rodneymullen2 blogja

Ez a post nem szülthetett volna meg ha a NAIH annyit ír: "Hibáztunk"
NAIH-12974-4/2024

(Minden leírt adat PUBLIKUS forrásból származik)

Mielőtt azt mondod hogy usereket kezel az oldalt ezért kell adatkezelési fül, elmondom NEM tudsz bejelentkezni se regisztrálni. Nincs userbázis. Ha megpróbálsz bejelentkezni akkor kapsz egy automata levelet hogy nincs még kész a rendszer. Ha a fejed tetejére állsz se tudsz bejelentkezni a nem létező rendszerbe). Logikus ha lenne user kell ezt senki se kérdőjelezte meg. De egyenlőre egy google form felmérés van és ennyi.
És ráadásul amit ír a NAIH az az hogy adathalászat. Innen indult az egész. 

(Reméltem hogy a pár kommentelő eljut eddig ée legalább megnyitja és nem mint a NAIH, de nem így lett. Az továbbra is várom hogy valaki elmondja hol a phishing adathalászat része.)

Hogy is kezdődhetene ez a rövid blogom netalán úgy mint az előző? Mivel semmi se változott 1+ év alatt így tessék jöjjön a bevezetés:
"Picit elegem lett hogy senki nem csinál semmit a mostani Spam campaign ami magyarok ellen megy. Bár értem is a dolgot mert ha lejelented hogy erről meg arról van tudomásod akkor magyarázkodnod kell itthon hogy mit miért hogyan, és a legkevésbé érdekli az embereket maga a bűncselekmény és a lopott kártya adatok."

Néha szoktak unalmas napjam lenni ezért találtam egy csoportot a facebookon ami magyar online csalásokkal foglalkozik. Beléptem és hát elkezdtem embereknek segíteni. (Én hülye)
Annyira sikeres volt hogy az admin bannolt onnan mert hogy én túl sokat tudok és gyanus neki hogy én magam is csaló vagyok. (Ne keresd a mondatban a logikát).
Innen is üdvözlöm a szellemi képességeit az adminnak (Attila), aki próbálta nekem elmagyarázni mint PÉK vagy nem is tudom mi a munkája hogy amit Ő nem ért az törvényt sért és szerinte az adatvédelmi törvényt is sérti.

Na de anno onnan is gyűjtöttem a csalásokat és így ugrottam neki a rendőrséginek:
Ki ne kapott volna a campaignből ahol a magyar rendőrséget hamisítják meg?
~ 2023 november közepe óta megy különböző campaign ami a magyarokat targeteli azzal hogy gyorshajtás vagy parkolási bírság befizetésére kér.

A séma ugyanaz. SMS (Legtöbbször francia számról) -> Kamu rendőrségi oldal -> add meg a kártya adataid -> telegram exfil -> google pay vagy apple pay csatlakoztatása a kártyának -> pénz költés
Használt domainek:

A phishing oldal step by step ha kitöltöd

a lopott adat megy telegramra és ott használják.

Egy kis szerencse és elég sokat meg lehet tudni a csoportban lévő emberekről pl hogy ki az admin (Fontos kiemelni ez csak 1 darab oldalhoz tartozó adatmennyiség!!!Természetesen a többiről is van csak nem akarok untatni senkit.):

• Stolen credit cards: 977
• People in the group: 3
• Admin: zezzzuhq
• Phone number: +32 490 46 21 18 (VIBER positive!)
• Telegram Server: DC4 (Europe server, Amsterdam)
• language code: fr
• Admin IP: 92.184.108.161 | 92-184-108-161.mobile.fr.orangecustomers.net
• Associated date: ???
• User Agent: Safari Mobile | 17.4 | mobile | iOS 17.4

És még egy pici telegram csel és azt is hogy milyen csoportokban van benne az ember:

• FICHA FRANCE 🍑🔞
• @zonedark0 DARKZONE - GROUPE D'ENTRAIDE
• @chezaraxys 🏴 - Chez Araxys
• @ChezDarkSide Chez DARKSIDE 💳
• @chezprofesseur 💳 - Chez Professeur
• @ChezSpleencard Chez SpleenCard 💳 Store FR 🇫🇷
• @fakevisa1 توزيع ارقام وهمية عالميه
• @scammeur75 Local scamming 💳‼️📞
• Rap FR chat
• @CHEZCARDSTONE CHEZ CARDSTONE💳💳💳
• 🏴‍☠️ DARK ZONΞ | GROUPE D'ENTRAIDE 🇫🇷
• Chez CA$H
• @sappam1 𝐒𝐏𝐀𝐌𝐌𝐄𝐑𝐒 💳⚔️
• @scammingshitzz DRAKO STO💳!!

