分析一次黑客攻击——一步步解析数字劫持| →『网络安全区』

2014年10月21日 早，Partap Davis 发现自己3000美金被盗。前一天晚上，他大概12点睡觉，一晚上，黑客将他设置的所有安全防护全部攻破。黑客仅仅在他睡着时就将 Davis 大部分线上生活破坏掉了：两个 email 账户，手机，Twitter， 二因素身份验证，以及最重要的东西——比特币钱包。
, t6 q/ i7 H+ q% K$ \: P, }  z
' t. `% O. l2 F9 f+ _+ L6 J- e/ k/ sDavis 非常谨慎，他的密码都是强口令，从不点击虚假链接。对于 Gmial 邮箱等服务，他使用二因素身份验证保证邮箱安全，所以当他从其他电脑登录邮箱时，必须输入手机短信验证中的6位数字密码。他利用比特币赚了一些钱，并将这些比特币放入了三个受保护钱包中，三个钱包分别是：Coinbase, Bitstamp 和 BTC-E。Davis也对 Coinbase 和 BTC-E 使用二因素身份验证保证账户安全。只要他想登录这些账户，他就必须使用二因素身份验证APP进行身份验证。

除了比特币这部分内容，Davis在其他方面和普通用户并没有什么区别。Davis是个程序员，他将自己的时间用在编写视频教学软件和其他的一些琐碎工作上。他喜欢在周末去Los Alamos的斜坡上滑雪。这是他在Albuquerque的第十年，去年，他刚刚到了40岁。
0 g; q) F( n4 N4 w  p
在黑客攻击之后，Davis将整周用在了追踪攻击是如何发生的，把从登录账户和客户服务得到的信息进行拼接，得到了The verge。但是，我们仍然不知道这一切是如何实现的，也不知道黑客是谁。但是通过拼接信息，我们知道了这一切是如何实现的，也知道了我们数字生活中的一些弱点。
( V& ?' D3 m; D3 c7 f+ A
MAIL.COM
5 {4 y7 I8 ^) x5 C. D
这一切是从Davis的邮箱开始的。当他第一次登录邮箱时，他发现Partpa@gmail.com已经被注册了，所以他选择使用Mail.com代替，设置了Partpa@mail.com，这个更容易记忆。
, X; [3 |6 q  |/ \( L7 d( x
10月21日凌晨2点之后，这个链接被破坏。有人闯进了Davis的mail.com账户，并停止继续攻击。突然，一个新的手机号码链接了这个账户——一个在Florida注册的安卓设备，同时还有一个新的备用email——swagger@mailinator.com，这是我们所知道的最能体现黑客个人信息的内容了。
0 t2 E# k" r, L+ x* W) @
/ o# H+ ~& N) x我们将这种简单的攻击暂且称为Eve。

Eve是如何做到的？我们还不确定。但是貌似是它使用了脚本锁定Mail.com密码重置页面的弱点。我们知道，这种脚本是确实存在的。几个月以来， 一直有用户在黑客论坛上出售这种可以重置Mail.com特定用户密码的脚本。攻击Davis账户的脚本病毒是很老的版本，价格为每个账户5美金。我们还不是很清楚它是如何工作的，也不知道它是否还在使用，但是它确实是Eve所需要的。没有任何身份验证，它就可以将Davis的密码设置为自己的字符串口令。

