
Степень рвения: 9/10
Процентный вес: 70%

На что делается основной упор: уровень подготовки специалистов в сфере компьютерных технологий на службе у государства.
========================================================================================================

Редактировался Vostok (2016-10-25 21 ч.)

Знающие лично, не могут быть дропами. Очевидно же.

Сушить сухари, раз такой вопрос вообще возник.

Вариант один - полное отсутствие улик и отказ от дачи показаний. Проканает при условии что менты тупые, передать тебе через дропа меченые деньги и принять сразу после их получения не догадаются. Если догадаются - можешь сказать что он тебе долг возвращал, а про кардинг пиздит чтобы не возвращать остаток. Но хз проканает ли такое.

У меня иная ситуация, но пока все обходилось с ними, и схем особо серьезных небыло за которые приехать прям должны. В основном обналичка серых средств под 3-4% на их карты. Так то дропы вообще и не вкурсе что имеют отношения к криминалу! Только лишь деятельность на бирже и обмен валют 
Ну в общем спасибо вам за мнение, я буду изучать дальше, по форумам почитаю информацию, а то может и не стоит связываться...

Редактировался Vostok (2016-10-26 01 ч.)

Vostok, по началу тебе не нужны сами дропы, тебе нужны их карты. Но пользоваться для обнала гнязи картой человека который тебя знает, непростительная глупость.

Знаешь какое первое правило преступника? Не попадаться! А когда ты находишься на допросе и думаешь что соврать про дропа, ты уже попался. И с картами знакомых это неминуемо.

Vostok, тебе правильно говорит уважаемый Северус: пользование карт знакомых для любых серых (и уж точно - черных) дел непростительная глупость. В одной ветке мы с тем же преподавателем зельеварения обсуждалиразные понимания кардинга: как выяснилось, разные мнения есть на этот счет. Что можешь сказать про именно тот вид кардинга, который тебе наиболее интересен?
И что  значит 50/50 в названии темы?

Физическое устранение самое желательное. По сути карта знакомого дропа = твоя личная карта.

Какого именно?

Не привлекать знакомых с тобой лично, соблюдать меры компьютерной безопасности

Лепить горбатого, ссылаться на ст.51 Конституции и молиться чтобы полицейские оказались более тупыми, чем ты сам. А у них еще есть коллективный разум: надо чтобы весь он был тупее тебя самого, что сложно даже для опытных и знающих людей.

Откупаться самое хорошее (но тут нанесен ущерб банку и он оплачивает весь банкет, так что хз выйдет ли это вообще), другие пути доступны, только если все они вместе взятые тупее тебя.

Обнулять дропов это уж слишком.

Принимать заливы.

Грубое процентное соотношение.

Могу принимать технику и заливы пока на этом мои возможности оканчиваются 

По безопастности за рекомендации спасибо.

Тоже так считаю, поэтому с самого начала исключай знакомых дропов. Это реально ничем не лучше, чем на свою карту принимать.

заливы бывают разные: за одни берут тут же, за другие намного позже.

После такого ни один дроп не сможет даже примерно съезжать на "я не знал что это незаконно". Да и тебе тоже разницы уже не будет. Всегда держи легенду (и заранее подбирай доказательства в виде переписок и пр.) о том, что ты тоже сам дроп и вообще тебя в темную использовали важные дяди, а про незаконную деятельность ты не знал вообще. Вариант, однозначно, хреновый, но намного лучше голой жопы. Тут могут помочь переписки (между собой, само собой), где на твою почту/жабу и пр. пишет "неизвестный" тип (в твоем же исполнении) и говорит что надо сделать то, что ты реально делаешь сам. Пускай это будет подтверждением того, что ты сам тупой как дерево и вообще не в теме. Просто подзарабатывать пытался. Основные моменты, раз уж приходится такой вариант рассматривать:
1. Заходи на аккаунты почты с разных сессий тора и не сразу, а с определенным временным промежутком.
2. При переписки от имени важного дяди смени стиль речи.
3. Обозначай что вся переписка ведется только тут (чтобы не надо было прозвоны по мобильнику делать, которые ОПСОС по первому запросу выдаст).
4. Пиши подробно, но не усердствуй: чтобы из письма важного дяди было все понятно и не вызывало ощущения что ты сам мог до чего-то додуматься.
5. Можешь использовать шифрование - тогда письма к себе шифруй своим публичным ключем (желательно создать новый ключ для этого), чтобы прочесть его мог ты сам и не было курьеза со случайным сливанием данных тем же яндексом при выявлении странных слов в письмах.