Mivel 99,9%ig biztos vagyok benne a szokásos Franciaországban lévő Moroccoi emberek így egy hogy is mondjam szépen pszichológiai cselt használok. Amolyan kikényszerítem a reakciót hogy leleplezzék magukat.
Így küldök nekik a telegram csatornájukra valami DURVÁT meghökkentőt (>>>>>amitől én is elhatárolódom<<<<) de mindenképp reakciót akarok belőlük kiváltani hogy maguk vallják be a reakcióval hogy kik ők.

És nem is kell több, teli találat hogy kik ők. Igen franciaországban, és igen moroccobol jöttek.  Természetesen ugyanígy megnézem nem csak az admint hanem azokat is akik a csoportba vannak.

Mint rendes polgár aki a pozitív karmáért csinálja ezt természetesen lejelentette. Rendőrség, otp, HUNcert, minden ami kell. 

• Rendőrség visszajelzés minimum 10 próbálkozás után: __________________
• OTP visszajelzés 2 próbálkozás után: _______________ 
• HUNCert visszajelzs első próbálkozás után: "Köszönjük a jelzését, intézzük."

Bár már az előző postás dolgoakt is lejelentettem velük se történt semmi. Ugyanazok az emberek ugyanazt csinálják. Látom aktívak telegramon. Ebbe az a fura hogy EU-ba vagyunk vagy mifene, van Europol és a társa, jogsegély és még rengeteg ilyen fancy szó. Miért nem csinálnak semmit? Értem én hogy nincs idő ilyenre csak politikai dolgokra mert ezek elvesznek a fontos miniszteri fenyegetések mellett amit Marika írt facebookon. 
Most így hasra ütve azért bőőven nem a százas lopott kártyaadatokról beszélünk... meg nem pár ezer. Egyszerűen nem értem mit nehéz megugrani ebben. És ez nem sarcasm, tényleg érdekel mi az akadály.

==========================================================

Fontos hogy ez az ügy nem a Gyerekpornós zsaroló emailes csalás ahol a rendőrség egyik vezetőjét "hamisítják" meg. (Nem mintha abból lett volna valami......)
Az ez volt:

Ahova a pénzt kérték:

A tettes:

• Date/Time    2024-01-16 20:50:25 UTC
• IP Address    102.67.201.230
• Country Ivory Coast, Abidjan
• Timezone    Europe/Paris GMT+1
• User Time    Tue Jan 16 2024 21:50:20 GMT+0100 (heure normale d’Europe centrale)
• Language    fr-FR
• Screen Size    1366 x 768
• User Agent    Mozilla/5.0 (Windows NT 10.0; Win64; x64) AppleWebKit/537.36 (KHTML, like Gecko) Chrome/109.0.0.0 Safari/537.36

(Mielőtt jön majd a kérdés, igen ez is mind le volt jelentve.)

Ezt tényleg értem miért nem lett semmi mert olyan helyen van a tettes hogy nem tudják elérni okés. Értem. De a Franciaországban lévő csalokkal miért nem csinálnak semmit? ki az aki nem végzi a munkáját? Miért nem jó nekik ha megjelenik a nemzetközi hírekben hogy milyen ügyesek voltak? Illetve nincs bennük a logika hogy ha elkapnának egy csapatot akkor azonnal híre menne és kevesebb magyar csalás lenne?
(Megkérdeztem egy rendőr ismerősöm akinek az egyik vezető azt mondta ez nem számít csalásnak ha ellopják a kártyaadatod és nincs feljelentés miatta, és nem tudjuk bizonyítani hogy felhasználták a kártyaadatokat lopásra.
Itt gondolkodjatok el rajta mennyire művelt, helyénvaló és etikus emberekről beszélünk....)
És gratulálok nekik mert most volt pár tényleg tökjó ügy amit megoldottak ha valaki olvasta az Ukrán call centert és társait.

