![](https://habrastorage.org/webt/9i/0f/ph/9i0fphwieidaj5zcyevkyaxrkgo.jpeg)
В прошлые годы проводились централизованные атаки с использованием IP-телефонии, теперь новый виток, но уже с использованием электронной почты. Проанализируем доступные электронные данные по этой атаке.
Обновлена информация на 01.02.2019.
![](https://habrastorage.org/webt/l1/e5/xj/l1e5xjmfs_-o3zx8gozr8zm0ddu.jpeg)
Проблема:
2017 год: «Анонимность звонка обеспечивается тем, что злоумышленник, используя IP-телефонию, может подставлять любой номер звонящего, в том числе номера реальных непричастных абонентов из любой точки мира. Эта возможность IP-телефонии затрудняет работу силовиков. Подключение голосового шлюза IP-телефонии к сетям операторов связи часто происходит нелегально, с подменой номера звонящего, IP-адресов и прочих идентификаторов»
2019 год: По информации пресс-служб администраций и от персонала лечебных учреждений и школ разных областей и городов, на их электронную почту приходили сообщения с угрозами и требованием выполнить определенные действия.
Правоохранительные органы совместно с органами исполнительной власти начинали действовать в соответствии со своими полномочиями, что означало проверку каждого сообщения.
В учреждениях, которые значились в тексте писем, начинались проводиться экстренные мероприятия.
Ни один из фактов по полученным угрозам не подтвердился, работа учреждений возобновлена в полном объеме.
Исходные данные:
Попробуем абстрагироваться от ситуации в целом и пройтись по пунктам из некоторых опубликованных в открытом доступе электронных писем, фото которых представлены ниже.
![](https://habrastorage.org/webt/tx/cq/cy/txcqcyxfd4irts8b4mr9i31rvw0.jpeg)
![](https://habrastorage.org/webt/ou/b8/zv/oub8zvbe0nrcqfps3btifeulkue.jpeg)
![](https://habrastorage.org/webt/t7/sm/5o/t7sm5ob4l5sidrmvwkjoyjnlyy8.jpeg)
![](https://habrastorage.org/webt/gg/6o/yj/gg6oyjrghobxrbhldfwchb029uc.jpeg)
![](https://habrastorage.org/webt/kv/kl/zo/kvklzowg_xja0by_wrd6htavo9a.jpeg)
![](https://habrastorage.org/webt/yn/pl/z_/ynplz_n9kms9trtbgvhgaf5rfxa.jpeg)
Данных по информации по «служебным заголовкам» в письмах нет.
![](https://habrastorage.org/webt/tx/cq/cy/txcqcyxfd4irts8b4mr9i31rvw0.jpeg)
![](https://habrastorage.org/webt/ou/b8/zv/oub8zvbe0nrcqfps3btifeulkue.jpeg)
![](https://habrastorage.org/webt/t7/sm/5o/t7sm5ob4l5sidrmvwkjoyjnlyy8.jpeg)
![](https://habrastorage.org/webt/gg/6o/yj/gg6oyjrghobxrbhldfwchb029uc.jpeg)
![](https://habrastorage.org/webt/kv/kl/zo/kvklzowg_xja0by_wrd6htavo9a.jpeg)
![](https://habrastorage.org/webt/yn/pl/z_/ynplz_n9kms9trtbgvhgaf5rfxa.jpeg)
Данных по информации по «служебным заголовкам» в письмах нет.
Анализ данных:
Все электронные письма были отправлены путем использования бесплатного почтового сервиса mailfence dot com, позиционирующего себя как «защищенный и конфиденциальный сервис электронной почты.»
В данный момент некоторые провайдеры в РФ ограничили доступ к этому сервису.
Попытаемся зайти на этот сервис и зарегистрироваться. Получаем вот такой отказ:
![](https://habrastorage.org/webt/hg/vn/lh/hgvnlhdrnanlwi7toeaxgcvdc04.jpeg)
С использованием VPN-плагина можно зайти немного дальше и пройти регистрацию:
![](https://habrastorage.org/webt/mh/4e/o0/mh4eo0tcijivrg51-a4wxmk1hzc.jpeg)
Однако, нас тут ожидает вот такой выбор из возможных адресов электронной почты.
![](https://habrastorage.org/webt/9t/or/wm/9torwmsep65obaoampkpxv0crww.jpeg)
Таким образом, есть подозрение, что электронные адреса, которые использовались в атаке, были достаточно давно созданы в этой системе, когда была такая возможность ранее выбрать другое имя домена. Это означает, что атака была не спонтанная, а адреса намного ранее были созданы некоторым пулом.
А зачем нам нужно создавать почтовый ящик в этом сервисе?
При регистрации нужно указать свой работающий электронный адрес, на который пришлют ссылку на подтверждение регистрации в сервисе.
