Security: Взлом почтовых ящиков.

[Paul Kellerman]

В данной теме хотелось обсудить тему защищенности почтовых ящиков
на публичных почтовых системах типа мэйл.ру, яндекс.ру, джимэйл.ком.

В первую очередь, интересуют случаи реального взлома, когда целенап-
равленно успешно сломали, причем пароль был сложным и пользователь
нигде им не светил, не записывал, не доверял, не терял и т.п. - в общем
взлом без прямого или косвенного содействия пользователя по глупости.
Особенно интересуют случаи с применением административных ресурсов,
прямых или косвенных путей воздействия на админов почтовых серверов.

Также хотелось бы обсудить то, какие меры принимаете по безопасности:
- Использование защищенных SSL-соединений с почтовым сервером.
- Использование почтовых клиентов, удаляющих письма с сервера.
- Отслеживание журнала IP-адресов, с которых входили в почту.
- Использование программ для шифрования типа PGP Desktop.
- Периодическая смена пароля и "контрольного" вопроса.

[Ink]

А давайте: очень актуально, - у меня на рамблере на этой неделе два ящика взломали. И это как раз были случаи

Сообщение от PavelAR

реального взлома, когда целенап-
равленно успешно сломали, причем пароль был сложным и пользователь
нигде им не светил, не записывал, не доверял, не терял и т.п.

Вот сейчас и думаю: как?

Добавлено через 3 минуты

Сообщение от PavelAR

- Использование почтовых клиентов, удаляющих письма с сервера.

Да

Сообщение от PavelAR

- Отслеживание журнала IP-адресов, с которых входили в почту.

А вот дальше - самое интересное. Мне, на мой взломанный ящик, с моего же взломанного ящика, пришёл мейл.

[Paul Kellerman]

Сообщение от Ink

Вот сейчас и думаю: как?

А кто конкретно взломал - известно? Есть какие-то мысли, кому это надо было, или
чистой воды кулцхакерское баловство? Если пароль, действительно, был сложным и
утечка исключена (хотя трояны и кейлоггеры тоже не дремлют), то возможно просто
"грязный" админ, сливающий пароли за деньги (маловероятный вариант), или "дыра"
безопасности на самом почтовом сервере, через которую вытаскивают информацию
(более вероятный вариант), дыры есть всегда и есть те, кто умеют ими пользоваться.

[Ink]

Received: from [94.127.68.17] by mcgi-wr-25.rambler.ru with HTTP (mailimap);

и

Received: from [217.24.49.10] by mperl110.rambler.ru with HTTP (mailimap)

Сама структура заголовка - очень странная.

Добавлено через 2 минуты

Сообщение от PavelAR

А кто конкретно взломал - известно?

Судя по письму - спам. Текст письма

Давно пытаюсь создать с нуля и поднять свое новое дело. Попрошу твоего совета. Сейчас уже на стадии становления и поднятия на рынке. Профессионалы почти завершили создание сайта компании. У меня такой вопрос к тебе: этот http://hmarochos.com.ua/s69q5h.php, или этот http://militaryexp.com/2d58uf290.php домен подходит под мое новое дело? Ответь сразу, как только сможешь!

Сообщение от PavelAR

чистой воды кулцхакерское баловство?

А в том-то и дело, что нет: пароль (мой) не сменили.

Сообщение от PavelAR

или "дыра"
безопасности на самом почтовом сервере

То же так думаю. Но рамблер не спешит сообщать (естественно)

[Jacky]

Когда цитируете подозрительные письма, хотя бы ссылки кликабельными не делайте. Нажмет ведь кто-нибудь. Скорее всего при переходе по линку цепляют трояна.

Давайте будем аккуратнее, народ здесь зачастую неискушенный, не форум хакеров все же.

[Paul Kellerman]

Сообщение от Ink

Мне, на мой взломанный ящик, с моего же взломанного ящика, пришёл мейл

А сами-то в ящик попасть можете? То есть пароль не изменился? Если можете, то
расслабьтесь - это шутки кулцхакеров. Используя программы для рассылки писем
можно в поле Sender вместо реального отправителя можно вбивать все что хочешь,
в том числе адрес получателя - это старая фича, поросшая мхом, хотя есть клоуны,
кто на этой фишке делает деньги, предлагая доверчивым людям услуги по "взлому"
чужих ящиков: берут предоплату и присылают заказчику письмо с вбитым в качес-
тве адреса отправителя адрес взламываемого юзера, и большинство ведется на это.

