Analyse der verfügbaren Daten des Angriffs im Januar, bei dem virtuelle Bedrohungen realistisch reagieren mussten

In den vergangenen Jahren wurden zentralisierte Angriffe mit IP-Telefonie durchgeführt, jetzt eine neue Runde, aber bereits mit E-Mail. Lassen Sie uns die verfügbaren elektronischen Daten zu diesem Angriff analysieren.

Aktualisierte Informationen am 02/01/2019.

Problem:

2017: „Die Anonymität des Anrufs wird durch die Tatsache sichergestellt, dass ein Angreifer mithilfe von IP-Telefonie eine beliebige Anzahl von Anrufern ersetzen kann, einschließlich der Anzahl von echten nicht verbundenen Teilnehmern von überall auf der Welt. Diese Funktion der IP-Telefonie erschwert die Arbeit der Sicherheitskräfte. Das Anschließen des IP-Telefonie-Sprachgateways an die Netze von Telekommunikationsbetreibern erfolgt häufig illegal, wobei die Nummer des Anrufers, die IP-Adressen und andere Kennungen ersetzt werden

2019: Nach Angaben der Pressedienste von Verwaltungen und Mitarbeitern medizinischer Einrichtungen und Schulen in verschiedenen Regionen und Städten erhielten sie Nachrichten mit Bedrohungen und der Verpflichtung, bestimmte Aktionen per E-Mail durchzuführen.

Strafverfolgungsbehörden begannen zusammen mit Exekutivbehörden, in Übereinstimmung mit ihrer Autorität zu handeln, was bedeutete, jede Nachricht zu überprüfen.

In den Institutionen, die im Text der Briefe aufgeführt waren, fanden Notfälle statt.

Keiner der Tatsachen über die erhaltenen Drohungen wurde bestätigt, die Arbeit der Institutionen wurde vollständig wieder aufgenommen.


Datenanalyse:

Alle E-Mails wurden mit dem kostenlosen Mail-Dienst mailfence dot com gesendet und positionierten sich als „sicherer und vertraulicher E-Mail-Dienst“.

Derzeit haben einige Anbieter in der Russischen Föderation nur eingeschränkten Zugriff auf diesen Dienst.

Wir werden versuchen, uns bei diesem Dienst anzumelden und uns zu registrieren. Wir bekommen diese Ablehnung:



Mit dem VPN-Plugin können Sie etwas weiter gehen und die Registrierung durchlaufen:



Hier warten wir jedoch auf eine solche Auswahl aus möglichen E-Mail-Adressen.



Daher besteht der Verdacht, dass die bei dem Angriff verwendeten E-Mail-Adressen vor langer Zeit in diesem System erstellt wurden, als es möglich war, zuvor einen anderen Domainnamen auszuwählen. Dies bedeutet, dass der Angriff nicht spontan war und die Adressen viel früher von einem Pool erstellt wurden.

Warum müssen wir in diesem Dienst ein Postfach erstellen?

Bei der Registrierung müssen Sie Ihre funktionierende E-Mail-Adresse angeben, an die ein Link gesendet wird, um die Registrierung im Dienst zu bestätigen.

Als Nächstes überprüfen wir, wie der Vorgang zum Zurücksetzen des Kennworts in diesem Dienst abläuft.

Geben Sie Ihren Benutzernamen und / oder Ihre E-Mail-Adresse ein:
Geben Sie den Benutzernamen oder die E-Mail-Adresse ein (im Testfall haben wir mail.ru) und erhalten Sie:

Um Ihr Passwort zurückzusetzen, wurde eine E-Mail gesendet an:
sin***@***mail.ru

Auf diese Weise können wir die ersten drei Zeichen des Benutzernamens und die letzten fünf Zeichen der Mail-Domain der zweiten Ebene erkennen. (danke michaelkl für den kommentar! )

Wenn Sie ein Zurücksetzen des Passworts anfordern, können Sie außerdem einen Benutzernamen oder eine E-Mail-Adresse angeben.

Und gemäß den Adressen aus den gesendeten E-Mails können Sie beim Anfordern eines Zurücksetzens des Kennworts nur die E-Mail angeben.



putin.fsb2@mailfence.com
Um Ihr Passwort zurückzusetzen, wurde eine E-Mail gesendet an:
kul***@***utoo.email



just.bro@mailfence.com
Um Ihr Passwort zurückzusetzen, wurde eine E-Mail gesendet an:
bbl***@***imail.com

Der einzige Thread führt zu gmail.com:



kor.bol@mailfence.com
Um Ihr Passwort zurückzusetzen, wurde eine E-Mail gesendet an:
vov***@***gmail.com

Hier können Sie nach der vollständigen Adresse suchen, aber für eine lange Zeit:



Diese Adresse wird übrigens aus der gesamten Liste gestrichen, gerade weil sie eine Verbindung zu gmail.com hat.

Eine andere Adresse am selben Ort:
kiano.lok@mailfence.com
Um Ihr Passwort zurückzusetzen, wurde eine E-Mail gesendet an:
put***@***gmail.com

Es besteht der Verdacht, dass dies als Option ein Nachahmer ist, der ebenfalls zur Welle der Mailings beigetragen hat, jedoch mit egoistischen Absichten, um seine böse Absicht in der Verwirrung von Ereignissen (Diebstahl, Löschen von Daten, wenn niemand in der Nähe ist usw.) zu begehen.

Wenn sich irgendwo in der Adresse Zahlen befinden, können wir diese Adressen auch überprüfen, indem wir sie ein wenig ändern oder entfernen.

putin.fsb@mailfence.com
Um Ihr Passwort zurückzusetzen, wurde eine E-Mail gesendet an:
poc***@***cloud.info

putin.fsb1@mailfence.com
Um Ihr Passwort zurückzusetzen, wurde eine E-Mail gesendet an:
joo***@***email.com

putin.fsb3@mailfence.com
Um Ihr Passwort zurückzusetzen, wurde eine E-Mail gesendet an:
bud***@***email.com

putin.fsb4@mailfence.com
Um Ihr Passwort zurückzusetzen, wurde eine E-Mail gesendet an:
bep***@***itnow.com

Daher können wir weiterhin erwarten, Briefe von diesen E-Mail-Adressen zu erhalten.

Und hier wurde dennoch der temporäre E-Mail-Dot-Org-Dienst verwendet, um sich bei mailfence dot com zu registrieren


Infolgedessen wurden zwei verschiedene Mail-Dienste in acht E-Mail-Adressen verwendet.

Ergänzung: Neue Briefe kommen auch vom kostenlosen Mail-Server mail dot bg.

jekson.lo1@mailfence.com
Um Ihr Passwort zurückzusetzen, wurde eine E-Mail gesendet an:
pet***@***mail.bg

Daten aus Mosigra:
habr.com/de/company/mosigra/blog/439036
laki.kak@mailfence.com
Um Ihr Passwort zurückzusetzen, wurde eine E-Mail gesendet an:
ale***@***mail.uk

Wie aus den Mailinglisten hervorgeht, wie die Opfer für den Angriff ausgewählt wurden, ist ersichtlich, dass die Adressen von den Websites staatlicher Institutionen kopiert oder manuell „eingefahren“ wurden, da diese Daten öffentlich verfügbar sind.

Der Bereich der gleichzeitigen Empfänger in E-Mails (2-6-10) ist gering, sodass Mailserver die Verteilung nicht einschränken und E-Mails nicht in den Spam-Ordner fallen.



Empfehlungen:

Wenn möglich, sollten Systemadministratoren von Institutionen ihre E-Mails häufiger abrufen, einen Filter für Briefe von „mailfence dot com“ in einem separaten Ordner erstellen und diese sofort gemäß ihren Stellenbeschreibungen melden, Service-Header und alle Daten zur weiteren Analyse speichern.

Taktik:

Die Frage ist also: Warum werden in Newslettern so viele E-Mail-Adressen verwendet?

Die Antwort ist einfach: Die Achillesferse des verwendeten Dienstes ist die Monetarisierung von Diensten und die Möglichkeit, sich über einmalige Postfächer zu registrieren (einmaliger Postdienst).

1. Höchstwahrscheinlich haben alle Konten, die für den Versand verwendet werden, jetzt einen kostenlosen Plan, der nur 500 MB E-Mails enthält.

Wenn dieses Feld mit Nachrichten mit Anhängen "geworfen" wird und voll ist, müssen Sie es zuerst bereinigen, um weitere Mailings durchführen zu können. Bezahlte Pläne sind bereits Zahlung für Dienstleistungen und zusätzliche Entdeckung ihrer Bankdaten.

Sie können dabei helfen, indem Sie so große Briefe wie möglich an die unten angegebenen Adressen senden.

putin.fsb@mailfence.com
putin.fsb1@mailfence.com
putin.fsb2@mailfence.com
putin.fsb3@mailfence.com
putin.fsb4@mailfence.com

just.bro@mailfence.com
kor.bol@mailfence.com
kiano.lok@mailfence.com
jekson.lo1@mailfence.com
laki.kak@mailfence.com

2. Abfangen der Postfachverwaltung durch Zurücksetzen eines Kennworts und Auswählen einer Anmeldung über einen einmaligen E-Mail-Dienst .

Theoretisch ist es möglich, auf die in Absatz 1 aufgeführten Postfächer zuzugreifen, wenn Sie eine große Anzahl von Aktionen ausführen können:
- Wählen Sie das erforderliche Login und die Domain in temp-mail dot org aus
- Senden Sie einen Befehl zum Zurücksetzen des Passworts an die Adresse mailfence dot com
- Holen Sie sich einen Brief zum Zurücksetzen des Passworts in Temp-Mail Dot Org
- Melden Sie sich bei mailfence dot dot com an

Daten zur Auswahl (wobei * ein oder mehrere Zeichen (wahrscheinlich 1-4 lateinische Buchstaben) im Benutzernamen sind):

Schwierige Situation:
Passwort zurücksetzen - putin.fsb1@mailfence.com
Einmaliger Mail-Service - joo*@321-email.com
Einmaliger Mail-Service - joo*@braun4email.com
Einmaliger Mail-Service - joo*@utooemail.com

Passwort zurücksetzen - putin.fsb3@mailfence.com
Einmaliger Mail-Service - bud*@321-email.com
Einmaliger Mail-Service - bud*@braun4email.com
Einmaliger Mail-Service - bud*@utooemail.com

Es muss nur eine Domain überprüft werden:

Passwort zurücksetzen - putin.fsb2@mailfence.com
Einmaliger Mail-Service - kul*@utoo.email

Passwort zurücksetzen - putin.fsb4@mailfence.com
Einmaliger Mail-Service - bep*@4senditnow.com

Passwort zurücksetzen - just.bro@mailfence.com
Einmaliger Mail-Service - bbl*@heximail.com

3. Alternativ können Sie durch Sortieren (durch Klicken auf die Schaltfläche "Löschen" im Dienst) der angebotenen regulären Anmeldungen (4 bis 8 Zeichen lang) die neuen angebotenen Anmeldungen finden , die mit kul / bep / bbl / bud / joo beginnen .

Punkt 3 kann mit Softwaremethoden implementiert werden.

Wenn jemand interessiert ist und durch eine große Aufzählung von Daten durch Anmelden beim Einweg-Mail-Dienst Zugriff auf mindestens ein Postfach finden kann und das Mailing von ihm (blockieren) kann, ist es wunderbar.

Wir werden uns nicht mit der sprachlichen und stilistischen Analyse des Inhalts von Buchstaben befassen, obwohl es in Verbindung mit Rechtschreibfehlern und einigen konsonanten Silben im Text etwas zu überlegen gibt. Es ist jedoch möglich, dass diese Dialektik speziell aus Kompromissgründen in den Text aufgenommen wurde.

Dieser Artikel bezieht sich auf analytische Themen. Ich bitte Sie, die Regeln der Ressource in den Kommentaren einzuhalten und nicht über den allgemein akzeptierten Rahmen hinauszugehen