Далее, проверяем, как происходить процесс сброса пароля в этом сервисе.
Enter your username and/or your e-mail address:
Вводим после имя пользователя или электронную почту (в тестовом случае у нас mail.ru) и получаем:
To reset your password, an e-mail was sent to:
sin***@***mail.ru
Таим образом, мы можем узнать первые три символа имени пользователя и последние 5 символов почтового домена второго уровня. (спасибо michaelkl за комментарий!)
Причем, при запросе сброса пароля можно указать имя пользователя или электронную почту.
А по данным адресов с отправленных электронных писем, при запросе сброса пароля можно указать только электронную почту.
![](https://habrastorage.org/webt/1x/gj/ri/1xgjrifk-4qllxwb_u8d9yydjuu.jpeg)
putin.fsb2@mailfence.com
To reset your password, an e-mail was sent to:
kul***@***utoo.email
![](https://habrastorage.org/webt/jp/jl/dv/jpjldvks0mycszvy8uksvewbxwm.jpeg)
just.bro@mailfence.com
To reset your password, an e-mail was sent to:
bbl***@***imail.com
Единственная ниточка ведет на gmail.com:
![](https://habrastorage.org/webt/y2/lb/un/y2lbunsvub-4mdjwp9yvjn5a9ng.jpeg)
kor.bol@mailfence.com
to reset your password, an e-mail was sent to:
vov***@***gmail.com
Тут искать полный адрес можно, но долго:
![](https://habrastorage.org/webt/xu/fp/iu/xufpiu2d3icy_vhh1mgrx7dv8ne.jpeg)
Этот адрес, кстати, выбивается из всего списка именно тем, что имеет связь с gmail.com.
Еще один адрес там же:
kiano.lok@mailfence.com
To reset your password, an e-mail was sent to:
put***@***gmail.com
Есть подозрение, что это имитатор, как вариант, который на волне рассылок тоже внес вклад свой, но с корыстными целями, чтобы в суматохе событий совершить на месте свой злой умысел (кража, удаление данных, когда никого нет рядом и прочее).
Далее, если где-то в адресе есть цифры, то, немного их меняя или убирая, мы можем проверить еще такие адреса:
putin.fsb@mailfence.com
To reset your password, an e-mail was sent to:
poc***@***cloud.info
putin.fsb1@mailfence.com
o reset your password, an e-mail was sent to:
joo***@***email.com
putin.fsb3@mailfence.com
To reset your password, an e-mail was sent to:
bud***@***email.com
putin.fsb4@mailfence.com
To reset your password, an e-mail was sent to:
bep***@***itnow.com
Таким образом, можно ожидать еще получения писем с этих электронных адресов.
И тут все же для регистрации в mailfence дот com использовался сервис temp-mail точка org,
![](https://habrastorage.org/webt/nn/vg/sv/nnvgsvs0v7msvoxg-j2uzukrrye.jpeg)
В итоге, два почтовых сервиса разных использовалось в восьми электронных адресах.
Дополнение: новые письма так же приходят с бесплатного почтового сервера mail dot bg.
jekson.lo1@mailfence.com
o reset your password, an e-mail was sent to:
pet***@***mail.bg
Как же выбирались жертвы для атаки, судя по спискам адресатов видно, что адреса копировались с сайтов госучреждений или «вбивались» вручную, ведь эти данные есть в открытом доступе.
Диапазон одновременных получателей в письмах (2-6-10) небольшой, чтобы почтовые серверы не ограничили рассылку и письма не попадали в папку «Спам».
Отрывки из служебных заголовков:
Received: from wilbur.contactoffice.com (wilbur.contactoffice.com [212.3.242.68])
(Client certificate not present)
Return-Path: putin.fsb3@mailfence.com
domain of mailfence.com designates 212.3.242.68 as permitted sender,
rule=[ip4:212.3.242.64/26]) smtp.mail=putin.fsb3@mailfence.com; dkim=pass
DKIM-Signature: v=1; a=rsa-sha256; c=relaxed/simple; d=mailfence.com;
X-Priority: 3
Reply-To: Putin FSB <putin.fsb3@mailfence.com>
From: Putin FSB <putin.fsb3@mailfence.com>
X-Mailer: ContactOffice Mail
X-ContactOffice-Account: com:188677102
(Client certificate not present)
Return-Path: putin.fsb3@mailfence.com
domain of mailfence.com designates 212.3.242.68 as permitted sender,
rule=[ip4:212.3.242.64/26]) smtp.mail=putin.fsb3@mailfence.com; dkim=pass
DKIM-Signature: v=1; a=rsa-sha256; c=relaxed/simple; d=mailfence.com;
X-Priority: 3
Reply-To: Putin FSB <putin.fsb3@mailfence.com>
From: Putin FSB <putin.fsb3@mailfence.com>
X-Mailer: ContactOffice Mail
X-ContactOffice-Account: com:188677102
Рекомендации:
Системным администраторам учреждений, по возможности, чаще проверять электронную почту, создать фильтр для писем из «mailfence dot com» в отдельную папку и сразу сообщать о них, согласно своих должностных инструкций, сохранять служебные заголовки и все данные для дальнейшего анализа.
