(@sell9000)
PSA re: uma lição cara de opsec
Neste momento, confirmei que foi um login do Google que causou esse comprometimento. Uma máquina Windows desconhecida obteve acesso cerca de meio dia antes do ataque. Ele também falsificou o nome do dispositivo, então a notificação do novo alerta de atividade (que ocorreu de manhã cedo enquanto eu estava dormindo) parecia semelhante aos dispositivos que eu normalmente uso (pode ter sido uma aposta calculada para um nome de dispositivo comum, a menos que eu fosse especificamente visado ).
Após uma investigação mais aprofundada, este dispositivo é um VPS hospedado por #KaopuCloud como um provedor global de nuvem de ponta que é compartilhado entre círculos de hackers no Telegram e foi usado no passado para #phishing e outras atividades maliciosas por usuários compartilhados.
Eu tenho o 2FA ativado, que o usuário conseguiu ignorar. Ainda não determinei exatamente como isso foi conseguido, mas possivelmente os vetores de ataque foram phishing OAuth, cross site scripting ou ataque man-in-the-middle em um site comprometido, seguido por possível adicional #Malware . Na verdade, aparentemente #OAuth endpoint ataque recentemente foi relatado que ele sequestrou a sessão de cookies do usuário (https://darkreading.com/cloud-security/attackers-abuse-google-oauth-endpoint-hijack-user-sessions…). Seja extremamente cuidadoso se precisar usar o Login do Google.
Aprendizado:
1. O Bitdefender é uma merda, não detectou nada enquanto o Malwarebytes detectou um monte de vulnerabilidades após o fato.
2. Não se torne complacente só porque movimentou grandes números durante anos sem problemas.
3. Nunca insira uma semente, ponto final, não importa que desculpa razoável você dê a si mesmo. Não vale a pena correr o risco, apenas destrua o computador e comece do zero.
4. Terminei o Chrome, opte por um navegador melhor como o Brave.
5. De preferência, nunca misture dispositivos e tenha um dispositivo isolado para atividades criptográficas.
6. Sempre verifique o alerta de atividade do Google se você continuar usando dispositivos baseados no Google ou autenticação.
7. Desative a sincronização de extensões. Ou simplesmente desative o período de sincronização da sua máquina criptográfica isolada.
8. O 2FA claramente não é à prova de balas, não se torne complacente com ele.