Slo-Tech - Te dni so neznanci s phishing napadom na novinarje Bellingcata poskušali dobiti njihove podatke za vpis v storitev ProtonMail. Šlo naj bi za precej prepričljiv napad s ponarejenim sporočilom ekipe ProtonMaila, v katerem so iz "varnostnih razlogov" med drugim zahtevali vpis v storitev in spremembo gesla. CEO ProtonMaila Andy Yen je napad ocenil za enega najboljših, kar jih je kdaj videl, za njim pa naj bi po mnenju vpletenih stala ruska vojaška obveščevalna služba GRU, ki je novinarje Bellingcata pogosto ciljala že v preteklosti.
To pa ni bil prvi tak napad te vrste, že pred tem je podobna sporočila prejelo še nekaj posameznikov, prav zato so bili novinarji Bellingcata vnaprej opozorjeni in napad posledično ni uspel. So pa o zadevi obvestili švicarsko policijo ter MELANI, vladni urad za informacijsko varnost, ProtonMail ima namreč sedež v tej državi.
ProtonMail, ki sam sebe oglašuje za najbolj varno poštno storitev, je zadnja leta izjemno popularen med tistimi, ki pri svojem delu rokujejo z občutljivimi podatki. Bellingcat pa je spletna stran za raziskovalno novinarstvo in njihovi novinarji se pri svojih preiskavah pogosto ukvarjajo z Rusijo. V preteklosti so tako denimo razkrili domnevna ruska agenta, ki sta zastrupila Sergeja Skripala in njegovo hči, podobno so se ukvarjali z iskanjem krivca za sestrelitev malezijskega letala MH-17.
The “from” email addresses were most likely spoofed. The email header shows that the message was sent from legitimate Mail.de infrastructure and lists notifysendingservice@mail[.]uk as the return path email address. At this time, we do not know if this is an email address belonging to a legitimate service that the actor leveraged or an actor-controlled account. We have contacted Mail.de for additional information.
The ideal subject of totalitarian rule is not the convinced Nazi or
the convinced Communist, but people for whom the distinction between fact and
fiction and the distinction between true and false no longer exist.
Zakaj pa ProtonMailovi mail serverji ne zavržejo takih mailov. Če vidiš, da naj bi email priletel iz tvojih serverjev to enostavno preveriš.
V tem se skriva catch in najbrž je vsaj delno zanimivo pri tem prav to, da sta dva naslova v From polju. Lepo bi bilo videti dejansko kodo tega phishing maila.
Protonmail omenja, da ta phishing napad skuša izkoriščati še nepopravljeno napako v odprtokodnem programu za prepoznavanje spama. Sam to to interpretiram ravno v smislu, da so napadalci uspeli ali vsaj poskušali zaobiti preverjanje, ali je email dejansko prišel od tam, od koder navidez prihaja.
Čeprav se mi zdi, da je Bellingcat precej povezan s tajnimi službami. Tako kot je bil oni "novinar" Khasogghi v resnici obveščevalec.
Tako da bi se novica morala pravilno glasiti: Agenti ruske GRU so izvedli sofisiciran phishing napad na agente britanske MI6, ki se v javnosti predstavljajo kot novinarji... ;)
Torej niti ni bilo tako sofisticirano in bi na finto padel le kdo naiven ali nepazljiv.
To kar je Matthai napisal velja samo za povezavo v mailu.
Spoofan "From" je še vedno iz pravega naslova oz. je vsaj prikazan, kot da je.
Tako da bi se novica morala pravilno glasiti: Agenti ruske GRU so izvedli sofisiciran phishing napad na agente britanske MI6, ki se v javnosti predstavljajo kot novinarji... ;)
Samo zato, ker se tebi to zdi?
Občasno spremljam njihove članke in tudi če so "fake novinarji" oz. je to njihov side job, to delo bolje opravljajo od večine "tapravih novinarjev", tako da s to klasifikacijo ne vidim nobenega problema.
Torej niti ni bilo tako sofisticirano in bi na finto padel le kdo naiven ali nepazljiv.
To kar je Matthai napisal velja samo za povezavo v mailu.
Spoofan "From" je še vedno iz pravega naslova oz. je vsaj prikazan, kot da je.
Furthermore, the attackers attempted to exploit an unpatched vulnerability in an open source software that is widely used by email providers in an effort to bypass spam and abuse filters. We were previously aware of this vulnerability and have already been watching it for some time, but we will not disclose it here because the software in question is not developed by ProtonMail, and it has not yet been patched by the software maintainers. This vulnerability, however, is not widely known and indicates a higher level of sophistication on the part of the attackers.