Но это, опять же, на крайний случай. Сам по себе вариант путать следствие не из простых, шанс не более 10%, но это лучше, чем ничего.

Редактировался Корыто (2016-10-26 17 ч.)

Корыто, где не читаю, рискованное это дело "Кардинг" Форумы у них платные, тяжело пробиться к информации. Значит дело действительно очень выгодное, но нужны знания и опыт.
К примеру если найти "Заливалу" пусть даже под 10% (Заработка) через залог, так как нет связей пока никаких в этой сфере. Потом пробовать работать через обменник, к примеру и ловить на разнице %. Так же насколько я понял актуальна схема по приему электроники на дропов, в этом случае риски минимальны, так как можно всегда отмазаться что купил на авито.

Редактировался Vostok (2016-10-26 19 ч.)

Странная логика. Хотя нет, вру, стандартно-обывательская.

Соглашусь с уважаемым Nikkon-ом, не во всякую закрытую дверь стоит ломиться. Кардинг во многих сферах уже вымер ввиду введения новых технологий, отдельные сферы еще живут. Наверное, будут жить долго. Но кардинг из серии "Я уже ввалил туда сотку, не на что покушать, но вот-вот стану богатым. Помогите парой сатоши до завтра протянуть" - не самое разумное и выгодное занятие. Кстати, тему такую где-то на форуме видел. Если кто видел - пришлите сюда пожалуйста, там для ТСа много будет поучительного в подобном вопросе выламывания закрытых дверей.
Кстати, еще могу сказать что обучение в МГУ сложное, долгое (как и во всех ВУЗах) и дорогое, значит оно тоже гарантирует высокие доходы 

Сливаю немного инфы о состоянии отрасли:

В кардинге в последнее время возникла тенденция обучения за деньги и надувания щек. Почему-то когда простые способы хорошо работали, ничего такого не было. Все рубили деньги и охотно делились информацией. Как банкиги подзакрутили гайки - информацией стали делиться намного неохотнее, но за деньги никто кроме кидал не обещал научить, информация по прежнему была доступна и умному ее было достаточно.

Сейчас ситуация сложная. Простые методы (вещевой кардинг, перевод из онлайн банкинга прямо на дропа, как собирается делать ТС) больше не работают чем работают. Попробуй найди неебаный шоп, владельцы карт чаржат и абузят даже за 1 бакс и все блять глазастые, быстро палят (виновато смс информирование), банки мгновенно холдят все нафиг и высылают пативен. Попробуй поработай по старинке, если на доширак хватит - уже достижение.
Обучение - да завались его. Но оно вам надо?

Другое направление - реал кардинг. Это скимеры, дампы с пинами, снятие наличных с клона карты в банкомате. Доживает последние годы. Для работы нужны дампы карт без чипа, либо банкоматы не поддерживающие чип. В Рашке это только карты иностранцев, потому что наши банки таких уже не выпускают. Банкоматов без поддержки чипа здесь уже давно никто не видел, но они есть в "развитых странах" и еще немало. Международный обнал затруднен низкими лимитами (с иностранной карты без чипа дает снять 10 тыр за раз, 30-60 в день в зависимости от банка которому принадлежит банкомат). Учитывая смс информирование, опустошать карты так не получится. В идеале эти карты надо налить заграницей (есть знакомые дроповоды в США? Самому ездить опасно). Дампы Русских карт в банкоматах США - это жопа. Иногда получается снять, но чаще карта холдится. Не все карты подходят.
Обучение этому направлению доступно. Знания можно адаптировать к современным реалиям.

