(@ vender9000 )
Anuncio de servicio público sobre: una costosa lección de operación de seguridad
En este momento he confirmado que fue un inicio de sesión de Google lo que provocó este compromiso. Una máquina Windows desconocida obtuvo acceso aproximadamente medio día antes del ataque. También falsificó el nombre del dispositivo, por lo que la notificación de la alerta de nueva actividad (que ocurrió temprano en la mañana mientras dormía) parecía similar a la de los dispositivos que uso normalmente (puede haber sido una apuesta calculada para un nombre de dispositivo común a menos que estuviera específicamente dirigido a mí). ).
Tras una investigación más profunda, este dispositivo es un VPS alojado por #KaopuCloud como un proveedor de nube de borde global que se comparte entre los círculos de hackers en Telegram y ha sido utilizado en el pasado para #phishing y otras actividades maliciosas por parte de usuarios compartidos.
Tengo 2FA habilitado, que el usuario logró omitir. Todavía tengo que determinar exactamente cómo se logró esto, pero posiblemente los vectores de ataque fueron phishing OAuth, secuencias de comandos entre sitios o ataque de intermediario en un sitio comprometido, seguido de un posible #Malware adicional. De hecho, aparentemente #OAuth ataque a punto final recientemente Se ha informado que secuestra la sesión de cookies del usuario (https://darkreading.com/cloud-security/attackers-abuse-google-oauth-endpoint-hijack-user-sessions…). Tenga mucho cuidado si tiene que utilizar Iniciar sesión desde Google.
Conclusiones:
1. Bitdefender apesta, no detectó nada, mientras que Malwarebytes detectó un montón de vulnerabilidades después del hecho.
2. No te vuelvas complaciente sólo porque estuviste moviendo grandes cifras durante años sin problemas.
3. Nunca introduzcas una semilla, punto, sin importar la excusa razonable que te des. No vale la pena correr el riesgo, simplemente bombardee la computadora y comience de nuevo.
4. Ya terminé con Chrome, quédate con un navegador mejor como Brave.
5. Preferiblemente nunca mezclar dispositivos y tener un dispositivo aislado para actividades criptográficas.
6. Siempre verifique la alerta de Actividad de Google si continúa usando dispositivos o autenticación basados en Google.
7. Desactive la sincronización de extensiones. O simplemente desactive el período de sincronización para su máquina criptográfica aislada.
8. Está claro que la 2FA no es a prueba de balas, no se confíe en ella.
