Стало известно о компрометации сразу двух популярных среди поклонников компьютерных игр ресурсов: Leet.cc иDLH.net. О взломе обоих сайтов сообщили представители агрегатора утечек LeakedSource, они же сообщили, что за взлом DLH.net ответственен тот же неназванный хакер, который скомпрометировал форумы Dota 2 в конце июля 2016 года.
Главная опасность взлома DLH.net состоит в том, что на сайте регулярно проводятся раздачи бесплатных ключей для игр на платформе Steam, которые попали в руки злоумышленников, наряду с прочими данными о пользователях.
Специалистам LeakedSource удалось получить копии дампов БД, которые в настоящий момент обрабатываются сотрудниками компании.
Сайт DLH.net предлагает своим посетителям не только последние новости, обзоры игр и прочую полезную информацию, но еще имеет весьма популярные форумы. LeakedSource сообщает, что именно база пользователей форумов подверглась компрометации. Хакеры взломали ресурс через брешь в платформе vBulletin, так как на сайте была установлена не последняя версия форумного движка. В итоге злоумышленники завладели информацией о 3,3 млн пользователей,
Злоумышленники похитили учтенные данные пользователей, информацию об их email-адресах, датах рождения, датах регистрации на сайте, юзернеймах в Steam, а также токены Facebook, если пользователь заходил на сайт через социальную сеть. Порядка 84% всех пользовательских паролей были защищены только алгоритмом MD5, который вряд ли можно считать стойким. Также некоторое количество паролей было зашифровано более надежным алгоритмом SHA-1.
Эксперты LeakedSource отмечают, что также в дампе содержатся 9,1 млн ключей для активации игр на платформе Steam. Хотя многие из этих пятнадцатизначных кодов уже были использованы и теперь практически бесполезны, многие пользователи также имели в своих аккаунтах неиспользованные ключи, в том числе от таких игр, как KnightShift, Pirates of Black Cove, Final Fantasy IX и так далее. Точное число действительных ключей пока неизвестно.
При этом журналистам издания ZDNet удалось связаться с операторами ресурса, и те отрицают факт взлома. Представитель DLH.net Дирк Хассингер (Dirk Hassinger) сообщил: «Мы проверили лог-файлы на наших серверах и не заметили какой-либо подозрительной активности за последние две недели».
Но DLH.net стал не единственным геймерским ресурсом, о компрометации которого стало известно сегодня. Специалисты LeakedSource также сообщили об утечке базы данных Leet.cc. Данный сервис используется для создания и хостинга серверов Minecraft Pocket Edition.
Представители LeakedSource утверждают, что база данных содержит информацию 6 084 276 пользователей Leet.cc. В руках злоумышленников оказались имена пользователей, хешированные пароли, данные о времени регистрации и последнего визита, а также userID и email-адреса. Известно также, что в данном случае для защиты паролей использовался алгоритм SHA-2 (SHA512), и пароли были «соленые».
RTM вместе с Cobalt и Silence является самой активной киберпреступной группой, атакующей российские финансовые компании и промышленный сектор. Специалисты Positive Technologies (PT Expert Security Center) «ведут» эту группу с 2018 года, что позволило им разработать механизм, предсказывающий дальнейшие действия RTM.
Основная цель злоумышленников — проникнуть в корпоративную сеть, для чего они используют фишинговые рассылки. В PT Expert Security Center заявили, что за 2018 год было зафиксировано 59 атак RTM.
Уже в 2019 году киберпреступники успели провести 45 атак. Углубившись в анализ рассылок группировки, специалисты PT Expert Security Center смогли вычислить, что функции командных центров C&C выполняют домены в зоне .bit.
Поскольку эта доменная зона создана на базе блокчейна Namecoin, эксперты PT Expert Security Center смогли изучить особенности архитектуры блокчейна, что позволило создать схему отслеживания регистрации новых доменов, принадлежащих RTM. Более того, исследователи могут даже отследить смену IP-адресов злоумышленников.
Благодаря новому алгоритму специалисты PT Expert Security Center теперь могут уведомлять финансовые организации о появлении новых командных серверов, которые киберпреступники будут использовать для атак.
Подписывайтесь на канал "Anti-Malware" в Telegram, чтобы первыми узнавать о новостях и наших эксклюзивных материалах по информационной безопасности.
Свидетельство о регистрации СМИ ЭЛ № ФС 77 - 68398, выдано федеральной службой по надзору в сфере связи, информационных технологий и массовых коммуникаций (Роскомнадзор) 27.01.2017 Разрешается частичное использование материалов на других сайтах при наличии ссылки на источник. Использование материалов сайта с полной копией оригинала допускается только с письменного разрешения администрации.