Третье направление - онлайн банкинг, банк клиенты. Тут тоже закрутили гайки, но по нему еще работают серьезные люди. Комментариев не будет, кроме того что тебе нужны толковые программисты и долго изучать особенности работы конкретных банков. Вас будут искать со всем возможным рвением, в США и любые страны откуда есть выдача в США лучше не въезжать во избежании... Надеюсь у вас хватит ума не работать по Рашке.
Обучиться можно только самому, либо работая с кем-то в команде. Люди не палят тему и на подробности весьма молчаливы.

Четвертое направление - межбанковские переводы. Взлом SFIWT, поддельные платежки, системы моментальных переводов типа WU. Доступно избранным, ибо нужен инсайд и высочайший уровень исполнения. Доходность - высочайшая. Вас будут искать лучшие умы планеты.
Обучение? Вы смеетесь?

Пятое направление - учить других. Набирает обороты. Классика: кто знает как заработать - зарабатывает, кто не знает - учит других.

Редактировался Северус (2016-10-26 23 ч.)

Думал заливы уже умерли в году так 2008  Рельным кардингом можно в Европе заниматься, в одной столице, лично снимал скимер с банкомата, не мой

Меня глубоко тронул крик души Серверуса, так что я выложу для разнообразия инфу, которую еще не встречал в паблике.

Итак... снимаем деньги прямо с банкомата. Никаких скимеров, это дорого, палевно и сложно.

Протокол взаимодействия между банкоматом и процессингом банка основан на стандарте ISO8583. Кому любопытно, тот топает на википедию и смело вбивает ISO8583, есть отличная русскоязычная статья на эту тему, там все подробно расписано. Протокол разработан в 1987 году. Самый распространенный стандарт шифрования на сегодня, это SSL, в который инкапсулируют все, что не лень. Он разработан в 1995 году, так что изначально ISO8583 его не поддерживает.

А теперь ключевой момент: когда холдер вставляет карту в банкомат, банкомат авторизуется в банке. Но обратной авторизации нет!

В этом нетрудно убедиться если посмотреть пример на википедии (жаль не разрешают вставлять ссылки) и внимательно ознакомиться с процессом взаимодействия между банкоматом и банком.

А теперь, за дело. Нужен программист и железячник.

Программисту нужно написать простой ответчик (или серверок если угодно) на T*****/IP который будет посылать ответы на запросы банкомата. При этом мы можем вставить любую карту, даже заблокированную, и ввести любой пин-код, наш ответчик будет отвечать, что все нормально, карта валидная, пин-код правильный, остаток на карте офигенный. Разобраться нужно только с двумя вещами:

1. MTI (Message Type Indicator) - сами сообщения, 4-х значные цифры)
2. Primary Bitmap - это некоторое поле или подполе внутри сообщения, нам в нем нужно передать доступную сумму.

С MTI все просто, это 4-х значные числа, которые типизированы по разрядам. Приведу пример:

MTI       Сообщение

0100    Запрос авторизации
0103    Авторизован
0200    Запрос баланса
0203    Баланс выслан
4210001102C04804 - Это не MTI, это битмап, о нем ниже.
0800    Завершение сеанса связи
0820    Сеанс завершен.

В битмапе содержится доступная сумма баланса. Я не буду сюда копипастить алгоритм расчета, он не нужен, есть фреймворк, где все реализованно. Если не лень, можете накидать сами, это нетрудно.

Теперь железячник. Его задача вклиниться в канал между банкоматом и сервером процессинга и посылать вместо сервера все ответы. Можно использовать ноутбук или мобилку на андроиде. Обычно канал проводной, но в последнее время стало модно использовать GPRS модем. Тут я ничего рекомендовать не буду, в инете полно инфы на подобные темы. Сделать это в любом случае, чем поставть скимер, снять данные с магнитной дорожки и пинкод, купить эмбоссер и сделать дубликат карты.

Конечно метод не 100% бывают неудачи. Банк может зашифровать трафик, но на практике это редко делается. Бывает, что не удается вклиниться в канал между банкоматом и банком. Зато в случае удачи снимаем весь нал с банкомата до нуля.

