🕖 👨🏼‍🚒 🤷🏿 जनवरी के हमले से उपलब्ध आंकड़ों का विश्लेषण, जिसमें आभासी खतरों को वास्तविक रूप से प्रतिक्रिया करना था 👨🏿‍⚕️ ✡️ 😵

पिछले वर्षों में, आईपी-टेलीफोनी का उपयोग करके केंद्रीकृत हमले किए गए थे, जो अब एक नया दौर है, लेकिन पहले से ही ईमेल का उपयोग कर रहा है। आइए हम इस हमले पर उपलब्ध इलेक्ट्रॉनिक डेटा का विश्लेषण करें।

02/01/2019 को अद्यतन जानकारी।

समस्या:

2017: “कॉल की गुमनामी इस तथ्य से सुनिश्चित होती है कि एक हमलावर, आईपी-टेलीफोनी का उपयोग करके, कॉल करने वाले की किसी भी संख्या को प्रतिस्थापित कर सकता है, जिसमें दुनिया में कहीं से भी वास्तविक गैर-कनेक्टेड ग्राहकों की संख्या शामिल है। आईपी-टेलीफोनी की यह विशेषता सुरक्षा बलों के काम को जटिल बनाती है। आईपी-टेलीफोनी वॉयस गेटवे को टेलिकॉम ऑपरेटर्स के नेटवर्क से जोड़ना अक्सर अवैध रूप से होता है, जिसमें कॉलर का नंबर, आईपी-एड्रेस और अन्य आइडेंटीफायर का प्रतिस्थापन होता है।

2019: प्रशासन की प्रेस सेवाओं के अनुसार और विभिन्न क्षेत्रों और शहरों में चिकित्सा संस्थानों और स्कूलों के कर्मचारियों से, उन्हें ईमेल के माध्यम से धमकी और कुछ कार्यों को करने की आवश्यकता वाले संदेश मिले।

कानून प्रवर्तन एजेंसियों ने कार्यकारी अधिकारियों के साथ मिलकर अपने अधिकार के अनुसार कार्य करना शुरू किया, जिसका अर्थ था कि प्रत्येक संदेश की जाँच।

जिन संस्थानों में पत्रों के पाठ में सूचीबद्ध किया गया था, आपातकालीन आयोजन होने लगे।

प्राप्त खतरों पर कोई भी तथ्य की पुष्टि नहीं की गई थी, संस्थानों के काम को फिर से शुरू किया गया था।

स्रोत डेटा:

आइए स्थिति को पूरी तरह से नजरअंदाज करने की कोशिश करें और कुछ सार्वजनिक रूप से उपलब्ध ईमेल से आइटम के माध्यम से जाएं, जिनमें से फोटो नीचे प्रस्तुत किए गए हैं।

पत्रों में "सेवा शीर्षकों" की जानकारी का कोई डेटा नहीं है।

डेटा विश्लेषण:

सभी ईमेलों को मुफ्त मेल सेवा मेलफेंस डॉट कॉम का उपयोग करके भेजा गया था, जो खुद को "सुरक्षित और गोपनीय ईमेल सेवा" के रूप में प्रदर्शित करता है।

वर्तमान में, रूसी संघ के कुछ प्रदाताओं की इस सेवा तक सीमित पहुंच है।

हम इस सेवा में प्रवेश करने और पंजीकरण करने का प्रयास करेंगे। हम इसे मना कर देते हैं:

वीपीएन प्लगइन का उपयोग करके, आप थोड़ा आगे जा सकते हैं और पंजीकरण के माध्यम से जा सकते हैं:

हालांकि, यहां हम संभावित ईमेल पते से इस तरह के विकल्प की प्रतीक्षा कर रहे हैं।

इस प्रकार, एक संदेह है कि हमले में उपयोग किए गए ईमेल पते इस प्रणाली में बहुत पहले बनाए गए थे जब पहले एक अलग डोमेन नाम का चयन करना संभव था। इसका मतलब है कि हमला सहज नहीं था, और पते कुछ पूल द्वारा बहुत पहले बनाए गए थे।

हमें इस सेवा में मेलबॉक्स बनाने की आवश्यकता क्यों है?

