(@vendre9000)

Message d'intérêt public concernant : une leçon d'opsec coûteuse

À l'heure actuelle, j'ai confirmé que c'est une connexion Google qui a provoqué ce compromis. Une machine Windows inconnue a obtenu l'accès environ une demi-journée avant l'attaque. Il a également usurpé le nom de l'appareil, de sorte que la notification de la nouvelle alerte d'activité (qui s'est produite tôt le matin pendant que je dormais) semblait similaire à celle des appareils que j'utilise habituellement (il s'agissait peut-être d'un pari calculé pour un nom d'appareil commun, à moins que j'étais spécifiquement ciblé). ).

Après une enquête plus approfondie, cet appareil est un VPS hébergé par #KaopuCloud en tant que fournisseur mondial de cloud computing partagé entre les cercles de pirates informatiques de Telegram et a été utilisé dans le passé pour #phishing et d'autres activités malveillantes par des utilisateurs partagés.

J'ai activé 2FA, que l'utilisateur a réussi à contourner. Je n'ai pas encore déterminé exactement comment cela a été réalisé, mais les vecteurs d'attaque pourraient être le phishing OAuth, le cross site scripting ou l'attaque de l'homme du milieu sur un site compromis, suivis d'un éventuel #Malware supplémentaire. En fait, apparemment, #OAuth attaque de point de terminaison récemment a été signalé pour détourner la session de cookie de l'utilisateur (https://darkreading.com/cloud-security/attackers-abuse-google-oauth-endpoint-hijack-user-sessions…). Soyez extrêmement prudent si vous devez utiliser la connexion depuis Google.

À retenir :

1. Bitdefender est nul, il n'a rien détecté alors que Malwarebytes a détecté un tas de vulnérabilités après coup.

2. Ne soyez pas complaisant simplement parce que vous avez déplacé de gros chiffres pendant des années sans problème.

3. N'entrez jamais dans une graine, point final, quelle que soit l'excuse raisonnable que vous vous donnez. Cela ne vaut pas le risque, il suffit de détruire l'ordinateur et de recommencer à zéro.

4. J'en ai fini avec Chrome, restez avec un meilleur navigateur comme Brave.

5. De préférence, ne mélangez jamais les appareils et disposez d’un appareil isolé pour les activités de cryptographie.

6. Vérifiez toujours l'alerte d'activité Google si vous continuez à utiliser des appareils basés sur Google ou l'authentification.

7. Désactivez la synchronisation des extensions. Ou désactivez simplement la période de synchronisation pour votre machine cryptographique isolée.

8. La 2FA n’est clairement pas à l’épreuve des balles, ne vous en contentez pas.