Facebook User Account ႏွင့္ Password မ်ားအား ခုိးယူႏုိင္ေသာနည္းလမ္း (၇)မ်ဳိး
---------------------------------------------------------------------------------
World Wide Myanmar Computer & Internet Services
က်ေနာ့္ဆီမွာ ဘာ ဟတ္ခ်င္တယ္ ညာဟတ္ခ်င္တယ္ လာလာ ေမေနၾကတဲ့ ဆရာတို႔ ဖတ္ဖို႔ ရွာေဖြတင္ေပးလိုက္ပါတယ္ သေဘာေပါက္ေအာင္ ဖတ္ပါ အဲ အထဲမွာမွာ သဲလြန္စေတြပါပါတယ္........
ယေန႔ေခတ္တြင္ အင္တာနက္အသုံးျပဳသူမ်ား၊ အထူးသျဖင့္ Facebook အသုံးျပဳသူမ်ား ပါးစပ္ဖ်ားတြင္ မိမိ၏ Facebook အေကာင့္အား ခုိးယူျခင္းခံခဲ့ရၿပီ၊ ထုိ႔ေၾကာင့္ မိမိ၏ အေကာင့္အား Recover လုပ္ခ်င္သည္ စေသာအသံမ်ား ၾကားသိေနရပါသည္။ ထုိ႔ေၾကာင့္ ၎ျပႆနာသည္ ယေန႔ေခတ္တြင္ အမွန္တကယ္ ႀကီးထြား လာခဲ့ပါသည္။ အဘယ္ေၾကာင့္ဆုိေသာ္ အင္တာနက္အသုံးျပဳသူမ်ား၏ အေတြ႔အႀကဳံဗဟုသုတ အားနည္းျခင္း သည္ပင္ အဓိကအေၾကာင္းအရာ ျဖစ္ပါသည္။ ထုိ႔ေၾကာင့္ Facebook အသုံးျပဳသူမ်ားအားလုံးႏွင့္ Facebook Hacking ကုိ စူးစမ္းလုိသူမ်ားအတြက္ ဗဟုသုတရေစရန္ရည္ရြယ္ပါသည္။အေကာင့္ခုိးယူပုံနည္းလမ္းမ်ားအား မေျပာမီ Facebook အသုံးျပဳသူမ်ား သိသင့္သည့္အခ်က္တစ္ခ်က္မွာ သာမာန္အင္တာနက္အသုံးျပဳသူမ်ား လုိခ်င္ေနသည့္ ၾကားဖူးေနသည့္ Facebook Hacking Softwares ဆုိသည္မွာ လုံးဝမရွိေၾကာင္း ေျပာၾကားခ်င္ပါသည္။ 007 facebook hack software, Facebook ID hacker software မ်ားႏွင့္ အျခားေတာ္ေတာ္မ်ားမ်ားမွာ Fake Facebook Software မ်ားျဖစ္ၿပီး မိမိတုိ႔၏ စီးပြားေရးဆုိင္ရာမ်ားျဖစ္ေသာ Sensitive Data မ်ား (Email, Credit Card Details, Phone Number, etc) ကုိ ခုိးယူလုိသည့္ Malware မ်ားသာျဖစ္ေနတတ္ပါသည္။ဟက္ကာမ်ား အသုံးျပဳေလ့ရွိၾကသည့္ Facebook Haking နည္းလမ္း ၆ မ်ဳိးမွာ -
1. Keylogging–Installing Keylogger. (easy)
2. Phishing – Creating fake Facebook Login page. (Medium)
3. Using Victims Mobile. (Difficult)
4. Stealing facebook cookies of victim. (Difficult)
5. Revealing saved Facebook passwords on web-browsers. (easy)
6. Bypassing Facebooks Security Question (Difficult)
7. Tabnapping Attack using Backtrack (Medium) –