पंजीकरण करते समय, आपको अपना कार्यशील ईमेल पता निर्दिष्ट करना होगा, जिसमें वे सेवा में पंजीकरण की पुष्टि के लिए एक लिंक भेजेंगे।

अगला, हम जांचते हैं कि इस सेवा में पासवर्ड रीसेट प्रक्रिया कैसे होती है।

अपना उपयोगकर्ता नाम और / या अपना ई-मेल पता दर्ज करें:
बाद में उपयोगकर्ता नाम या ईमेल दर्ज करें (परीक्षण के मामले में, हमारे पास mail.ru है) और प्राप्त करें:

अपना पासवर्ड रीसेट करने के लिए, एक ई-मेल भेजा गया था:
sin***@***mail.ru

इस तरह, हम उपयोगकर्ता नाम के पहले तीन वर्णों और दूसरे स्तर के मेल डोमेन के अंतिम 5 वर्णों को पहचान सकते हैं। ( टिप्पणी के लिए धन्यवाद माइकलल ! )

इसके अलावा, एक पासवर्ड रीसेट का अनुरोध करते समय, आप एक उपयोगकर्ता नाम या ईमेल निर्दिष्ट कर सकते हैं।

और भेजे गए ईमेल के पते के अनुसार, जब आप पासवर्ड रीसेट का अनुरोध करते हैं, तो आप केवल ईमेल निर्दिष्ट कर सकते हैं।

putin.fsb2@mailfence.com
अपना पासवर्ड रीसेट करने के लिए, एक ई-मेल भेजा गया था:
kul***@***utoo.email

just.bro@mailfence.com
अपना पासवर्ड रीसेट करने के लिए, एक ई-मेल भेजा गया था:
bbl***@***imail.com

केवल धागा gmail.com की ओर जाता है:

kor.bol@mailfence.com
अपना पासवर्ड रीसेट करने के लिए, एक ई-मेल भेजा गया था:
vov***@***gmail.com

यहां आप पूरा पता खोज सकते हैं, लेकिन लंबे समय तक:

यह पता, वैसे, पूरी सूची से ठीक बाहर खटखटाया जाता है क्योंकि इसका gmail.com के साथ एक संबंध है।

उसी स्थान पर एक और पता:
kiano.lok@mailfence.com
अपना पासवर्ड रीसेट करने के लिए, एक ई-मेल भेजा गया था:
put***@***gmail.com

एक संदेह है कि यह एक विकल्प के रूप में एक नकल करने वाला है, जिसने मेलिंग की लहर में भी योगदान दिया, लेकिन स्वार्थी उद्देश्यों के साथ, घटनाओं की भ्रम में अपनी बुरी मंशा के लिए (चोरी, डेटा को हटाने जब कोई आसपास नहीं है, आदि)।

इसके अलावा, यदि पते में कहीं नंबर हैं, तो, उन्हें थोड़ा बदलकर या उन्हें हटाकर, हम ऐसे पते भी देख सकते हैं:

putin.fsb@mailfence.com
अपना पासवर्ड रीसेट करने के लिए, एक ई-मेल भेजा गया था:
poc***@***cloud.info

putin.fsb1@mailfence.com
ओ अपना पासवर्ड रीसेट करें, एक ई-मेल भेजा गया था:
joo***@***email.com

putin.fsb3@mailfence.com
अपना पासवर्ड रीसेट करने के लिए, एक ई-मेल भेजा गया था:
bud***@***email.com

putin.fsb4@mailfence.com
अपना पासवर्ड रीसेट करने के लिए, एक ई-मेल भेजा गया था:
bep***@***itnow.com

इस प्रकार, हम अभी भी इन ईमेल पतों से पत्र प्राप्त करने की उम्मीद कर सकते हैं।

और यहाँ, फिर भी, मेल-अप डॉट कॉम के साथ पंजीकरण करने के लिए अस्थायी-मेल डॉट ओआरजी सेवा का उपयोग किया गया था

