Ботнет ковтає два мільйони паролів, більшість із них були справді поганими

На початку цього тижня Trustwave опублікував своє дослідження на масивному ботнеті, одному з багатьох вдалося скористатися контролером ботнету Pony. Дослідники отримали контроль над ботнетом, зайнявши місце його сервера Command and Control. Отримавши контроль, вони виявили, що ботнету вдалося викрасти близько двох мільйонів паролів із заражених комп'ютерів. Вони також виявили щось, про що більшість із нас уже знають: що люди страшні за паролями.

Дістатися до паролів

Два мільйони компрометованих облікових записів були розповсюджені між 1, 58 мільйонами облікових даних веб-сайтів, 320 000 логінів електронної пошти, 41 000 облікових записів FTP, 3 000 облікових даних віддаленого робочого столу та 3 000 облікових даних Secure Shell. Безперечно, що багато проблемних користувачів вибрали той самий пароль для інших сайтів.

Дослідники знайшли 318, 121 облікових даних Facebook, які складали колосальні 57 відсотків. У наступному Yahoo було близько 60 000 акаунтів, за ними 21708 акаунтів у Twitter, 8 490 паролів LinkedIn та 7 978 акаунтів для постачальника оплати праці ADP. Останній є дещо незвичним, але також досить згубним, оскільки надає зловмисникам доступ до особистої інформації жертв.

Що мене найбільше налякало - 16 095 облікових даних Google.com та 54 467 облікових даних Google. Вони можуть надати зловмисникам доступ до Gmail, а звідти скинути інші паролі, використовуючи функцію "забув мій пароль" на веб-сайтах. Він також може надати зловмисникам доступ до приватних файлів на Диску Google або платіжної інформації в Google Wallet.

Все це не означає, що проти цих сайтів була масова атака. Більш ймовірно, що злочинцям вдалося зібрати ці адреси за допомогою декількох засобів, таких як фішинг та кейлоггери, і зберегли їх на цих серверах. Вони могли продавати їх іншим покупцям або зберігати їх для подальшого використання.

Знову жахливі паролі

Trustwave розділив паролі на категорії: шість відсотків з них були "жахливими", тоді як 28 відсотків - "поганими". Об'єднані 22 відсотки були або "хорошими", або "відмінними", а 44 відсотки - "середніми". Серед найгірших були: 123456, 123456789, 1234 та "пароль".

Більшість паролів не змішували літери та цифри. Більшість паролів складали або всі літери (один і той же регістр), або всі цифри, а потім паролі, які мали два типи (комбінація великих і малих літер, або малі літери з цифрами, наприклад), сказав Trustwave.

Одним з добрих висновків було те, що майже половина - 46 відсотків - паролі мали довгі паролі (10 символів і більше). Більшість паролів знаходилися в межах від шести до дев'яти символів, сказав Trustwave.

Високопрофільні цілі

Що стосується Лукаса Заічковського, архітектора корпоративних даних в AccessData, то більша стурбованість полягає в тому, що злочинці шукатимуть облікові записи, які належать людям "у цільових цільових організаціях". Якщо виявиться, що ці користувачі використовували однакові паролі на цих сайтах, а також для робочих ресурсів, то зловмисники можуть проникнути в корпоративну мережу через VPN або електронною поштою через веб-клієнта, зазначив Зайчковський.

"Вони можуть продавати цінні рахунки іншим на чорному ринку, які платять великі гроші за дійсні облікові дані, які отримують їх у прибуткових цільових організаціях", - сказав Зайчковський.

Люди використовують свої робочі адреси електронної пошти для особистої діяльності, наприклад, підписки на акаунти у Facebook. Сезар Серрудо, генеральний директор IOActive, знайшов різних військових, включаючи генералів і генерал-лейтенантів ("майбутні генерали", - називав їх Черудо), використовували свої електронні адреси .mil для створення облікових записів на туристичному сайті Orbitz, GPS компанії garmin.com, Facebook, Twitter та Skype, щоб назвати декілька. Це робить перспективу повторного використання паролів ще більш проблематичною, оскільки ці особи дуже цінні як цілі та мають доступ до багатьох конфіденційної інформації.

Однак директор Qualys з питань інженерії Майк Шема заявив, що бачить надію в майбутньому. "Дивлячись на 2014 рік, двофакторна автентифікація буде продовжувати набирати обертів у всіх корпоративних та споживчих технологіях, і багато додатків також почнуть приймати двофакторні. Ми також побачимо зростання розумної криптовалюти для багатоавторизованих паролів. " Двофакторна автентифікація вимагає другого кроку аутентифікації, як спеціальний код, що надсилається через текстове повідомлення.

Безпека

Загальна думка полягає в тому, що ці паролі були зібрані з машин користувача, а не крадіжки інформації про вхід з сайтів, що є приємною зміною темпу. Кейлоггери є ймовірним підозрюваним і особливо небезпечним. Ці шкідливі програми можуть не лише фіксувати натискання клавіш, але й захоплювати скріншоти, вміст буфера обміну, програми, які ви запускаєте, веб-сайти, які ви відвідуєте, і навіть просіювати чати розмов та потоки електронної пошти. На щастя, більшість антивірусних програм мали б вас охопити. Ми рекомендуємо переможців нагород за вибором редакторів Webroot SecureAnywhere AntiVirus (2014) або Bitdefender Antivirus Plus (2014).

Зауважте, що деякі програми AV за замовчуванням не блокують "сіре програмне забезпечення" або "потенційно небажані програми". Кейлоггери іноді потрапляють у цю категорію, тому обов'язково ввімкніть цю функцію.

Фішинг та інші тактики, щоб обманювати жертв у видачі інформації про пароль, важче блокувати. На щастя, у нас є маса порад, як виявити фішинг-атаки та як їх уникнути соціальні інженерні атаки . Все, що потрібно, - це трохи зайвої думки, і ви можете уникнути того, щоб стати статистикою.

Найголовніше - люди використовують менеджер паролів. Ці програми створюють та зберігають унікальні, складні паролі для кожного веб-сайту чи послуги, якими ви користуєтесь. Вони також автоматично ввійдуть в систему, що зробить набагато складнішим викрадання вашої інформації для кейлогерів. Не забудьте випробувати Dashlane 2.0 або LastPass 3.0, обидва з яких є переможцями нашої редакції за вибір паролів.