အထက္ေဖာ္ျပပါနည္းလမ္းမ်ားထဲမွ အမွတ္စဥ္ ၃ ႏွင့္ ၆ သည္ Victims ၏ Password ကုိ Reset ျပဳလုပ္သည့္ နည္းလမ္းျဖစ္ၿပီး ဟက္ကာမ်ားအေနျဖင့္ Original Password ကုိ မရရွိပါ။ ၎တုိ႔ထဲမွ ၁ ႏွင့္ ၂ သည္ အေကာင့္ပုိင္ရွင္ကုိယ္တုိင္ မိမိတုိ႔၏ Facebook အေကာင့္အား ခုိးယူခံလုိက္ရၿပီဟု မသိရွိႏုိင္ဘဲ ပုိင္ရွင္၏ Original Password အား ရယူႏုိင္ပါသည္။
၁။ Keylogging သုိ႔ Keylogger Software အား Installation ျပဳလုပ္ျခင္းျဖင့္ Facebook အေကာင့္အား ခုိးယူျခင္း
Keylogging ဆုိသည္မွာ Facebook Account မ်ားခုိးယူရာတြင္ အလြယ္ကူဆုံးႏွင့္ အက်ဳိးသက္ေရာက္မႈ အရွိဆုံးေသာ နည္းလမ္းတစ္ခုျဖစ္ပါသည္။ ၎ကုိအသုံးျပဳရန္ မည္သည့္ကြ်မ္းက်င္မႈမွ မလုိအပ္ဘဲ ကြန္ပ်ဳတာတြင္ Keylogger Software ကုိ Install ျပဳလုပ္႐ံု ႏွင့္ အသုံးျပဳတတ္႐ုံလွ်င္ ရရွိႏုိင္ပါသည္။ ၎နည္းလမ္းသည္ Victim ၏ ကြန္ပ်ဳတာကုိ Physical Access လုပ္၍ ရရွိယုံႏွင့္ အသုံးျပဳႏုိင္ပါသည္။ အေျခခံအားျဖင့္ Keyloggers မ်ားသည္ ၎ကြန္ပ်ဳတာကုိ အသုံးျပဳသူတုိင္း၏ Keyboard ႐ုိက္ခ်က္မ်ားကုိ ဖမ္းယူထားျခင္းျဖစ္ပါသည္။ ဥပမာအားျဖင့္ မိမိတုိ႔ကုိယ္ပုိင္ အလုပ္႐ုံ၏ အလုပ္သမားမ်ားကုိ Monitor လုပ္ရာတြင္ အသုံးျပဳ ႏုိင္ပါသည္။ ထုိ႔ေၾကာင့္ အသုံးျပဳသူ၏ Username ႏွင့္ Password မ်ား အားလုံးကုိ အလြယ္တကူ ဖမ္းယူရရွိႏုိင္ပါသည္။ အမွန္တကယ္အားျဖင့္ ၎Keylogger ကုိ ဟက္ကင္းတြင္ အသုံးျပဳျခင္း ထက္ ေစာင့္ၾကည့္ရန္အတြယ္ ရည္ရြယ္ပါသည္။ ၎Keylogger ကုိ Hardware ႏွင့္ Software ၂ မ်ဳိးအသုံးျပဳႏုိင္ပါသည္။
(က) Software Keylogger
Software Keylogger ဆုိသည္မွာ program တစ္ခုျဖစ္ၿပီး software အသုံးျပဳထား သည့္ ကြန္ပ်ဳတာကုိ အသုံးျပဳတုိင္း၏ Keyboard ႐ုိက္ခ်က္အားလုံး၏ တစ္ခုျခင္းစီကုိ မွတ္ေပး ထားျခင္းျဖစ္ပါသည္။ ၎ Keylogger Software ကုိ အသုံးျပဳျခင္းေၾကာင့္ မည္သည့္ကြန္ပ်ဳတာ ဟက္ကင္းကုိမွ သိရွိရန္မလုိအပ္ဘဲ Username ႏွင့္ Password မ်ားကုိ အလြယ္တကူ ရရွိႏုိင္ပါသည္။ ၎ကုိ ဟက္ကင္းအတြက္ အသုံးမျပဳဘဲ Monitoring အတြက္ သီးသန္႔သာ အသုံးျပဳသင့္ပါသည္။
(ခ) Hardware Keylogger
Hardware Keylogger ဆုိသည္မွာ Software Keylogger နည္းတူ ဣင္း Hardware တပ္ဆင္ထားသည့္ ကြန္ပ်ဳတာ၏ Keyboard ရုိက္ခ်က္တုိင္းကုိ မွတ္ထားမည္ျဖစ္သည္။ Hardware Keylogger သည္ အသုံးျပဳေနက် USB pen-drive ပုံစံ အရြယ္အစားခန္႔သာရွိၿပီး ၎တြင္လည္း Internal Memory ပါဝင္ပါသည္။ တပ္ဆင္ထားသည့္ ကြန္ပ်ဳတာ၏ Keyboard ရုိက္ခ်က္တုိင္းကုိ ကုိယ္ပုိင္ Internal Memory ထဲတြင္ သိမ္းဆည္းပါသည္။ USB ႏွင့္ PS2 ၂ မ်ဳိးရွိပါသည္။