OK, torej imajo dostop do neke pomanjkljivosti, verjetno postfixa ali exima, ki še ni javno znana. Ne rabiš bit ravno "KGB" za dostop do tega, v starih časih in pravih krogih sem imel na voljo marsikaj, pa nisem bil nobena zverina ali na plačilni listi kake tro-črkovne agencije ;)
Še dobro, da jih enkrat letno vabimo na kapelco, sicer bi nam že pokazali vraga.
Antifašizem je danes poslednje pribežališče ničvredneža, je ideologija ničesar
in neizprosen boj proti neobstoječemu sovražniku - v zameno za državni denar
in neprofitno najemno stanovanje v središču Ljubljane. -- Tomaž Štih, 2021
Občasno spremljam njihove članke in tudi če so "fake novinarji" oz. je to njihov side job, to delo bolje opravljajo od večine "tapravih novinarjev", tako da s to klasifikacijo ne vidim nobenega problema.
No, saj morda se motim. In se strinjam, njihovi članki so dobro raziskani. In niso usmerjeni samo proti Rusiji.
Samo se mi vseeno zdi pomembno poudariti dejstvo, da niso ravno tipični novinarji, pač pa bolj obveščevalci. Tako kot je bilo to dejstvo pomembno pri Khasoggiju.
Meni je recimo pozornost vzbudilo tole:
Newly obtained telephone metadata logs from a telephone number registered in the name of the (cover) persona “Sergey Fedotov” has allowed us to analyze Denis Sergeev’s telephone usage – including calls and data connections – in the period of May 2017 – May 2019. The data – and especially the cell-ID metadata that we have been able to convert to geo-locations – allowed us to recreate Sergeev’s movements. These movements were both in Russia and abroad, as well as his pattern of communications during his overseas operations. Bellingcat obtained the telephone metadata records from a whistleblower working at a Russian mobile operator, who was convinced s/he was not breaching any data privacy laws due to the fact that the person to whom this phone number was registered (“Sergey Fedotov”) does not in fact exist.
In ne samo tole. Vse kar si prej napisal, vključno s Kashoggijem, v celoti drži a je treba upoštevati, da v teh koncih medijsko narativo nadzoruje druga skupina kot na vzhodu.
"Težav ne moremo reševati z isto miselnostjo,
kot smo jo imeli, ko smo jih ustvarili."
A. Einstein
Malaysia: 'No proof' of Russian involvement in MH17 downing "We are very unhappy because from the very beginning, it became a political issue on how to accuse Russia of the wrongdoing," he told reporters. "Even before they examine (the debris), they already say Russia. So it is very difficult for us to accept that."
Za trenutek dajmo na stran iz kje je ta email prišel.
Mene bolj moti, ker je to stara fora. Stran, kjer si registriran prosi da se vpišeš. To menda nikjer ne delajo. Tudi če bi sam dobil kak tak email od npr. banke, ne grem klikat linka v emailu ampak se bom logiral notri preko običajne povezave.
Za trenutek dajmo na stran iz kje je ta email prišel.
Mene bolj moti, ker je to stara fora. Stran, kjer si registriran prosi da se vpišeš. To menda nikjer ne delajo. Tudi če bi sam dobil kak tak email od npr. banke, ne grem klikat linka v emailu ampak se bom logiral notri preko običajne povezave.
to ni sofisticiran napad, to so sofisticirani idioti da padejo na take fore. Konc debate.
OK, torej imajo dostop do neke pomanjkljivosti, verjetno postfixa ali exima, ki še ni javno znana. Ne rabiš bit ravno "KGB" za dostop do tega, v starih časih in pravih krogih sem imel na voljo marsikaj, pa nisem bil nobena zverina ali na plačilni listi kake tro-črkovne agencije ;)
Zvenelo je bolj kot luknja pri preverjanju SPF, DKIM ali podobnega (mogoče je problematičen celo sam DNS zahtevek, kdo ve...), ne kot luknja v samem poštnem strežniku. Vsa ta preverjanja za spam se izvajajo z ločenimi programi. Spamassassin recimo bi lahko bil krivec.
@MrStein, protonmail.com in protonmail.ch sta legitimni domeni ponudnika. Napadalci so med ostalim registrirali druge, npr. mailprotonmail.ch in protonmail.sh.
Zvenelo je bolj kot luknja pri preverjanju SPF, DKIM ali podobnega (mogoče je problematičen celo sam DNS zahtevek, kdo ve...), ne kot luknja v samem poštnem strežniku. Vsa ta preverjanja za spam se izvajajo z ločenimi programi. Spamassassin recimo bi lahko bil krivec.
Lahko je tudi to, ja. Sem mislil, da je kak smtp header trik. Bomo že izvedeli.
