Хакер сменил пароль от bitcointalk.org

[Vadi2323]

Предыстория (родственная тема): Безопасность - роутер


Получил 2 письма:

• ссылка на смену моего "забытого" пароля:

  
  Dear Vadi2323,
  
  This mail was sent because the 'forgot password' function has been applied to your account. To set a new password click the following link:
  
  <ссылка>
  
  IP: 173.224.120.147
  
  Username: Vadi2323
  
  Regards,
  The Bitcoin Forum Team.

• пароль изменён, если это был не я, то поменять снова через восстановление забытого пароля:
  

  Dear Vadi2323,
  
  Your Bitcoin Forum (bitcointalk.org) password was just changed by IP address 173.224.120.147 via email recovery. If you did not do this, then you should use the forgotten password feature to change your password.
  
  Regards,
  The Bitcoin Forum Team.

Попробовал войти на форум - пароль действительно не подходит. Сменил через восстановление забытого пароля.

Посмотрел журнал посещений своей почты - там только мой IP, никаких 173.224.120.147.

В настройках почты нет пересылок на другие адреса.

WTF?

[1714183230]

1714183230

[1714183230]

1714183230

[1714183230]

1714183230

[Leksnik]

Ну, запрос на изменение пароля сделали скорее всего с VPN или прокси (адрес 173... штатовский, Сент Луис). А изменили пароль с вашего IP. Получается, кто-то имеет доступ к вашей почте, причём через ваш IP. Интернет через роутер раздаётся? А может кто-то из домашних? Ну, как вариант.

[Vadi2323]

Ну, запрос на изменение пароля сделали скорее всего с VPN или прокси (адрес 173... штатовский, Сент Луис). А изменили пароль с вашего IP. Получается, кто-то имеет доступ к вашей почте, причём через ваш IP. Интернет через роутер раздаётся? А может кто-то из домашних? Ну, как вариант.

Я же написал цитату из письма (см. выше), в письме пишут, что пароль сменили с того же штатовского адреся, т. е. мой ни при чём.

[Vadi2323]

Ну, запрос на изменение пароля сделали скорее всего с VPN или прокси (адрес 173... штатовский, Сент Луис). А изменили пароль с вашего IP. Получается, кто-то имеет доступ к вашей почте, причём через ваш IP. Интернет через роутер раздаётся? А может кто-то из домашних? Ну, как вариант.

Как вариант больше похоже на неаккуратные действия персонала российского почтового сервиса, на котором у меня почта зарегистрирована. Или типа того. А вот что они хотели посмотреть и кто попросил это сделать - вот это уже интересно.

[Vadi2323]

Специализд оперативно откликнулся на мыло с адреса Француа Ешкере francya767@gmail.com . Нужны доступы:

[taikuri13]

Специализд оперативно откликнулся на мыло с адреса Француа Ешкере francya767@gmail.com . Нужны доступы:

А мыло это ушло недавно, 21 февраля

https://i.gyazo.com/6393e54d1aced449c918d487966f2d27.png

https://i.gyazo.com/093d0e3ffc70669679430bf892b82f9f.png

Хороший карьерный рост Две недели назад скупал крипту, а потом вжууух и борьба с терроризмом

Ссылка : https://forum.bits.media/index.php?/topic/10825-%D1%83%D0%B3%D0%BD%D0%B0%D0%BB%D0%B8-%D1%83%D1%87%D1%91%D1%82%D0%BA%D1%83/&page=3

Эщкере, да....

http://www.muzoko.ru/lil-pump/chto-takoe-eshkere-eshhkere

[Vadi2323]

Специализд оперативно откликнулся на мыло с адреса Француа Ешкере francya767@gmail.com . Нужны доступы:

А мыло это ушло недавно, 21 февраля





Хороший карьерный рост Две недели назад скупал крипту, а потом вжууух и борьба с терроризмом

Ссылка : https://forum.bits.media/index.php?/topic/10825-%D1%83%D0%B3%D0%BD%D0%B0%D0%BB%D0%B8-%D1%83%D1%87%D1%91%D1%82%D0%BA%D1%83/&page=3

Эщкере, да....

http://www.muzoko.ru/lil-pump/chto-takoe-eshkere-eshhkere

Ясно. Сдаётся мне, что дальше писать с этого мыла ему ни к чему. Пусть засечёт время )

[taikuri13]

Ясно. Сдаётся мне, что дальше писать с этого мыла ему ни к чему. Пусть засечёт время )

Несколько лет назад угоняли почту через уязвимость секретного вопроса, через мобильную версию меняли пароли, либо же просто скачивали без последствий все, что было в почтовом ящике.
Потом этот баг пофиксили основные русские почтовики.
А вот что происходит с БТТ в этом вопросе - мне не известно.