၂။ Phishing နည္းလမ္းျဖင့္ Facebook Account အားခုိးယူျခင္း
Facebook ကဲ့သုိ႔ Password ခံထားေသာ ဝဘ္ဆုိက္မ်ား၏ User Account မ်ားအား ခုိးယူရန္အတြက္ Phishing နည္းလမ္းသည္ အသုံးျပဳခဲ့သည္မွာ ၾကာၿပီျဖစ္ေသာ္လည္း ေကာင္းမြန္ ေသာ နည္းလမ္းတစ္ခုပင္ျဖစ္ပါသည္။ ၎ Phishing Method အေပၚတြင္ ဗဟုသုတမည္၍ မည္မွ်ရွိသည္မွာ အေၾကာင္းမဟုတ္ဘဲ အမွားတစ္ခုမွေန၍ User Account တစ္ခုအား ရရွိႏုိင္ ပါသည္။ Phishing Method မ်ားကုိအသုံးျပဳ၍ User Account အမ်ဳိးမ်ဳိးကုိ ခုိးယူႏုိင္ပါသည္။သို႔ေသာ္ ေက်ာ္ၾကားေသာ Phishing Method အမ်ားစုသည္ Fake Facebook Login Pages အား ဖန္တီးကာ ၎ကုိ Victim မ်ား၏ Emails မွတဆင့္ ပုိ႔ေဆာင္ကာ ခုိးယူေသာ နည္းလမ္းသာ ျဖစ္ပါသည္။ Fake Login Pages မ်ားသည္ မူလပုံစံအတုိင္း ျဖစ္ေသာ္လည္း Facebook Server သုိ႔မပုိ႔ေဆာင္ေပးဘဲ ဟက္ကာထံသုိ႔သာ ပုိ႔ေဆာင္ေပးပါသည္။ အျခား တစ္ဖက္တြင္ Victim သည္ သူ၏ Credentials မ်ားကုိအသုံးျပဳ၍ Login ဝင္လုိက္ျခင္းေၾကာင့္ ဟက္ကာမွ Email မ်ား၊ ၎ႏွင့္သက္ဆုိင္ေသာ အခ်က္အလက္မ်ား (သုိ႔မဟုတ္) FTP Account မ်ားကုိရရွိေစႏုိင္ပါသည္။ ေအာက္ပါပုံသည္ Phishing နည္းလမ္းျဖင့္ Facebook Account ကုိ ခုိးယူျခင္းျဖစ္ပါသည္။
၎နည္းလမ္းကုိ အသုံးျပဳျခင္းသည္ Computer ျဖင့္ အင္တာနက္ အသုံးျပဳသူမ်ားကုိလိမ္လည္ရန္ မလြယ္ကူပါ။ဖုန္းႏွင့္ အင္တာနက္အသုံးျပဳသူမ်ားအတြက္သာ အသုံးျပဳသင့္ပါသည္။
၃။ Victim ၏ ဖုန္းကုိအသုံးျပဳျခင္းျဖင့္ Facebook Account အားခုိးယူျခင္း
ယခုနည္းလမ္းသည္ User ၏ မူလ Password ကုိမရရွိႏုိင္ေသာ္လည္း Reset ျပဳလုပ္ျခင္း ျဖင့္ Password ကုိ ရရွိေစႏုိင္ပါသည္။ Victim ၏ Phone ကုိ အသုံးျပဳခြင့္ရရွိလွ်င္ Forgot My Password မွတဆင့္ Reset ျပဳလုပ္ႏုိင္ပါသည္။
၄။ Victim ၏ Facebook Cookies မ်ားကုိခုိးယူျခင္း
၎နည္းလမ္းကုိ အသုံးျပဳျခင္းျဖင့္ အေသးစိတ္အခ်က္အလက္မ်ားကုိ မရရွိႏုိင္ေသာ္ လည္း Victim ၏ Account ကုိ ထိန္းခ်ဳပ္ႏုိင္မည္ျဖစ္ပါသည္။