Az hogy az OTP miért nem reagált azt pedig ne kérdezzétek nem tudom. Bizos nagyon elfoglaltak a revolut elleni campaignekkel.

A cikk nem ekézés képpen készült, hanem mint egy constructive bejegyzés hogy ott van 1 karnyújtásnyira a sikerélmény és hogy jót tegyél. Csak meg kéne lépni. Illetve mert szeretném hogy emberek tudják kik akik a hazájukat és őket támadják és próbálják az adataikat és pénzüket ellopni.
Néha olyan érzésem van mint mikor az NKH-val küzd az ember hogy van egy autod ami KIVÉTEL NÉLKÜL az egész világ minden egyes országában legális és forgalombahozható, de van egy fránya kivétel hogy hol nem. Üdv az örszágunkban.

Még egy gyors szerkesztés: Ez a blog adatok mix-éből és ügyek mixéből lett összerakva! Direkt!

(Amennyiben bármilyen szinten a HUP adminja nem találja a cikket kompatibilisnek az oldal tartalmával, vagy valami nem okés mert "túl részletes" akkor a cikk nyugodtan törölhető)

Picit elegem lett hogy senki nem csinál semmit a mostani Spam campaign ami magyarok ellen megy. Bár értem is a dolgot mert ha lejelented hogy erről meg arról van tudomásod akkor magyarázkodnod kell itthon hogy mit miért hogyan, és a legkevésbé érdekli az embereket maga a bűncselekmény és a lopott kártyaadatok.

MVM, POSTA, OTP, NETFLIX, REVOLUT. ? Ugyanaz a séma, és persze van több csoport.

Az utóbbi pár hétben a csapatunk ezzel a cikkel foglalkozott sokat. Én foglalkoztam a kiderítésével hogy ki van mögötte, míg a többi csapattag a malware analysist csinálta.
Nem is akarom bemásolni a teljes cikket ide mert felesleges, inkább csak a linket dobom be illetve pár plusz infot ami nem került bele a cikkben.

A teljes cikk:
https://benkowlab.blogspot.hu/2018/04/sorry-not-sorry-1ms0rry-atsamaz-g…

Alapvetően egyszerű volt megtalálni az embert aki mögötte van, és sokkal több infot össze tudtam szedni mint ami le van írva. Igyekeztük a cikkbe csak azt megírni ami az adott case-hez tartozik.

Note: próbálom úgy megírni a cikket hogy sok képet rakok be, mert ha szöveg van akkor egyből google cache és kereshetővé válik. Ezt pedig én nem szeretném.

Mi az a SATORI Botnet?
https://www.hwsw.hu/hirek/58442/satori-mirai-botnet-dasan-kriptopenz-bi…
http://www.ibtimes.co.uk/what-masuta-hacker-nexus-zeta-behind-satori-bo…
https://thehackernews.com/2017/12/satori-mirai-iot-botnet.html
https://www.darkreading.com/vulnerabilities---threats/satori-botnet-mal…?

"Researchers suspected an unskilled hacker that goes by the name "Nexus Zeta" is exploiting a zero-day remote code execution vulnerability (CVE-2017-17215) in Huawei HG532 devices, according to a new report published Thursday by Check Point."

Az előző részben mutattam pár tippet hogy hogyan lehet sandoxokból, file hosting oldalakról, és még pár oldalról érdekes adatokat összegyűjteni.
Volt közöttük NASA doksitól kezdve, interpol, state.gov és minden amit el lehet képzelni.
Az egész végülis az emberi hülységet exploitálja hogy vannak emberek akik mindent feltöltenek különböző oldalakra, vagy tudás hiányában azt hiszik hogy az jó ha minden felmegy VirusTotalra.