Мне больше всего не нравится вот эта фраза "via email recovery".
Можно галку поставить в "Сессия только с одного IP-адреса"

ps: У меня нет доверия к российским почтовикам, ни к одному. Лучше что-то надежное, шифрованное и не такое распиаренное, как Протон или Тутанота.

pps: Спасибо за то, что открыли картинки. Мне пока не положено их вставлять

И пароли, связанные с такой русской почтой - могут быть тоже скомпрометированы.

[Topbestr]

Получил 2 письма:

• ссылка на смену моего "забытого" пароля:

  
  Dear Vadi2323,
  
  This mail was sent because the 'forgot password' function has been applied to your account. To set a new password click the following link:
  
  <ссылка>
  
  IP: 173.224.120.147
  
  Username: Vadi2323
  
  Regards,
  The Bitcoin Forum Team.

• пароль изменён, если это был не я, то поменять снова через восстановление забытого пароля:
  

  Dear Vadi2323,
  
  Your Bitcoin Forum (bitcointalk.org) password was just changed by IP address 173.224.120.147 via email recovery. If you did not do this, then you should use the forgotten password feature to change your password.
  
  Regards,
  The Bitcoin Forum Team.

Попробовал войти на форум - пароль действительно не подходит. Сменил через восстановление забытого пароля.

Посмотрел журнал посещений своей почты - там только мой IP, никаких 173.224.120.147.

В настройках почты нет пересылок на другие адреса.

WTF?

Каким-то образом получили доступ к твоей почте, возможно брут, либо дыра почтовика если не популярный почтовик использовал, такой вариант не исключен.
Отдел по борьбе с терроризмом расмешил какой-то школотрон сидит и пытается инфу нарыть, ещё не хватало, чтобы он написал сразу и по делу, у меня завтра выходной в школе, отправьте побыстрее данные от MEW с секретными ключами для проверки

[esmanthra]

Какая-то мутная история. И очень мне не нравится.
Вот запись в логах:
https://s8.hostingkartinok.com/uploads/images/2018/03/622f841b86de505e1fc0c20e7a84eee6.png
С разницей в 6 минут?..

Поиск по форуму что-то не дал результатов. Предположений пока было два: что это все еще аукается взлом 2015-го либо что пароль был слабый. Но тогда странная последовательность: запросил пароль для сброса (фактически, предупредил), потом сменил пароль... Почта, судя по всему, не была взломана. Email не менял, видимо, во избежание блокировки. Ощущение, что есть какая-то закавыка на этапе сброса, что от меня ускользает.

[Vadi2323]

Какая-то мутная история. И очень мне не нравится.
Вот запись в логах:

С разницей в 6 минут?..

Поиск по форуму что-то не дал результатов. Предположение пока было только одно: что это все еще аукается взлом 2015-го. Но тогда странная последовательность: запросил пароль для сброса (фактически, предупредил), потом сменил пароль... Почта, судя по всему, не была взломана. Email не менял, видимо, во избежание блокировки. Ощущение, что есть какая-то закавыка на этапе сброса, что от меня ускользает.

Там форум ссылку формирует и высылает на мыло, типа такой https://bitcointalk.org/index.php?action=reminder;sa=setpassword;u=888888;code=zxcVBNMASD . Иногда получается последние 10 цифр угадать (?)

А борец с терроризмом ни при чём, просто на подсосе, пользуясь случаем. Поймать очередной фэйл ) Это старая история.

[Vadi2323]

С разницей в 6 минут?..

Время по Москве:

20:21 - хакер запросил сброс пароля
20:50 - хакер сменил пароль (типа по ссылке из письма)
20:55 - я запросил сброс пароля
20:56 - я сменил по ссылке из письма

Как раз разница в 6 минут.

[esmanthra]

Иногда получается последние 10 цифр угадать (?)

Да, по левому коду пароль не сменишь (проверено только что на вспомогательном аккаунте), а если бы он мог подсмотреть его где-то, угоны приобрели бы массовый характер. Но угадывать... Это ж должна быть какая-то основа, а не тупо с потолка.

борец с терроризмом ни при чём, просто на подсосе, пользуясь случаем

Боец мог быть просто совпадением. Или взломщик попытался таким образом пошатнуть хрупкое душевное равновесие испуганного пользователя, чтобы по горячим следам выманить данные.:) Но если так, то e-mail ему точно известен.

Как раз разница в 6 минут

Да меня просто удивило, как оперативно Вы среагировали.:)

20:21 - хакер запросил сброс пароля
20:50 - хакер сменил пароль (типа по ссылке из письма)
20:55 - я запросил сброс пароля
20:56 - я сменил по ссылке из письма

Однако же, какой провал во времени между первыми двумя действиями.

