Кто-то, похоже, серьёзно решил сломать мою почту...

cybernatic_cat — 12.11.2016 --------------------- sasl auth daemon Begin ------------------------

**Unmatched Entries**

(smtp:auth): check pass; user unknown
(smtp:auth): authentication failure; logname= uid= euid= tty= ruser= rhost=
(smtp:auth): error retrieving information about user [username]
(smtp:auth): check pass; user unknown
(smtp:auth): authentication failure; logname= uid= euid= tty= ruser= rhost=
(smtp:auth): error retrieving information about user [username]
(smtp:auth): check pass; user unknown
(smtp:auth): authentication failure; logname= uid= euid= tty= ruser= rhost=
(smtp:auth): error retrieving information about user [username]
(smtp:auth): check pass; user unknown
(smtp:auth): authentication failure; logname= uid= euid= tty= ruser= rhost=
(smtp:auth): error retrieving information about user [username]

Кто знает, тот поймёт.

Это, в общем-то, довольно стандартная атака, рассчитанная на то, что если подобрать пароль SASL-авторизации (обычно использующейся для идентификации пользователя, отправляющего почту) - то с большой долей вероятности пароль на получение почты будет таким же, механизмы совместной или последовательной авторизации весьма распространены. Далее, соответственно, логинимся с найденными credentials к POP3- или IMAP-серверу, и вуаля - почта спизжена. Не факт, что захвачена, но скачать и прочитать можно. А в почте весьма много интересного можно найти, что показали примеры как Хиллари, так и этого овцеёба, как его... Суркова.

Но обычно такие атаки проводятся словарным перебором. То есть, атакующий, чаще всего, перебирает юзернеймы, которые стандартны и часто встречаются: info, mail, support, sales, admin и т.д. И такая активность роботизирована, где-то работают подкинутые ничего не подозревающим пользователям зловреды. Здесь же - уже несколько дней бьют конкретно в мой юзернейм, который к стандартным и словарным не относится, от слова вообще. Тоись, это уже не перебор возможных логинов, а попытка вскрыть логин конкретный и известный. Я, конечно, источники, с которых замечены атаки, баню на файрволле, причём целыми провайдерскими подсетями - но на следующий день они приходят из подсетей других. Выглядит как целенаправленная атака.

Если это читают те, кто данной хернёй занимается, то я имею пару слов им сказать. Родные, отсосите не нагибаясь и расслабьтесь. Там нет этого юзера. SASL-авторизация проводится пользователем, у которого и юзернейм, и пароль сгенерированы случайно, и каждый содержит не менее 16 комбинированных символов. Более того: на том хосте и POP3/IMAP нету. Хранилище в совсем другом месте, куда авторитарный MX домена просто форвардит всю почту по каналу с TLS v1.2. Так что пароль от SASL вам никак не поможет. Более того: не поможет даже подбор пароля к хранилищу, поскольку там нет почтовой базы, всё выкачивается на локальную рабочую машину, где и хранится.

Я ж вам, блядь, всё-таки не тупорылый овцеёб Сурков с почтой на GMail и паролем "qwerty".

P.S. Да, кстати, чисто для информации. Самые интересные моменты я выделил жирным.

-A INPUT -s 188.243.0.0/17 -m comment --comment "SASL attacks on 11-11-2016, SkyNet LLC, St. Petersburg" -j DROP
-A INPUT -s 37.78.0.0/16 -m comment --comment "SASL attacks on 11-09-2016 - Rostelecom Kransodar" -j DROP
-A INPUT -s 83.219.128.0/21 -m comment --comment "SASL attacks on 11-08-2016 - TIS-DIALOG-ISP Kaliningrad" -j DROP
-A INPUT -s 128.0.104.0/23 -m comment --comment "SASL attacks on 11-08-2016 - FOP Gabidyllin Viktor Faritovuch Mirgorod" -j DROP
-A INPUT -s 178.161.128.0/17 -m comment --comment "SASL attacks on 11-07-2016 - Saturn-R Perm" -j DROP
-A INPUT -s 178.168.192.0/18 -m comment --comment "SASL attacks on 11-07-2016 - MTS Belarus" -j DROP
-A INPUT -s 109.248.64.0/20 -m comment --comment "SASL attacks on 11-07-2016 - Lanoptic Kimri" -j DROP
-A INPUT -s 85.140.0.0/21 -m comment --comment "SASL attacks on 11-07-2016 - MTS" -j DROP
-A INPUT -s 213.24.112.0/20 -m comment --comment "SASL attacks on 11-07-2016 - Rostelecom" -j DROP
-A INPUT -s 94.241.0.0/19 -m comment --comment "SASL attacks on 11-06-2016 - Rostelecom Tver" -j DROP
-A INPUT -s 5.141.0.0/16 -m comment --comment "SASL attacks on 11-05-2016 - Rostelecom Urals" -j DROP

Сапиенти сат.

Оставить комментарий

Популярные посты:

• Ранее
• Архив