Cookies (တနည္းအားျဖင့္ HTTP Cookie, Web Cookie, Browser Cookie) ဆုိသည္မွာ ဝက္ဘ္ဆုိက္တစ္ခုမွ Web Browser ထံသုိ႔ပုိ႔ေဆာင္ေသာ Text File တစ္ခုျဖစ္ပါ သည္။ ၎ကုိ Browser မွ သိမ္းဆည္းထားေလ့ရွိၿပီး အသုံးျပဳၿပီးသား ဝက္ဆုိက္တစ္ခုသုိ႔ အသုံးျပဳ တုိင္း မည္သည့္အရာမွ မေျပာင္းလဲဘဲ ျပန္လည္လုပ္ေဆာင္ေပးပါသည္။ Cookies မ်ားကုိ ဝက္ဆိုက္သုိ႔ ဝင္ေရာက္သည့္အခါ Password မ်ားကုိ စစ္ေဆးေမးျမန္းျခင္း၊ မည္သူျဖစ္ေၾကာင္း ခြဲျခားျခင္းႏွင့္ အသုံးျပဳသူ၏ ဦးစားေပး စသည္တုိ႔အတြက္ အသုံးျပဳပါသည္။ ၎တုိ႔ Virus မ်ားကုိ သယ္ေဆာင္ႏုိင္ျခင္းမရွိပါ။ အခ်ဳပ္အားျဖင့္ဆုိေသာ္ Facebook အသုံးျပဳသူမ်ားသည္ မိမိတုိ႔၏ ကုိယ္ပုိင္အေကာင့္မ်ားကုိ အၿမဲတန္း Login ျပဳလုပ္ထားမည္ဆုိပါက ဟက္ကာမ်ားမွ Browser Cookies မ်ားကုိအလြယ္တကူခုိးယူႏုိင္ၿပီး မိမိတုိ႔၏ Login Session ကုိ အသုံးခ်သြားႏုိင္ပါသည္။ မည္သုိ႔ပင္ဆုိေစကာမူ Facebook HTTPS ကုိ အသုံးျပဳမည္ဆုိပါက ခုိးယူခံရျခင္းမွ ကင္းေဝေစႏုိင္ပါသည္။
၅။ Browser တြင္ “Facebook Saved Password” ျပဳလုပ္ထားျခင္းေၾကာင့္ အခုိးခံရျခင္း
မည္သည့္ ခုိးယူျခင္းနည္းလမ္းမွ မသိသူပင္ ယခုနည္းကုိ အသုံးျပဳႏုိင္ပါသည္။
chrome: Goto tools >> Options >> PersonalStuff >> Manage saved Passwords
FireFox: Goto tools >> Options >> Security >> saved Passwords
Stupid IE: Who Cares ?
၆။ Facebook Security Questions မ်ားကိုျဖတ္ေက်ာ္၍ ခုိးယူျခင္း
ယခင္က အသုံးျပဳၾကေသာ္လည္း ယခုေနာက္ပုိင္းတြင္ ဖုန္းနံပါတ္ျဖင့္ Register ျပဳလုပ္ရန္ ေျပာင္းလဲသြားျခင္းျဖင့္ ကာကြယ္ထားပါသည္။
၇။ Tabnapping Attack ကုိ အသုံးျပဳ၍ ခုိးယူျခင္း
Tabnapping Attack ဆုိသည္မွာ Phishing နည္းလမ္းႏွင့္ ဆင္တူေသာ္လည္း Upload လုပ္ရန္မလုိ၊ Server ေထာင္ရန္မလုိ၊ Free Hosting Sites မ်ားတြင္ Host တင္စရာမလုိအပ္ဘဲ လွ်င္ျမန္ေခ်ာေမြ႕စြာ User Email မ်ားႏွင့္ ID မ်ားကို ခုိးယူႏုိင္ပါသည္။
Tabnapping Attack တြင္ Victim သည္ Browser တြင္ Tabs မ်ားကုိ ႏိွပ္ရန္လုိအပ္ၿပီး ထုိမွတဆင့္ Fake Server ဆီသုိ႔ Redirect လုပ္သြားမည္ျဖစ္ပါသည္။ Tabnapping Attack သည္ User ၏ Keyboard ရုိက္ခ်က္မ်ားႏွင့္ Mouse လႈပ္ရွားမႈမ်ားကုိ မွတ္တမ္းတင္သြားမည္ ျဖစ္ပါသည္။
ယခုတင္ျပထားေသာ ေဆာင္းပါးသည္ ဘာသာျပန္ျခင္းသက္သက္သာ ျဖစ္ပါသည္။ ေဆာင္းပါးတြင္ ပါဝင္ေသာ ခုိးယူနည္းမ်ဳိးစုံတုိ႔မွာ အသုံးျပဳသူမ်ား၏ အားနည္းခ်က္ေၾကာင့္သာ ျဖစ္ေၾကာင္း သုံးသပ္မိပါသည္။