[taikuri13]

Да, по левому коду пароль не сменишь (проверено только что на вспомогательном аккаунте), а если бы он мог подсмотреть его где-то, угоны приобрели бы массовый характер. Но угадывать... Это ж должна быть какая-то основа, а не тупо с потолка.

Если предположить, что для кода восстановления пароля существует определенная маска, то тут угадывать придется гораздо меньше.

Боец мог быть просто совпадением. Или взломщик попытался таким образом пошатнуть хрупкое душевное равновесие испуганного пользователя, чтобы по горячим следам выманить данные. Но если так, то e-mail ему точно известен.

Совпадений не бывает (с)

https://rovego.livejournal.com/4400387.html
Если идет целенаправленная атака, то она идет с нескольких сторон.
Все же помнят

"Грузите апельсины бочками"

http://dslov.ru/pos/1/p1_324.htm

Однако же, какой провал во времени между первыми двумя действиями.

А вот здесь по моему мнению все очень логично. Полчаса хватит понять - в сети ли атакуемый или нет. Если реакция идет моментально, то про это забывают. В данном случае - очень повезло, что только 36 минут. И атака, если брать время США  - в утреннее, дневное время.
Кто же знал, что в России 20.50 ?

Отдельное спасибо ТС, так как многие поменяли пароли в результате прочтения этого топика.

[Vadi2323]

Совпадений не бывает (с) к сожалению, не мое. Если идет целенаправленная атака, то она идет с нескольких сторон.
Все же помнят "Грузите апельсины бочками"

А моё - это "кидала должен платить за попытки". В данном случае придётся расстаться с адреском с Гмэйла. Ибо нефик.

Это уже не первое расставание, ещё кое-что недавно было приведено к общему знаменателю "ноль".

Отдельное спасибо ТС, так как многие поменяли пароли в результате прочтения этого топика.

Приятно слышать, но не понял - зачем "многим" пароли менять?

[Vadi2323]

Да, по левому коду пароль не сменишь (проверено только что на вспомогательном аккаунте), а если бы он мог подсмотреть его где-то, угоны приобрели бы массовый характер. Но угадывать... Это ж должна быть какая-то основа, а не тупо с потолка.

Если предположить, что для кода восстановления пароля существует определенная маска, то тут угадывать придется гораздо меньше.

Там по какой-то причине капчу не поставили. А зря.

[taikuri13]

Там по какой-то причине капчу не поставили. А зря.

Эх, да тут вообще есть хоть подобие защиты? Например, если несколько раз неверный пароль при входе набирать делают так, что после нескольких попыток надо часок подождать. Как сделано на БТТ - не знаю.

Приятно слышать, но не понял - зачем "многим" пароли менять?

Ваши слова о том, что такой человек должен быть наказан за такое - вот что действительно приятно и правильно.

Про пароли не сложно, сейчас потерять аккаунт будет очень (я даже слово то не подберу в русском языке, кроме одного) обидно.
А потерять что-то серьезное, типа Хиро или Легенды - это просто жуть. И я не говорю про то, что будет сложно восстановить, а про то, человек такого уровня участвует и в более серьезных проектах. И тут вот такое.
Поэтому и была смена паролей, так как если бы произошло чудо и внезапно я бы стал Сеньором (да, я иногда фантазёр), то увидев такой топик - я бы побежал менять свой 21-символьный пароль на 31- символьный
Да и в логах видно.

[Vadi2323]

Поэтому и была смена паролей, так как если бы произошло чудо и внезапно я бы стал Сеньором (да, я иногда фантазёр), то увидев такой топик - я бы побежал менять свой 21-символьный пароль на 31- символьный
Да и в логах видно.

Дело не в паролях. А в возможности обойтись без ввода оных при взломе. Что толку в 31 символе, когда можно пробовать 10 символов вводить, без спецсимволов, без капчи.

[taikuri13]

Дело не в паролях. А в возможности обойтись без ввода оных при взломе. Что толку в 31 символе, когда можно пробовать 10 символов вводить, без спецсимволов, без капчи.

Тоже верно. Но допускаю, что все-таки некоторые люди регистрировали отдельный ящик для БТТ. И на их месте я побежал не в почту, а именно на БТТ менять.
Думаю, что форум был не готов к ажиотажу и бешеной куче регистраций и надеюсь, что что-то изменится при переходе на новый движок, потому что SMF 2009 это конечно хорошо, но сейчас то 2018-ый

[Vadi2323]

Мануал, как подстраховаться от потери аккаунта: Как прикрепить за собой аккаунт в Bitcointalk