Ez is egy hasonló bejegyzés lesz, kevés szöveg és sok kép. Ebben az esetben egy olyan oldalról kezdtem adatokat összeszedni ami PCAP analízisre van :). Sajnos az oldal még nem annyira befutot így gondoltam hogy nem lesz fent sok érdekes adat, de adtam egy próbát neki.
Próbáltam olyan kereséseket csinálni amivel nagy valószínűséggel ki fog adni olyan PCAP-et amiben van internal kommunikáció. Szóval Kerberosra kerestem, internal IP rangere, vagy SIP-re, syslogra stb.
Persze így is volt közötte ami nem az volt, vagy nem volt benne érdekes adat de azért akadt pár ami megfelelt.

Csak érdekességképpen írom le, illetve mert ilyen gyors fixet szerintem még soha 1 bejelentésnél nem kaptam. Bárcsak mindig így menne, kalapom emelem.

Elsőfontos megjegyzés: amit lehetett azt lejelentettem az adott cégnek. Ahol lehetett közvetlen, ahol nem ott pedig Cyber Intelligence cég által vagy a privát kontaktjaimon át!

Régen azt hívták Dumpster Divingnak Security szempontból mikor olyan adatokat találtál a cégek szemetében amiket nem feltétlen kellett volna.
Mára ez is picit digitalizálódott, így lehet olyan dokumentumokat találni különböző helyeken amire nem is gondolna az ember.
Mikor unalmas óráimat töltöm nézelődni szoktam különböző file sharing oldalakon és sandboxokban hogy miket töltenek fel az emberek. És néha tényleg egészen elképesztő dolgok vannak.
A sanboxokat általában jobban szeretem mert van olyan ember aki konkrétan kb mindent feltölt amit el tudsz képzelni, sőt van olyan aki ezt automatizálja és API-val tölti fel.
Maga a sandbox ugye arra van hogy tesztelje az ember hogy az adott file mit csinál, legyen az malware vagy dropper. Régebben akkor használták csak ha szinte biztosra tudták hogy az adott file egy malware és bedobták sandboxba hogy mit csinál. Mára ez picit kaotikusá vált, boldog boldogtalan tölt fel adatokat.

Csak érdekesség, nem véleménynyilvánítás.

RTLklub.hu, bejelentkezés. Adatok elküldése külsős cégnek:

Textben maszkolva:
https://mobildash.planetoftheapps.hu/i?user_details={"name":"BÉLA","email":"BÉLA@freemail.hu","gender":"M","byear":1999,"custom":{"ASZF":"Yes","Plan to Purchase":"True","Birthdate":1999}}&app_key=111111111111111111&device_id=BÉLA@freemail.hu&sdk_name=javascript_native_web&sdk_version=16.12&timestamp=1232121321&hour=0&dow=3

RTLKlub felhasználási feltételek: http://rtl.hu/felhasznalas
"személyes adat:
az érintettel (a továbbiakban: „látogató”, „érintett”, „ügyfél”) kapcsolatba hozható adat - különösen az érintett neve, azonosító jele, valamint egy vagy több fizikai, fiziológiai, mentális, gazdasági, kulturális vagy szociális azonosságára jellemző ismeret -, valamint az adatból levonható, az érintettre vonatkozó következtetés."

Nagyon rövd cikk lesz. Már jelentettem a Szlovén GOV CERT-nek.
Hash amiből jött az investigation: a223e649a79fda3b17666352df9e01fd06acf5a0ccafab5995192376eef01fe4
Ide installálja magát: C:\Users\2pn7TAw\AppData\Roaming\l84u.exe
Ide mennek a lopott adatok: petrollimex.com/WebPanel/api.php
Hogy nézett ki amire a victimek klikkeltek:

Nem akarom részletezni a malware-t mert semmi extra nincs benne, és látszik csak egy béna emberke aki össze kattintotta az egészet.
Na de lássuk milyen adatokat sikerült ellopnia:

Mint azt ígértem lesz egy ilyen cikk is. Nem is feltétlen nevezném hackernek hiába ment be jópár céghez és küldött ki virusok százaiz, csak a kíváncsiság volt bennem hogy mégis mit csinálhat egy ilyen ember. És meglepő de ezt a hibát elég sokan elkövetik ami a következő leírásban lesz.