0 H9 P9 {7 @5 F; e) nAT&T

Eve接下来的步骤是掌握Partap的电话号码。它没有Davis的AT&T密码，但是它可以假装忘记密码，然后利用partap@mail.com收到的邮件中链接重置密码。Eve要求客户服务代表将Davis的号码呼叫转移到Long Beach的号码。严格来讲，客户服务部门应该加强呼叫转移的安全性，使用更多的验证信息，而不是只有一封邮件。但是面对这种很烦生气的顾客，客服经常让步，顾客满意度总比安全性重要。
4 Y* K, s" y8 y! `7 M  {
# ^+ c2 ^" A; I6 _( ^8 W) K一旦呼叫转移完成后，Davis所有的语音电话都可以转接到Eve手中。Davies仍然可以收到短信和email，但是每个电话直接到了攻击者那里。Davis直到两天后才有所察觉，因为他老板抱怨说他没有接电话。
& W1 ?" b* k8 u* s& P7 I" ?
, l& s; S% R4 [5 d! TGOOGLE AND AUTHY
5 S* C8 w  L; x- h* R  X# X
接下来，Eve瞄准了Davis的谷歌帐号。专家讲告诉你二因素身份验证是最好的防黑客攻击的的保护措施。一个黑客可能得到你的密码，一个小偷可能会偷走你的手机，但是很难做到二者兼顾。手机是个拥有独立系统的物理硬件，但是人们一直想要取代手机，并且希望把所有的服务都取代掉。账户必须每天重置，而两因素服务最后看起来更像是还有一个账户需要攻击。
8 s9 h- @# S2 v. T& E
Davis并没有设置谷歌身份验证APP的安全选项，但是他已经有了两因素身份验证。每次他用心的电脑登录时，谷歌都给他发送确认码以确认身份。呼叫转移没有办法获得Davis的短信，但是Eve有后门：多亏了谷歌强大的功能，它可以申请通过呼叫转移接受语音确认码。
+ k( x! H5 c: `  @( G7 e* T6 r2 a
- H3 v$ `1 d' ~Authy应该是很难攻击的。它是一个类似于Authenticator(身份认证)的APP，并且从未离开过Davis的手机。但是Eve通过mail.com和通过语音接收的新的确认码，很容易的就在自己的手机上重置了Authy。刚过凌晨三点，Authy账户就被Eve掌控了。
1 b- C/ |3 R) F) w) E! N8 e
1 D7 C3 F: W9 o' xEve用同样的伎俩欺骗了谷歌：只要她有了Davis的email和手机，两因素验证就无法使用。在这点上，Eve比Davis更容易控制他的线上生活。Eve已经掌握了Davis除短信外所有的数字生活。

& G& ~* S4 B( J1 b9 B6 N7 Z( G9 ^0 zCoinBase

3点19分，Eve重置了Davis的Coinbase账户，使用的就是Authy和Mail.com。3点55分，Eve转走了Davis账户中的全部余额（约3600美金）。她分别在30分钟、20分钟和5分钟后分三批将这笔钱转走。之后，这笔钱就在空巢账户中消失了。我们也无法知道她的行踪。从入侵Davis的邮箱帐号到钱被盗，黑客仅仅用了一个半小时。
. w* W( @$ s' Y8 k7 K0 c
Authy可能知道出事了。所以客服对所有可疑行为进行严密监视，虽然他们的监控非常谨慎，重置到州外的账户都会被标记出来。但是对于诈骗中心俄罗斯和乌克兰，这样的标记非常多，所以无法紧密监视Eve。但是Eve登录Coinbase的IP更可能来自于加拿大，他们是否会阻止她呢？现代安全系统，例如谷歌的ReCAPTCHA，经常进行类似的工作，得到足够的证据后，将账户冻结。但是Coinbase和Authy得到的证据并不完全，不足以冻结Partap的账户。