नतीजतन, आठ ईमेल पतों में दो अलग-अलग मेल सेवाओं का उपयोग किया गया था।

जोड़: नए पत्र भी मुफ्त मेल सर्वर मेल डॉट बीजी से आते हैं।

jekson.lo1@mailfence.com
ओ अपना पासवर्ड रीसेट करें, एक ई-मेल भेजा गया था:
pet***@***mail.bg

मोसिग्रा से डेटा:
habr.com/ru/company/mosigra/blog/439036
laki.kak@mailfence.com
अपना पासवर्ड रीसेट करने के लिए, एक ई-मेल भेजा गया था:
ale***@***mail.uk

मेलिंग सूचियों को देखते हुए, पीड़ितों को हमले के लिए कैसे चुना गया, यह देखा जा सकता है कि पते राज्य संस्थानों की वेबसाइटों से कॉपी किए गए थे या "मैन्युअल रूप से संचालित" थे, क्योंकि यह डेटा सार्वजनिक रूप से उपलब्ध है।

ईमेल (2-6-10) में एक साथ प्राप्तकर्ताओं की सीमा छोटी है ताकि मेल सर्वर वितरण को प्रतिबंधित न करें और ईमेल स्पैम फ़ोल्डर में न आएं।

सेवा प्रमुखों के अंश:

प्राप्त: wilbur.contactoffice.com से (wilbur.contactoffice.com [212.3.242.68])
(ग्राहक प्रमाणपत्र मौजूद नहीं है)
वापसी-पथ: putin.fsb3@mailfence.com
mailfence.com का डोमेन अनुमति प्राप्त प्रेषक के रूप में 212.3.242.68 को नामित करता है,
नियम = [ip4: 212.3.242.64/26]) smtp.mail=putin.fsb3@mailfree.com; dkim = पास
DKIM- हस्ताक्षर: v = 1; a = rsa-sha256; c = आराम / सरल; d = mailfence.com;
एक्स-प्राथमिकता: 3
उत्तर-टू: पुतिन FSB <putin.fsb3@mailfence.com>
प्रेषक: पुतिन FSB <putin.fsb3@mailfence.com>
एक्स-मेलर: कॉन्टैक्टऑफिस मेल
X-ContactOffice-Account: com: 188677102