Nem is szeretném leírni hogy milyen mintából indultam ki és a felesleges dolgokat. Inkább csak arra próbálok koncentrálni hogy mit csinált és hogyan, illetve ha vannak kisebb "trükkök" hogy lehet több infot megtudni dolgokról.

Ebben az esetben az adott domainen WhoisGuard volt. Itt annyi cselt használtam hogy nem csak a mostani bejegyzést néztem meg hanem a régebbieket is. Szóval whois history. Sajnos elég sokan ezt elfelejtik, illetve itt is benne van hogy lehet más ember regisztrálta újra, ergo bizonyítani kell hogy ez ugyanaz az ember mint eki előtte regisztrálta a domaint.
Elkezdtem adatokat lekérni az adott domainre hogy volt e esetleg ide menő forgalom ami érdekes lehet, vagy esetleg használták e mint C&C server, vagy bármi más ami info lehet.
Megcsináltam a tipikus régebben leírt dolgokat hogy van e más domain regisztrálva általa, social network footprinting és így tovább.
Egész sok malware mintát átnéztem ami az adott domainhez csatlakozott, és logolt be. Illetve találtam hotmail phishinget is az oldalán.

Ez is egy régebbi eset lesz amiről most írni fogok. Egy Navy Federal Phishing oldalról lesz szó.

Ebbe az esetben a phishing emailben eyg short URL link volt: bit.ly/29omxTa. A short URL-eknél van egy kis trükk hogy ha '+' jelet raksz a végére akkor egész sok megmutatja a statisztikát róla és kiderül mennyien s mikor kattintottak rá. Ez most egy friss kép:

Itt látható hova irányított át, viszont onnan tovább irányított egy másik oldalra ami a phishing oldal volt. Ez sokszor bevett szokás hogy nem közvetlen oda irányítanak. A profibb phisherek ezt azért csinálják hogy szűrjék az embereket, ergo csak az fog tudni az oldalukra menni aki ezen a domainen át ment. Szóval validálják az http referert. Bár ez ritka, de célzott phisheléseknél elő szokott fordulni.

Ebben az esetben nem volt meg a phishing KIT, viszont ide nem is úgy jött fel a phisher mint az előző példámnál. Találtam két webshell-t is az oldalon és azon át néztem meg hogy hova küldi az ellopott adatokat. Nem is értem minek használt kettőt, lehet már más is járt ott előtte.

Itt ugye több info is van, elsőnek hogy hova küldte el a lopott adatokat illetve hogy van egy megjegyzés hogy milyen "Cyber Army" tagja a webshell készítője. Ez persze nem jelenti azt hogy az elkövető is tagja, de ettől még információ ami lehet hasznos lehet később.
Mint látható a logban, szerepel benne 2 email cím a $send alatt és van egy ami csak mint megjegyzés, vagy esetleg valaki szignója. Most nem akarok belemenni hogy a 'b13x1' és a 'box13.rezult' az eléggé hasonlít egymásra hogy lehetséges ugyanarról az emberről beszélünk.
Mivel 3 email cím van mind a hárómról a szokásos OSINT, facebook, skype, google+, yahoo, google, stb stb.. Ami van azt végignézed. Mivel az email cím neve is elég egyedi így az is elég jó keresési pont, még akkor is ha van esély arra hogy az false útra visz. Így is úgy is meg kell nézni hogy van e rá eredmény szóval én így is tettem. Nem elfelejteni hogy mindig keresünk a publikus postok között is hisz ez is nyom lehet, és ebben az esetben az volt az egyik fő pont:


Mondjuk a neve fake az látható de ettől függetlenül visszajött pár érdekes adat hogy miket csinál, illetve az email címe is mint kontakt info. És persze van a profilja amit át tudunk nézni hogy ki postolta ezt. Itt találhatunk a srácról képet (lehet nem saját képei hanem másé, bár nekem elég valósnak tűnnek reverse image search se találta meg őket) illetve pár olyan kép ami elég árulkodó lehet. De kitakarom mivel nem 100%os validáció.


Ezeken a képen több info is van számunkra, a legelsőn a böngészőből nem takarta ki a live-os email címét, szóval azonnal egy plusz nyom. Illetve látható spammel és van egy másik nickje is. A spammerbe amit kiküld épp linkedin phishinget küld ki ha jobban megnézzük, az email és a html szöveg is eről árulkodik.
Na de menjünk tovább hisz van egy új email címünk, keressünk erre is pontosan úgy mint eddig. És gyorsan lesz is egy találat:

Illetve használjuk a password reminder cselt, és ez ki is dobja hogy a 2 email cím összefügg hisz az a backup emailje, illetve kiad egy újat amiről nem tudjuk hogy mi. De az első nekünk már elég, ha kiegészítjük a hiányzó részt akkor az Ő email címét adja vissza.

És akkor egy összegzés, a valószínűsíthető adatokról. Több képet nem akartam már beszurni hogy Ő miért tagja az Error 404 black teamnek az is ugyanígy kijön a keresésekkel. Valami másra akarok koncentrálni amit leírtam egy régebbi cikkemben.

Mint látható megjelöltem 2 ismerősét akik érdekesebbek lehetnek. Ugyanazt a "2 gyűrűs" módszert használtam amit már leírtam. Ismerőseinek az ismerőseit is megnéztem. Szóval volt pár nap.

Szóval az egyik érdekes ismerőse, az első képen összeszedve hogy mennyi oldalt deface-elt, Nick neve, hova van hozzáférése. Aztán egy kis SQLi bemutató és egy balance a végére amiről nem tudjuk vlaid e. Szerintem azért elég ígéretes.
És a másik érdekes ismerőse akik épp egy botnet controllert tesztel illetve a nickjére azért van több találat is.

Mai nap jött a hír hogy "Komoly biztonsági incidens egy magyar kormányzati informatikai rendszerben".
Hát a címet nem kommentelném mert aki írta gondolom nem értelmezte azt amit talált.

Pár perc keresgélés után meg lehet találni azt amiről ők írnak, de a twitter pastebin bot is kidobta és ki is tweetelte. Illetve psbdmp.ws is összeszedte és kategórizálta.
Nem linkelem be közvetlen mert aki akarja megkeresi, illetve ha linekelem tuti lesz olyan aki azt írja hogy ez full topsecret info és jajj.
Szóval több kérdés is felmerül, ki csinálta? Miért csinálta? Honnan lopta? Milyen adatok?

Valamelyik nap unatkoztam és gondoltam megpróbálok megint megkeresni valakit aki rosszat csinált. Kiindulási pontom megint az rghost.st volt, itt általában elég sok dolog van fent amivel lehet mit kezdeni. Így futottam bele ebbe ami azóta sajnos már töröltek: (http://rgho.st/82XjjKQ6T)

Mint látszik ez egy bank phishing collection. Van benne minden amit éppen talált az ember. Mikor átnéztem a kódokat egy email cím volt ami jó nyom lehetett illetve egy nick.

Az email cím alapján gyorsan le is jött hogy van egy facebook regelve az email címmel, illetve még skype is volt mellé. A profil neve "Albert Hexor" volt, nem tudom valódi e de annyira ne mis érdekelt. Elkezdtem átnézni a facebookját mik vannak fent.

Igen jól látod a srác feltöltött egy screenshot-ot a mailboxbol ahova gyűjti az adatokat phishingből. Igen ez tök béna dolog mert minek tölti fel? Mondjuk mivel látszik kamu profil így gondolom csak a hírnév van mögötte hogy szeretne menő lenni ismerősök között stb... Az emailben amiket kapott látszik hogy valakinek benne van a nickje aki a phishing kit-et csinálta anno. Ezt bele szokták írni mert elvileg ez jó hírnév. Viszont amit észrevettem hogy van valaki aki kommentelt a képhez pont ezt kiemelve. Nem is kellett több átnéztem az Ő profilját is mik vannak fent. Eleve a facebook nickje megegyezett azzal ami a phishing kit-ben van.

A nick mivel elég egyedi össze is gyűjtöttem pár infot róla zone-h.org on van 3 deface-mentje is (nem mintha nagy szám lenne). Itt van pár kép még fent amik érdekesek:


Na de most gondolod ezeket hogy találtam hisz nincs is fent a profilján? Itt én egy kis cselt szoktam alkalmazni ami régen mondjuk jobban működött de sajnos facebook azóta csiszolta.
A lényege hogy ha US settings-el használod a facebookot akkor kapsz egy olyan opciót hogy tudsz keresni fotóra külön. (Lehet azóta már implementálták más régióra is).
Ezt úgy kell elképzelni hogy én postolok a facebookra egy képet és megjelölöm rajta a Bélát. Béla üzenőfalára kikerül a kép mint "Photos of you". Béla leveszi ezt az üzenőfaláról mert nagyon ciki kép és nem akarja hogy más is meg tudja nézni. De hiába veszi le a faláról a kép feltöltése nem általa történt szóval nem az Ő beállított szabályai alá fog kerülni a kép, hanem annak a beállításait fogja használni aki feltöltötte. Na és én pont ezt használtam ki ezzel a kereséssel! Olyan képekre kerestem amiket róla töltöttek fel vagy be van rajta jelölve de még sincs rajta a profilján. Ha nem hiszed el próbáld ki valaki profilján. Vannak limitációji mint pl sajnos nem egyedi ID alapján keres hanem text alapján. :( Szóval ha Kovács Bélára keresel így akkor az nem biztos hogy sikeres lesz. Illetve az arra is vonatkozik ha valaki postolt valamit egy csoportba ami publikus akkor onnan is kikeresi a textet. Szóval látod a képen hogy az egyik az egy post a "Random Anonisma" csoportba ahol épp eladni próbálja a phishing oldalait. De legyen konkrét példa egy másik spammer-ről ahol ez elég látványos:
URL https://www.facebook.com/chblf

Ez csak egy rövid bejegyzés lesz mivel az előző részbe belefért elég sok dolog.

A lényege az lenne ennek a résznek hogy sokszor nem olyan egyszerű mint ahogy látszik. Így hogy leírtam lépésről lépésre úgy tűnik mintha mindig jó helyre nyúlt volna az ember, mindig jó helyen kereste volna az adatokat, és pontosan azt találta volna meg amit kellett. Azt azért tudni kell hogy sokszor kerül az ember zsákutcába és nem talál infót, aztán egyik napról a másikra eszébe jut valami új dolog hogy hogy lehetne még keresgélni. Van mikor hetek/hónapok is eltelnek mire meglesz az ember, de ami még többször van az az hogy egyszerűen nem találod meg azt akit keresel. Sajnos ez a dolog ilyen, nem tudsz mindenkit megtalálni, sőt a negyedét se az adott eseteknek. Mindig lesznek nálad okosabbak vagy szerencsésebbek.

Aki nem olvasta az előző részt annak ajánlom, mert lesz pár dolog amire hivatkozni fogok. https://hup.hu/node/157320

Ebben a részben megpróbálunk a phisherek elé kerülni mielőtt még a támadást indítják. Ez az én logikám és ahogy csináltam.

Hogy lehet ezt megelőzni vagy legalább előttük járni? Próblájunk azokra koncentrálni akik a cégünk customerjeit akarják támadni, hogy fog phishleni?
Nagy valószínűséggel létrehoz egy hasonló domaint mint az eredeti szóval példának: ha van cégünk www.belabankja.com akkor le kellene kérdeznem minden olyan domaint ami hasonló.

Itt nézhetünk Entropy távolságokat a mi domainünktől. Szóval ezek körül bármi lehet:

www.belabankja.top
www.b3labankja.com
www.belabankja.tw
www.bela8ankja.com

https://12043493396308891114[.]googlegroups[.]com/attach/80bbc4a0f6aa8/rootbyte.html?part=0.1&view=1&vt=ANaJVrHr8Pktu-elvUZr1oxU9zHkpQWMMI7Eg2vJUIcw-WQEttiXR8ljepBdyNeqKh7Y3jxcwS81s00v8PWoEJ5Cz3C8klVf0sqFQZrnoF5QlE65K6-9svo

Ez picit komplexebb valakinek, van akinek meg alap dolog. A story lényege az hogy anno eldöntöttem hogy sokat fogok phishingel foglalkozni és próbálok valami olyat csinálni amit eddig mások kevesen. Mert hogy is néz ki egy mai phishing solution? Fogod blokkolja a levelet és blokkolja az URL-t ennyi. Ebből hogy tudsz valami olyat csinálni ami látványos is és felfigyelnek rá.
Az én megoldásom ez lett:

Elkezdtem az elejétől végéig átgondolni hogy néznek ki a phishing támadások, fogtam és mindent lemodeleztem. Mindent megcsináltam én magam is élőben, nem tesztkörnyezetben. Igen regisztráltam kamu domain, igen leklónoztam oldalt, és igen linkedin-ről generáltam le a targeteket vagy free email listából.
Szóval nálunk eleve működött a cégnél egy nagy email solution ami azt csinálta hogy minden bejövő levélben átírta a linket egyedire, és ha a linkre kattintottál akkor tudták hogy ki volt aki azt az URL-t megnyitotta.

Ezek közül egyik sem lett jelentve senkinek. (csak MMC de az lényegtelen)

A következő pár sorban ismét gyerekekről lesz szó akik nem tudják mit tesznek, vagy nem tudják milyen következménye van dolgoknak. Elvégre accountot lopnak el amiért más pénzt fizetett.
Mivel nagyon népszerű a minecraft és rengeteg fiatal játszik vele ezért pár fiatal elkezdett trollkodni vele és megpróbálják egymás jelszavát vagy mások jelszavát ellopni. Bevallom őszintén én soha nem hallottam az MCMester-ről míg nem találtam rengeteg infostealert ami ezeket a jelszavakat lopja el.
Példa:

2017 3. negyedében jelentettem ezt a HUN-CERT-nek.
Nem, nem akartam jeleteni mert a következő leírásban egy fiatal diákról lesz szó aki rosszat csinált, amivel nem lenne baj mert mindenki hibázik. Sajnos azonban mások adatait is publikusá tette így nem volt más esélyem mint jelenteni. Ha pedig értesz ezekhez a dolgokhoz kérlek ne írd le kommentben hogy kiről szól a cikk.

Egyik nap belefutottam egy magyar malware mintába, csodálkoztam is mert azért ritkán jut át a kezeimen magyar malware. (később írni fogok még pár új mintáról)
A sample: 628ab51775d21b09a3c7571cc52ced4eba650ad23c3788e497e4693f60ea84b0; Nvdia driver.exe

Mivel mindenki olvasta az index cikket ami ebben a formában jelent meg (2017.12.08): https://index.hu/tech/2017/12/08/hatalmas_biztonsagi_res_tatong_a_magya…

Ez a biztonsági hiba jelentve lett már Szeptember 5.én, de válasz természetesen nem jött a levélre. Aztán az index felkapta a dolgot mert más is észrevette a hibát.
A posta.hu ideiglenesen megoldotta a hibát azzal hogy mindenki aki Safari user agentel nézi meg az oldalt annak "letiltották" a nyomkövetést és a főoldalra irányították vissza.

Mi volt a hiba? Ha a nyomkövetésnél lekérted a csomagod adatait akkor kidobta a csomagod adatait ergo Work as Designed. Viszont ha nyomtál rá egy frissítést (F5) akkor automatikusan átdobott egy másik valid csomaghoz és az adataihoz. Ez csak MAC/SAFARI usereknél jött elő. Még egyelőre nem tudni hogy miért csak náluk. Windows-on Safarival nem sikerült reprodukálni, amivel viszont tesztelve volt és ment: MacOS High Sierra / Safari Version 11.0.2 (13604.4.7.1.3).

Invitel Webmail XSS 2016.05.22.én jelentve, aztán 2017 decemberében. 2017.12.29 sikeres javítás.

hXXps://webmail.invitel.hu/login/?user=%22%3E%3Csvg/onload=prompt%28/fail/%29%3E