Тактика:
Так же вопрос – почему так много используется электронных адресов в рассылках?
Ответ прост – ахиллесова пята используемого сервиса – это монетизация услуг и возможность регистрации через одноразовые почтовые ящики (сервис одноразовой почты).
1. Так что, скорее всего, все аккаунты, используемые для рассылки, сейчас на бесплатном плане, который включает в себя только 500 MB emails.
Если этот ящик «закидать» сообщениями с вложениями и переполнить, то его сначала придётся чистить, чтобы совершить далее рассылку. Платные планы – это уже оплата услуг и дополнительное открытие своих банковских данных.
Так что, Вы можете помочь в этом, отправив по адресам ниже как можно объемнее письма.
putin.fsb@mailfence.com
putin.fsb1@mailfence.com
putin.fsb2@mailfence.com
putin.fsb3@mailfence.com
putin.fsb4@mailfence.com
just.bro@mailfence.com
kor.bol@mailfence.com
kiano.lok@mailfence.com
jekson.lo1@mailfence.com
2. Перехват управления почтовыми ящиками с помощью сброса пароля и подбора логина через сервис одноразовой почты.
Теоретически, существует возможность получить доступ к почтовым ящикам, приведенным в п.1, если получится выполнить большой объем действий:
— подобрать нужный логин и домен в temp-mail точка org
— послать команду сброса пароля на адрес mailfence дот com
— получить письмо о сбросе пароля в temp-mail точка org
— зайти на аккаунт в mailfence дот com
Данные для подбора (где *- это один и более символов (1-4 латинские буквы скорее всего) в имени пользователя):
Сложная ситуация:
сброс пароля — putin.fsb1@mailfence.com
сервис одноразовой почты — joo*@321-email.com
сервис одноразовой почты — joo*@braun4email.com
сервис одноразовой почты — joo*@utooemail.com
сброс пароля — putin.fsb3@mailfence.com
сервис одноразовой почты — bud*@321-email.com
сервис одноразовой почты — bud*@braun4email.com
сервис одноразовой почты — bud*@utooemail.com
Тут только один домен нужно проверять:
сброс пароля — putin.fsb2@mailfence.com
сервис одноразовой почты — kul*@utoo.email
сброс пароля — putin.fsb4@mailfence.com
сервис одноразовой почты — bep*@4senditnow.com
сброс пароля — just.bro@mailfence.com
сервис одноразовой почты — bbl*@heximail.com
3. Как вариант, путем перебора (нажимая в сервисе кнопку «delete») штатных предлагаемых логинов (длина 4-8 символов) найти из предлагаемых новых логином то, которые начинаются на kul / bep / bbl / bud / joo.
Пункт 3 можно реализовать с помощью программных методов.
Если кто заинтересуется и сможет найти доступ хоть до одного почтового ящика путем большого перебора данных по логину в сервисе одноразовой почты и сможет (заблокировать) остановить рассылку с него — будет замечательно.
На лингвистическом и стилистическом анализе содержания писем останавливаться не будем, хотя, вкупе с орфографическими ошибками и некоторыми созвучными слогами в тексте, тут есть над чем подумать. Однако, возможно, эту диалектику ввели в текст специально для компрометации.
Эта статья относится к аналитической тематике, прошу в комментариях придерживаться правил ресурса и не выходить за общепринятые рамки
Комментарии (5)
jok40
30.01.2019 13:08+3Все электронные письма были отправлены путем использования бесплатного почтового сервиса mailfence dot com
Наивно делать такой вывод глядя на распечатки писем. Чтобы понять — откуда реально пришло письмо, нужно смотреть заголовки.
Sabubu
30.01.2019 13:26Я кстати прочел, что неизвестный уже 3 дня подряд "минирует" здание, где предположительно, работает фабрика проправительственных "троллей". Ну хоть какая-то польза!
michaelkl
30.01.2019 13:55+2Таим образом, мы можем узнать первые три символа имени пользователя и полное имя почтового домена.
А мне кажется, что таким образом мы можем узнать только последние 5 символов почтового домена второго уровня. На temp-mail.org/en/option/change в выпадающем списке доступных доменов есть, среди прочих, кое-что знакомое:
- @next2cloud.info
- @heximail.com
- utoo.email
- @4senditnow.com
- @braun4email.com
motpac
А разве temp-mail точка org не решает проблему анонимности вкупе с парочкой vpn, там даже регистрация не нужна. Я был почти уверен, что рассылали с примерного сервиса.