Как спецслужбы вычисляют хакеров по статистическим данным

http://s010.radikal.ru/i314/1612/f4/f0c2ccefe06c.jpg​

Выложила тему сюда, так как это очень важно и необходимо учитывать при построении своей анонимности в сети) Это пример оперативно-розыскных мероприятий спецслужб при использовании анонимайзера. В других случаях(будь то даже ТОР и ВПН) они поступают точно также, сравнивая время подключения и размер переданных данных.

Статистические данные, как известно, отличаются тем что сам трафик не перехватывается. хранятся только IP адреса, время соединения, размер переданной информации в байтах и используемые протоколы.

Для того,чтобы немного обезопасить себя от этого не сидите с дедиков и впн своей страны и используйте Whonix, где есть stream isolation(все приложения или даже одно будут ходить в сеть по разным портам). Защита от всего этого-это уже другая тема,расписывать не буду здесь).

Ну и ,конечно же, для того, чтобы вас так начали искать тоже надо постараться
Ну и как же вычисляют?))))
А что до "исследовании статистики трафика" - я офигел с примера, как менты не получив данные с анонимайзера, не зная с какого провайдера требовать логи, просто на основе статистических данных магистральных провайдеров вычислили вымогателя. Судя по всему магистральные провайдеры хранят только статистику, а провайдер "последней мили" уже хранит и статистику и тексты и персонализацию (мак адрес, и если IP динамические, то время кто когда каким IP пользовался). Но видимо никто не хранит видео\звуки\Картинки ибо место не хватит.

#############################################
Пример
Приведем пример, как при помощи статистики трафика можно получить ценную оперативную информацию.

Потерпевшим было получено сообщение электронной почты, отправленное злоумышленником через анонимайзер «/cdn-cgi/l/email-protection». Анонимайзер – это сервер электронной почты, который специально предназначен для сокрытия отправителя (подробнее об анонимайзерах – ниже, в параграфе «Анонимные ремейлеры»). Служебные заголовки сообщения не содержали никакой полезной информации. Логи анонимайзером не ведутся из принципа. (значит был запрос, но их послали) Для вычисления отправителя можно воспользоваться статистикой трафика. Для начала сделаем следующие предположения: отправитель находится в России, и он отправил свое сообщение на этот анонимайзер непосредственно, а fне через другой анонимайзер. При таких условиях можно попытаться вычислить отправителя.

IPадрес анонимайзера «/cdn-cgi/l/email-protection» – 206.132.3.41. Письмо к потерпевшему пришло 20 января вечером. Значит, отправлено было, скорее всего, в этот же день, поскольку, хотя анонимайзер предусматривает задержку в доставке сообщений, но вводить слишком большую задержку бессмысленно. Будем искать в статистике российских магистральных операторов связи все обращения на IPадрес 206.132.3.41, совершенные в течение суток 20.01.07 по протоколу SMTP. Для просмотра статистики используем набор утилит «flow tools».

Итак, для сначала, проверим, на какие IPадреса были обращения за нужную дату по протоколу TCP, на порт 25 (SMTP). Нижеприведенная команда берёт хранящуюся на сервере статистику (flowcat), отфильтровывает из нее протокол TCP (flowfilter r6), отфильтровывает трафик, направленный на порт 25 (flowfilter P 25), и агрегирует данные по IPадресу назначения (flowstat f8).

В списке DSTадресов (адресов назначения) мы видим интересующий нас адрес 206.132.3.41(пятая строка снизу), причем на него зафиксировано 2 обращения (flow), всего 38 пакетов, 27995 байт. Такое небольшое количество пакетов за целые сутки неудивительно. Анонимайзерами пользуются нечасто, поскольку это хоть и относительно безопасно, но не слишком удобно.

Выше мы запрашивали статистику за сутки. Поскольку статистика собирается с интервалом в 15 минут, поинтересуемся, в какой именно интервал времени в течение суток были зафиксированы эти обращения. Поищем их в каждом из четвертьчасовых файлов. То есть произведем поиск, аналогичный предыдущему, но не для всей суточной статистики, а для каждого из 15минутных интервалов .

Упоминание искомого IPадреса нашлось в 2 из 96 файлов. Оказалось, что обращения происходили в интервале 9:309:45 и 14:3014:45, причем во втором случае было передано лишь 2 пакета, а этого недостаточно для полноценной SMTPсессии. Таким образом, все данные следует искать в файле, содержащем статистику за 9:309:45

Выберем из полной статистики за указанный интервал те пакеты, которые относятся к интересующему нас анонимайзеру. Для этого вместо упорядочивания данных по IPадресу назначения, как в предыдущих случаях (flowstat f8), запросим полную статистику (flowprint) и выделим из нее утилитой «grep» те потоки, которые относятся к адресу анонимайзера 206.132.3.41.

Мы видим, что у всех относящихся к делу пакетов один и тот же source адрес – 81.16.118.238. Это, скорее всего, и есть IPадрес отправителя. Переданный объем информации, 27899 байт, примерно соответствует (с учетом служебных заголовков и шифрования) длине сообщения, полученного потерпевшим, что косвенно подтверждает правильность нашего вывода.

Ну им тоже для отчетности нужны какие то дела, что они не просто так сидят)

Ну мне говорили, что садят. Слышала примеры. Поаккуратнее. Если в стране не берут, то из другой могут экстрадировать

Ты не знаешь с какими людьми я общаюсь) И с органов такое слышала и от кардеров бывалых

Дело не в отправлении) Отследить могут таким способом, если тобой серьезно заинтересовались и на крупные суммы. А так тор и впн шифруют все, что ты отправляешь

ну если речь о миллионе, то стоит задуматься) а если меньше, то использовать цепочки впн-тор и запретить куки. Все в разделе анонимность у нас есть об этом)

Работа ведется только с левых вещей, от которых после потребуется избавиться.
Левая мобила б/у, левая симка, левый ноут, в конце чужой wifi. На самом ноуте, аналогично, тор-впн, от величины суммы уже стоит заморачиваться с цепочками. По окончанию дел, Все сжечь в посадке.
Это самый простой рецепт, остальное уже зависит от твоей смекалки.