प्राप्त: mxfront13g.mail.yandex.net ([127.0.0.1]) से
mxfront13g.mail.yandex.net द्वारा LMTP id a6sJli0I के साथ
<info@mosigra.ru> के लिए; मंगल, 5 फरवरी 2019 11:00:14 +0300
प्राप्त: wilbur.contactoffice.com से (wilbur.contactoffice.com [212.3.242.68])
ESMTPS id jttuF4mQRo-0DAa1MBL के साथ mxfront13g.mail.yandex.net (nwsmtp / Yandex);
मंगल, 05 फरवरी 2019 11:00:13 +0300
(TLSv1.2 का उपयोग सिफर ECDHE-RSA-AES128-GCM-SHA256 (128/128 बिट्स) के साथ)
(ग्राहक प्रमाणपत्र मौजूद नहीं है)
वापसी-पथ: laki.kak@mailfence.com
X-Yandex-Front: mxfront13g.mail.yandex.net
X-Yandex-TimeMark: 1549353613
प्रमाणीकरण-परिणाम: mxfront13g.mail.yandex.net; spf = pass (mxfront13g.mail.yandex.net: mailfence.com का डोमेन 212.3.242.68 की अनुमति प्रेषक, नियम = [ip4: 212.3.242.64/26]) smtp .mail.laki.kak@mailfence.com के रूप में करता है; dkim = पास header.i=@mailfence.com
एक्स-यैंडेक्स-स्पैम: 2
X-Yandex-Fwd: MzM4MDAwNDcyNDYzOTM2Mzg1OSwyMTg3Njc1NDQ5ODIwMzIwNzMz
प्राप्त: ichabod.co-bxl (ichabod.co-bxl [10.2.0.36]) से
ESMTP आईडी 16350329D के साथ wilbur.contactoffice.com (पोस्टफिक्स) द्वारा;
मंगल, 5 फरवरी 2019 09:00:13 +0100 (सीईटी)
DKIM- हस्ताक्षर: v = 1; a = rsa-sha256; c = आराम / सरल; d = mailfence.com;
s = 20160819-nLV10XS2; t = 1549353613;
bh = gADFkQslj8dDCkx + Y9OhJNmeT7fosViIkpUDPPk1UO8 =;
h = दिनांक: से: विषय: उत्तर-करने के लिए: से: से;
ब =
6ROHYI / HMAnLOJfv + JsKC574UzsmjU1yhikwYLakMPTWKiqcR6knC4mXkfWFm / fXHU
LPod1MeMeNlD1rqEXnkr8wJk4GX / s6DzCUVxC5qzcv6ChEwa5DJOvIg0mxMxPUfMr
LaPBQIGOiELGYfFOWi8XwGW1BDFfKXCgE0vxYYoBqqgXuXN720BHTv + CksccUdo44v
KyDZEQYqM7J3JhjL8GCiaWxfLBbEkLqYCHnRUEGyKbC2pqT23c2TaafXXW7g5raN63
वीवोक्जजक्यूबीटीडीपीए ==
तिथि: मंगल, 5 फरवरी 2019 09:00:10 +0100 (सीईटी)
संदेश-आईडी: <790975597.619629.1549353610731@ichabod.co-bxl>
MIME- संस्करण: 1.0
सामग्री-प्रकार: पाठ / सादा; charset = utf-8
सामग्री-अंतरण-एन्कोडिंग: base64
To: info@torrogrill.ru, kapitoly_adm@cosmik.ru, kashirskaya.enkatc@enka.com
6112158@re-reserved.ru, info@mosigra.ru, info@toy.ru,
filion@minisolife.ru, 6412027@re-reserved.ru, info@modi.ru,
office@melonfashion.ru
विषय: =? Utf-8? B? 0L7RgtCy0LXRgiDQvdCwINC30LDQ99GA0L7RgQ ==? =?
एक्स-प्राथमिकता: 3
उत्तर-To: laki kak <laki.kak@mailfence.com>
प्रेषक: laki kak <laki.kak@mailfence.com>
एक्स-मेलर: कॉन्टैक्टऑफिस मेल
X-ContactOffice-Account: com: 190697286
X-Yandex-Forward: c4503a689c840ee5c1704413e6045827

सिफारिशें:

यदि संभव हो तो, संस्थानों के सिस्टम प्रशासकों को अपने ईमेल को अधिक बार जांचना चाहिए, "मेलफेंस डॉट कॉम" से अक्षरों के लिए एक अलग फ़ोल्डर में एक फिल्टर बनाएं और तुरंत उन्हें रिपोर्ट करें, उनके नौकरी विवरण के अनुसार, सेवा हेडर और आगे के विश्लेषण के लिए सभी डेटा को बचाएं।

रणनीति:

तो सवाल यह है कि - न्यूज़लेटर्स में इतने सारे ईमेल पते क्यों इस्तेमाल किए जाते हैं?

इसका उत्तर सरल है - उपयोग की जाने वाली सेवा की एच्लीस एड़ी सेवाओं का मुद्रीकरण है और एक-बार मेलबॉक्स (एक-समय मेल सेवा) के माध्यम से पंजीकरण करने की क्षमता है।

1. तो, सबसे अधिक संभावना है, मेलिंग के लिए उपयोग किए जाने वाले सभी खाते अब एक मुफ्त योजना पर हैं, जिसमें केवल 500 एमबी ईमेल शामिल हैं।

यदि यह बॉक्स अटैचमेंट वाले संदेशों के साथ "फेक" है और भरा हुआ है, तो आगे मेलिंग करने के लिए आपको पहले इसे साफ करना होगा। भुगतान की योजना पहले से ही सेवाओं और उनके बैंकिंग डेटा की अतिरिक्त खोज के लिए भुगतान है।