Получилось много букв, пытался все разжевать поподробнее.

В рашке вроде-бы давно на всех банкоматах ставят VPN, а эти протоколы нижнего уровня идут уже через него (за все банки не уверен). В "развитых странах" еще есть банки которые экономят на безопасности, о чем говорить когда еще на чипы не все перешли.

Про описанный метод: слышал что так работали. Работают ли сейчас - хз. Может в Европах, где мамонты еще не вымерли. В Рашке действующий способ обчистки банкомата - через закладки внедренные в ПО в сервисцентре или во время выездного обслуживания банкомата.

ТС, можешь попробовать изучить эту тему. Шансы на успех не нулевые, в отличии от заливов и вещевого кардинга. При удаче можно много заработать.

Редактировался Северус (2016-10-27 22 ч.)

Полная чушь. Такого нет и небыло! Ссылку в студию!

Ну.... если хз, то о чем тогда говорить? Если "слышал", ссылку в студию. Я лично нигде в паблике такого метода не видел. Приватно хакеры продавали его когда-то на web-hack.ru, только доверенным людям. Это был офигенный форум, еще до появления даркнета. Набери в гугле "закрыли web-hack.ru" и насладись результатом.

Для моего метода это невозможно. Даже терминология не правильная, вместо "сервисцентр" ты, вероятно, имел в виду процессинг. Как ты к карточке привяжешь софт, который где-то в закладке стоит? Без карточки банкомат ничего не даст. Короче или приведи примеры реализации этого метода или не говори о том, чего не понимаешь.

Опять чушь. У инкассаторов деньги в кассетах, которые они открыть не могу. Кассету можно открыть только в банке, в кассе пересчета.

Я в этой теме много лет, web-hack закрыли больше пяти лет назад, а ты мне советы даешь.

Тебе самому не стыдно такую ахинею писать?

plastmaster, это не про такой способ взлома недавно сбербанк говорил? Там вроде как подключались через порт и задавали команду. Это он?

plastmaster, какая экспрессивность и категоричность.

VPN на банкоматах
Жаль imgfy.com у меня не работает, такие ссылки надо давать через него.
Плюс - сам видел cisco vpn клиент на банкомате, который выпал из сервисного приложения и отображал десктоп Windows XP.

Ставят на банкоматы VPN. Как минимум - это VPN до провайдера поставщика интернета, как максимум - до внутреней сети банка, а как уж там устроено - хз.

Я имел ввиду место, где ремонтируют поломанные и настраивают новые банкоматы. К процессингу это не имеет никакого отношения.

Пример (специально ради тебя загуглил): https://blog.kaspersky.ru/tyupkin-atm-malware/5500/

Но это нечто примитивное, заражение одной модели банкомата через уязвимость. Если мне не изменяет память, пару лет назад ловили более продвинутый софт такого рода, грузящийся как длл, перехватывающий внутренние функции сервисного приложения банкомата в памяти и выдающий деньги в ответ на определенную последовательность нажатий клавиш меню. Карта при этом вообще не нужна, или для вида можешь вставить любую. Современный софт этого типа умеет самоудаляться без оставления следов, я знаком с автором такой проги. Погугли по ключевым словам "atm malware", узнаешь что теме много лет.
Странно что ты много лет в теме и про такое не слышал. Но я не буду ничего утверждать, может ты совсем другой темой занимаешься.

Да причем тут инкассаторы? Не они ремонтируют банкомат когда он поломался. Для такого взлома нужен доступ к компьютеру, а не к кассетам.

Вебхак, это тот где было два с половиной кулхацкера и армия кидал? Да, помнится 10 лет назад я почитывал его для развлекухи, угарал над тамошним народом. Он что, в какой-то период своей истории вырос до серьезного форума? Не следил за ним.

Про форум pustota.tw (один из временных доменов) что-нибудь слышал? Там где регистрация через поручителей несущих за новичка финансовую ответственность.

Редактировался Северус (2016-10-28 07 ч.)

Небольшой гуглинг показал что про VPN на банкоматах слышали даже заграницей, коммерческие фирмы предлагают кучу готовых решений прошедших всякие сертификации.
Да, мамонты вымирают.... Если халява еще где-то и есть, то скоро закончится.

Редактировался Северус (2016-10-28 07 ч.)

Да, возможно я немного перегнул палку, что-то невыспался наверное.
Я не хочу тут срач разводить, поэтому отвечу в последний раз и закроем тему. Но напоследок хочу заметить, что ты умеешь только гуглить, нагуглил мне тут ответов за 10 минут. Будет что-то конкретное, с примерами - пиши, с удовольствием почитаю. А если найдешь толкового железячника, то можно и поработать, весь софт я беру на себя.

В гуггле набрать что-то я и сам могу, там все ссылки на форумы, чаты, статьи. Ничсего конкретного. Заметь как я написал статью - указал стандарт ISO, выдержки из википедии и конкретные примеры реализачии тех или иных кусочков функционала.

Десктоп на банкомате все видели. Да и "синий экран смерти" тоже. Это ни о чем не говорит.

Повторюсь, гуглить умею сам. Давай что-то конкретное, тогда можно на это время потратить.

При чем тут софт? Как ты его на конкретную карту настроишь? Как деньги из банкомата вытащишь? Приведи пример.

Ладно, тут уже писать нечего. Когда web-hack был на взлете ты за партой сидел или даже под стул пешком ходил. На этом все.

Нет, спасибо, я сам себе программист и железячник. Могу смело утверждать что неплохо знаю и то и другое. И работой не обделен.

Что-то конкретное - это исходники конкретного, в настоящее время используемого atm malware? Не, софт пишите сами.
То что выложил инфу - молодец, я в паблике этого тоже не встречал. Но поливать говном просто потому что ты не понял моего поста - это мягко говоря, не хорошо.

Блин.. Наверное я не совсем понятно объяснил. ОК, расскажу подробнее. Банкомат - это такой ящик с деньгами, выдачей которых управляет компьютер. Обычный компьютер с Windows, который шлет команды периферийным устройствам, в том числе и команды на выдачу денег из кассет. К этому компьютеру имеют доступ сервисные инженеры, это такие люди которые приходят чинить банкомат когда он загружается в бсод, не выходит в сеть, или просто не работает непонятно почему. Они могут модифицировать установленный софт, добавив туда программную закладку. Эта закладка обычно представляет собой dll файл, который прописывается в HKEY_LOCAL_MACHINE\Software\Microsoft\Windows NT\CurrentVersion\Windows\AppInit_DLLs и автоматически загружается во все GUI процессы, в том числе в процесс сервисного приложения (того самого, которое обрабатывает все события от железа, общается с банком и принимает решение на выдачу денег). Троянская dll определяет что она находится в памяти нужного процесса и патчит участки кода сервисного приложения так, чтобы получать управление при наступлении некоторых событий (нажатия клавиш меню, принятие решения о выдаче денег, запись логов событий). Как перехватить какую-либо API функцию, найти участок кода по сигнатуре, итп надо рассказывать?

Чтобы вытащить деньги из банкомата, нужно подойти к банкомату а нажать определенную последовательность клавиш, которая обрабатывается закладкой как команда к выполнению какого-либо действия. Одна последовательность выдает одну сумму, другая - другую, третья - удаляет закладку и отправляет ОС в ребут, чтобы концы в воду. Карта при этом вообще не нужна, или она может быть любая, чтобы окружающие люди не увидели ничего подозрительного.

Вариант с AppInit_DLLs - самый примитивный, более скрытные закладки используют драйвер модифицирующий память нужного процесса из режима ядра и скрывают себя используя руткит технологии. Как это сделать рассказать в подробностях, или ты сам знаешь?

Ожидаемая реакция. Я даже на тебя не обижаюсь. Можешь считать что я на этом форуме диванный эксперт, хорошо умею гуглить и нести всякую чушь. Большое спасибо за внимание.