& s& M  u5 c) E# WBTC-E和BITSTAMP
$ Q3 ]7 a$ A5 C2 N' K
& L$ @/ R$ x3 e. y+ B/ X当Davis醒来时，他首先注意到的是Gmail账户莫名其妙的登出。密码被修改了，他无法重新登录账户。当他重新进入账户后受到了严重的打击：coinbase账户是空的，钱都被转走了；电子邮箱被盗；所有的客服部门没法确认他的身份信息。
, \( j0 |: y9 M* P" y7 f
% F4 u6 I& Z0 |其他两个钱包怎么样了呢？有价值2500美金的比特币在里面。Coinbase账户并没有广告保护。但是当Davis检查这两个账户时，发现这两个账户仍然完好无损。BTC-E用重置密码后48小时来让用户证明身份并恢复账户。BITSTAMP有更简单的保护措施：当Eve重置Davis的密码时，它要求Eve出示驾照图片。尽管Eve已经得到了所有信息，但是仍然有她没得到的信息。Davis剩下的2500美金的比特币是非常安全的。
/ r( s  b: I& ~( U3 G; s# y
9 F; b3 S+ w5 W5 S4 d, n6 H推特
1 k6 X/ N0 L4 u# A1 q
& t$ B/ m, C+ s/ J& l从攻击开始到现在2个月了，Davis回归了自己的生活。黑客最后入侵的是Davis的推特帐号，发现的最后的黑客踪迹是推特账户。推特账户持续被黑了几个星期，Eve插入了新的图片，并抹除了Davis的所有痕迹。攻击后的几天，她贴出了一张攻击Xfinity账户的图片，标签了另一个操作。这个账户并不属于Davis，属于另一个人。她已经攻击另一个目标了，使用的是@Partap的身份。

  v4 O0 j* F6 r2 w% X; a" c谁才是背后的攻击者? Davis花费几个星期追踪她，浪费整个下午的时间给客服打电话，但是没有得到任何有效信息。根据账户记录，Eve的IP地址在加拿大，但是她可能使用Torhuozhe VPN掩盖踪迹。她的电话号码实在Long Beach，安卓手机来自加利福尼亚，并且她的手机极有可能是一次性的。所以，我们只能得到很少的信息，毫无踪迹可寻，任凭Eve带着钱远走高飞了。
; z1 a/ ^5 o! g/ [9 i( }. i
; {. A, ]$ f2 [  ~" b9 \; [Eve为什么选择Partap Davis? 因为她知道钱包的一些信息。为什么她要花费那么多时间挖通账户？在最开始时先攻击邮箱账户，因此我们可以设想，她在某种场合下载Bitcoin的用户列表上发现了Davis的名字。也可能在设备供应商或者比特币零售商那里找到了Davis的名字。信息泄露是很常见的现象。
% @% e6 z: @2 L4 o+ C# ^
Davis现在更加谨慎，他放弃使用Mail.com的邮箱地址，他的生活有了很大的改变。Coinbase拒绝了Davis的赔偿请求，因为他们认为公司的安全措施没有漏洞。于是Davis写信给没有联邦调查局，但是FBI对这个案子并不感兴趣。他还不停的用电话等方式重置账户。这个世界其实并不安全，黑客攻击无孔不入，网络约发达，就越难维护账户安全。

/ R" n0 ^4 G' w) b8 o; B最重要的是，重置密码非常容易。Eve一次又一次的利用这个漏洞进行攻击。一个并不复杂的算法最终阻止了Eve的入侵：一个让顾客等待48小时确认身份信息的服务。在技术层面上，这是一个很简单的操作，但是成本高昂。公司其实非常不容易：不断的向用户妥协，方便用户使用，还要让利益风险小。一些人的账户可能被盗，但是上百万的用户可以继续使用没有服务问题的账户。在安全和便利的斗争中，安全是武器。

如本人留言违反国家有关法律，请网络管理员及时删除本人跟贴。本回贴不暗示、鼓励、支持或映射读者作出生活方式、工作态度、婚姻交友、子女教育的积极或消极判断。

挨骂也是幸福～～～

不早了 明天见 各位晚安~~~~

到你的~~贴吧收藏~~~我的发言~`找

求您了,给个机会

风沙就是由无数松散沙粒组成的，但是他们却又紧密的联系在一起，那股叱诧风云，横击 而过的气概相信大家在作者的文章里也能体会的出来。如果有读者还不能体会的，请参考

俺灌的不是水，是寂寞啊！

额~哦........偶无语

好吧...那你说...

k了我一个月的站，刚才site的时候