तो, आप नीचे दिए गए पते पर यथासंभव बड़े अक्षरों को भेजकर इसकी मदद कर सकते हैं।

putin.fsb@mailfence.com
putin.fsb1@mailfence.com
putin.fsb2@mailfence.com
putin.fsb3@mailfence.com
putin.fsb4@mailfence.com

just.bro@mailfence.com
kor.bol@mailfence.com
kiano.lok@mailfence.com
jekson.lo1@mailfence.com
laki.kak@mailfence.com

2. एक पासवर्ड रीसेट करके और एक बार मेल सेवा के माध्यम से लॉगिन का चयन करके मेलबॉक्स प्रबंधन को इंटरसेप्ट करना।

सैद्धांतिक रूप से, यदि आप बड़ी मात्रा में कार्य कर सकते हैं, तो पैरा 1 में सूचीबद्ध मेलबॉक्स तक पहुँचना संभव है:
- अस्थायी मेल डॉट ओआरजी में आवश्यक लॉगिन और डोमेन का चयन करें
- एड्रेस मेलफेंस डॉट कॉम पर पासवर्ड रीसेट कमांड भेजें
- टेम्प-मेल डॉट ओआरजी में एक पासवर्ड रीसेट पत्र प्राप्त करें
- मेलफेंस डॉट डॉट कॉम पर लॉग इन करें

चयन के लिए डेटा (जहां * एक या एक से अधिक अक्षर (1-4 लैटिन अक्षर सबसे अधिक संभावना है) उपयोगकर्ता नाम में):

मुश्किल स्थिति:
पासवर्ड रीसेट - putin.fsb1@mailfence.com
एक बार की मेल सेवा - joo*@321-email.com
एक बार की मेल सेवा - joo*@braun4email.com
एक बार की मेल सेवा - joo*@utooemail.com

पासवर्ड रीसेट - putin.fsb3@mailfence.com
एक बार की मेल सेवा - bud*@321-email.com
एक बार की मेल सेवा - bud*@braun4email.com
एक बार की मेल सेवा - bud*@utooemail.com

जाँच करने के लिए केवल एक डोमेन है:

पासवर्ड रीसेट - putin.fsb2@mailfence.com
एक बार की मेल सेवा - kul*@utoo.email

पासवर्ड रीसेट - putin.fsb4@mailfence.com
एक बार की मेल सेवा - bep*@4senditnow.com

पासवर्ड रीसेट - just.bro@mailfence.com
एक बार की मेल सेवा - bbl*@heximail.com

3. वैकल्पिक रूप से, (4-8 अक्षर लंबे) नियमित रूप से दिए गए लॉगिन के नियमित रूप से (सेवा में "हटाएं" बटन पर क्लिक करके), नए लॉगिन से खोजें जो कि kul / bep / bbl / bud / joo पर शुरू होते हैं ।

सॉफ्टवेयर विधियों का उपयोग करके प्वाइंट 3 को लागू किया जा सकता है।

अगर किसी को दिलचस्पी है और डिस्पोजेबल मेल सेवा में लॉगिन करके डेटा की एक बड़ी गणना के माध्यम से कम से कम एक मेलबॉक्स तक पहुंच पा सकता है और उससे ब्लॉक करना बंद कर सकता है - यह अद्भुत होगा।

हम अक्षरों की सामग्री के भाषाई और शैलीगत विश्लेषण पर ध्यान केंद्रित नहीं करेंगे, हालांकि, वर्तनी त्रुटियों और पाठ में कुछ व्यंजन अक्षरों के साथ युग्मित करने के बारे में कुछ सोचना है। हालांकि, यह संभव है कि इस द्वंद्वात्मक को विशेष रूप से समझौते के लिए पाठ में पेश किया गया था।

यह लेख विश्लेषणात्मक विषयों से संबंधित है, मैं आपको टिप्पणियों में संसाधन के नियमों का पालन करने के लिए कहता हूं और आम तौर पर स्वीकृत ढांचे से आगे नहीं जाने के लिए कहता हूं

जनवरी के हमले से उपलब्ध आंकड़ों का विश्लेषण, जिसमें आभासी खतरों को वास्तविक रूप से प्रतिक्रिया करना था

More articles: