Хакване на Twitter

Преди няколко дни в платформата Twitter от името на проверени акаунти, включително: Apple, Uber, Changpeng Zhao (Binance), Vitalik Buterin (Etherium), Charlie Lee (Litecoin), Elon Musk, Barack Obama, Joe Biden, Bill Gates, Джеф Безос и други - бяха публикувани съобщения с адреса на биткойн портфейл, в който измамниците обещаха да удвоят сумите, преведени в този портфейл.

Оригинално съдържание на съобщението: „Чувствам се благодарен за удвояването на всички плащания, изпратени до моя BTC адрес! Вие изпращате 1,000$, аз връщам 2,000$! Правя това само през следващите 30 минути."

Превод: „Ще се радвам да удвоя всички плащания, изпратени до моя BTC адрес! Ако изпратите $1000, аз ще изпратя $2000! Но само за следващите 30 минути."

В момента (17 юли) адресът на измамниците е беше попълнено за 12.8 BTC (≈ $117 000), 392 транзакции бяха завършени с негово участие.

Очевидно атаката е била извършена от нападатели, тясно свързани с общност, специализирана в SMS spoofing атаки, насочени към компрометиране на двуфакторното удостоверяване(измама със смяна на SIM). И така, малко преди масовата поща в Twitter, на уебсайта https://ogusers. com е публикувано съобщение, чийто автор е продадени имейл адрес на всеки акаунт в Twitter за $250.

Малко по-късно някои акаунти със „забележителни“ адреси бяха хакнати; един от първите такива акаунти беше акаунтът @6 на „бездомен хакер“, който почина през 2018 г. Адриана Ламо. Достъпът до акаунта беше получен с помощта на административни инструменти на Twitter чрез деактивиране на двуфакторно удостоверяване и подправяне на имейл адреса, използван за нулиране на паролата.

Акаунтът @b. е откраднат по същия начин. Откраднатият акаунт в Twitter и административните инструменти бяха заловени На тази снимка. Всички публикации в самата платформа със снимки на администраторски инструменти са изтрити от Twitter. Налична е разширена снимка на админ панела тук.

Един потребител на Twitter, @shinji (вече блокиран), публикува кратко съобщение: „следвайте @6“ и също снимка администраторски инструменти.

Архивираните записи на профила @shinji бяха запазени малко преди хакерските събития. Те са достъпни на тези връзки:

• https://archive.vn/Abr3l
• http://archiveiya74codqgiixo33q62qlrqtkgmcitqx5u2oeqnmn5bpcbiyd.onion/Abr3I
• http://archive.is/YGS0T
• http://archiveiya74codqgiixo33q62qlrqtkgmcitqx5u2oeqnmn5bpcbiyd.onion/YGS0T

Същият потребител притежава „забележителните“ акаунти в Instagram - j0e и мъртъв:

• https://www.instagram.com/j0e/
• http://rlp5gt4d7dtkok3yaogocbcvrs2tdligjrxipsamztjq4wwpxzjeuxqd.onion/u/j0e
• https://www.instagram.com/dead/
• http://rlp5gt4d7dtkok3yaogocbcvrs2tdligjrxipsamztjq4wwpxzjeuxqd.onion/u/dead

Одобреноче акаунтите j0e и dead принадлежат на прословутия SMS измамник „PlugWalkJoe“, който е заподозрян в извършване на големи SMS spoofing атаки в продължение на няколко години. Твърди се също, че той е бил и може все още да е член на групата за SMS измами ChucklingSquad и вероятно е участвал в хакване на акаунта на изпълнителния директор на Twitter Джак Дорси миналата година. След това акаунтът на Джак Дорси беше хакнат SMS spoofing атаки на AT&T, същата група “ChucklingSquad” е отговорна за атаката

Извън мрежата на PlugWalkJoe очевидно е 21-годишният британски студент Джоузеф Джеймс Конър, който в момента е в Испания без възможност да напусне поради ситуацията с COVID-19.

PlugWalkJoe беше обект на разследване, по време на което беше нает следовател, за да установи контакт с обекта. Следователят успя да установи видео връзка с обекта, преговорите се водеха на фона на басейн, снимка който по-късно беше публикуван под името на Instagram j0e.

Между другото, има доста стар акаунт в minecraft plugwalkjoe.

Забележка: Разследването не е приключило. Докато разследването не приключи, никой не трябва да бъде заклеймяван, тъй като е възможно @shinji да е просто фигура.

Първото злонамерено съобщение, което стана широко известно, беше публикувано на 15 юли в 17:XNUMX UTC от името на Binance, то имаше следното съдържание: „Партнираме си с CryptoForHealth и връщаме 5000 BTC.“ Съобщението съдържа връзка към сайт за измама, който приема „дарения“. Скоро той беше публикуван на официалния уебсайт на Binance опровержение.

Според поддръжката на Twitter, „Открихме координирана социална инженерна атака срещу нашите служители с достъп до вътрешни инструменти и системи. Знаем, че нападателите са използвали този достъп, за да завземат контрола над популярни (включително потвърдени) акаунти, за да публикуват съобщения от тяхно име. Продължаваме да проучваме ситуацията и се опитваме да определим какви други злонамерени действия са били извършени и до какви данни може да са имали достъп.

Веднага щом разбрахме за инцидента, незабавно спряхме засегнатите акаунти и премахнахме злонамерените съобщения. Освен това ограничихме функционалността на много по-голяма група акаунти, включително всички потвърдени акаунти.

Нямаме доказателства, че потребителските пароли са били компрометирани. Очевидно потребителите не са задължени да актуализират своите пароли.

Като допълнителна предпазна мярка и за да гарантираме безопасността на потребителите, ние също така блокирахме всички акаунти, които са се опитали да променят паролата си през последните 30 дни."

На 17 юли службата за поддръжка публикува нови подробности: „Според наличните данни приблизително 130 акаунта са били по някакъв начин засегнати от нападатели. Продължаваме да проучваме дали непубличните данни са били засегнати и ще публикуваме подробен доклад, ако случаят е такъв.“

Междувременно Twitter споделя падна с 3.3%.

Източник: linux.org.ru