Сообщение от Ink

Судя по письму - спам. Текст письма

А... ну такие письма я и сам когда-то тоннами получал. Это подмена поля Sender,
рассыльная программа тупо в поле Sender вбивает адрес самого же получателя...
Эта уловка слегка помогает спамерам обходить спам-фильтры почтовых роутеров.

[Ink]

Сообщение от Jacky

Скорее всего при переходе по линку цепляют трояна.

Естественно

Сообщение от Jacky

не форум хакеров все же.

Как?! Не верю! Я же тут...

Сообщение от PavelAR

А сами-то в ящик попасть можете? То есть пароль не изменился?

Да

Сообщение от PavelAR

Используя программы для рассылки писем
можно в поле Sender вместо реального отправителя вбивать все что хочешь, в том
числе адрес самого получателя - это старая фича, поросшая мхом,

Можно, да, помню. Но... Сейчас еще гляну.

Добавлено через 5 минут
Чувствую себя последним лохом...
Но для верности: глянем вместе

Received: from [94.127.68.17] by mcgi-wr-25.rambler.ru with HTTP (mailimap); Mon, 17 Oct 2011 00:13:01 +0400
From: =?windows-1251?B?xOzo8vDo6SA=?= <Мой мейл>
To: <мой мейл>
Subject: =?windows-1251?B?xODm5SDt5SDn7eD+LCD38u4g6CDk8+zg8vw=?=
Date: Mon, 17 Oct 2011 00:013:01 +0400
MIME-Version: 1.0
Content-Transfer-Encoding: 8bit
Content-Type: multipart/alternative; boundary="_----------=_1318801741666984"
Message-Id: <1232608100.1318801741.117652344.66698@mcgi-wr-25.rambler.ru>
X-Mailer: Ramail 3u, (chameleon), http://mail.rambler.ru

Внимание к выделенному красным: не совпадает с правильным: кажись, я всё же лох

[Paul Kellerman]

Сообщение от Ink

Received: from [94.127.68.17]

Короче спи спокойно, этот IP-адрес почтового сервера отправителя
принадлежит домену tinfocom.ru (в котором ошивается спамер), а не
rambler.ru (как это было бы, если реально с твоего ящика отправили).

C:\Documents and Settings\PavelAR>nslookup
Default Server: ns1.mpei.ac.ru
Address: 193.233.71.3

> 94.127.68.17
Server: ns1.mpei.ac.ru
Address: 193.233.71.3

Name: tinfocom.ru
Address: 94.127.68.17

[Ink]

Сообщение от PavelAR

Короче спи спокойно, этот IP-адрес почтового сервера

Я первым делом посмотрел, да...
Ну ладно. Будем это считать удачным стечением обстоятельств: спамерам удалось развести Инка. Полнейший фэйспалм.
Давайте, тогда, вернёмся к аспектам взлома. Вот у нас есть халявный вай-фай. Выходим через него с ноута и...все наши пароли - стали паролями админов сети. В том числе и от почты...

[Paul Kellerman]

Сообщение от Ink

все наши пароли - стали паролями админов сети. В том числе и от почты...

Эээ... Вообще-то все-таки большинство уважающих себя программ так или иначе
используют алгоритм аутентификации типа CHAP, который ни пароль, ни даже его
MD5-хэш в чистом виде не пошлют по сети. Ну разве что только по протоколу ftp,
telnet и еще некоторые (убогие прокси-клиенты) открытые пароли по сети гоняют.

Коротко о CHAP (Challenge-Handshake Authentication Protocol).

1. Клиент посылает серверу запрос на аутентификацию.
2. Сервер высылает клиенту случайный код (challenge).
3. Клиент шифрует полученный challenge хэшем пароля,
введенного юзером, и отправляет шифровку на сервер.
4. Сервер также локально шифрует свой challenge тем
хэшем пароля, который у него в базе хранится, и срав-
нивает результат с тем, что получил от пользователя,
если совпадает, то аутентификация прошла успешно.