Компания Krebsonsecurity сообщила, что за несколько прошедших недель было взломано четыре самых старых и популярных русскоязычных форумов для киберпреступников. В двух случаях взломщики получили доступ к базам данных пользователей с адресами электронных почт и хешированными паролями. Участники форумов переживают, что их личности могут быть идентифицированы путём сопоставления данных через виртуальную версию Rosetta Stone.
Rosetta Stone — программное обеспечение, которое в своей работе использует комбинации из текста, изображений и звука для изучения иностранного языка через интуитивный подход. Похожий метод может быть использован для сопоставления анонимных аккаунтов на нелегальных форумах с аккаунтами этих же людей, но уже вне закрытого комьюнити.
По данным Krebsonsecurity, ссылки на украденную базу данных форума Mazafaka появились 3 и 4 марта. Во вторник появились данные тысяч пользователей с адресами электронной почты и зашифрованными паролями. Форум Mazafaka (Maza, MFclub) существует больше десяти лет и за это время, там были замечены наиболее опытные и известные русские киберпреступники.
Сотрудники Krebsonsecurity обнаружили 35-страничный документ в формате .pdf с приватным ключом шифрования, который предположительно использовали администраторы Maza. В базе данных также есть номера ICQ, где до появления Jabber и Telegram происходило общение пользователей.
По мнению сотрудников компании, именно номера ICQ представляют наибольший интерес среди всех утёкших данных, так как они часто привязаны к другим учётным записям, что позволит быстро сопоставить различные аккаунты с конкретным человеком.
Компания Intel 471, которая занимается цифровой разведкой, считает, что украденная база данных настоящая. Она обнаружила, что в базе было более 3000 строк с информацией о пользователях. Кроме этого, на самом форуме появилась переадресация на страницу с предупреждением об утечке. Представители Intel 471 также сопоставили украденные данные с собственными исследованиями и обнаружили частичную корреляцию, что также подтвердило достоверность опубликованной информации.
Атака на форум Maza произошла через несколько недель после того, как другой крупный русскоязычный ресурс пострадал от действий взломщиков. 20 января администратор сайта Verified сообщил, что регистратор доменов был взломан и домен форума перенаправляет посетителей на сервер, контролируемый хакерами.
В своей заметке администратор форума отметил, что биткоин-кошелёк был взломан, но на нём не было крупной суммы. После этого инцидента он предположил, что данные пользователей теоретически тоже могли пострадать. После этого все данные были сброшены, а пользователям предложили использовать новые. Немного позднее администратор подтвердил, что утечка всё-таки произошла, после чего все пароли были принудительно аннулированы. Форум взломали через регистратора доменов, подменили серверы доменных имён и трафик перенаправили через сниффер.
15 февраля руководство Verified опубликовало письмо от взломщиков, в котором они обвинили администраторов форума в некомпетентности из-за того, что на серверах хранились данные пользователей, среди которых — куки-файлы, рефереры (приглашающие аккаунты), ip-адреса первой регистрации, аналитику входов и т.д.
Другие источники рассказали, что были украдены десятки тысяч личных сообщений между участниками форума, информация о биткоин-депозитах и о выводе средств, а также частные контакты Jabber.
Третьим пострадавшим стал форум Expoit, где по данным Intel 471, администратор 1 марта рассказал о возможной угрозе из-за скомпрометированных данных прокси-сервера, который использовали для защиты от DDoS-атак. Администратор форума заявил, что 27 февраля 2021 года система мониторинга обнаружила признаки несанкционированного доступа к серверу и попытку сброса сетевого трафика.
Вечером, 4 марта, Intel 471 сообщила, что обнаружила проблемы у четвёртого форума по схожей тематике. В феврале руководитель Crdclub, рассказал, что одна из учётных записей администрации была взломана и через неё пользователей вынуждали воспользоваться системой денежных переводов, за которую якобы поручились владельцы ресурса. Crdclub пообещал возместить ущерб обманутым пользователям.
Сотрудники Krebsonsecurity нашли сообщения участников форумов, в которых они высказывали опасения, что подобные действия выглядят как запланированная крупномасштабная операция правительственных органов.
