Ботнет смахивает два миллиона паролей, большинство из которых были действительно плохими

Ранее на этой неделе Trustwave опубликовали свое исследование массивного ботнета, одного из многих, которым удалось использовать контроллер ботнета Pony. Исследователи получили контроль над ботнетом, заняв место его сервера управления и контроля. Оказавшись под контролем, они обнаружили, что ботнету удалось украсть около двух миллионов паролей с зараженных компьютеров. Они также обнаружили то, что большинство из нас уже знает: люди ужасны в паролях.

Получить к паролям

Два миллиона скомпрометированных учетных записей были распределены между 1, 58 миллионами учетных данных веб-сайта, 320 000 учетных записей электронной почты, 41 000 учетных записей FTP, 3000 учетных данных удаленного рабочего стола и 3000 учетных данных учетной записи Secure Shell. Беспокойство, конечно же, заключается в том, сколько из затронутых пользователей выбрали один и тот же пароль для других сайтов.

Исследователи обнаружили 318 121 учетных данных Facebook, что составило колоссальные 57 процентов от общего числа. Затем у Yahoo было около 60 000 учетных записей, за которыми следовали 21 708 учетных записей Twitter, 8 490 паролей LinkedIn и 7 978 учетных записей для ADP провайдера заработной платы. Последний вариант немного необычен, но также довольно разрушителен, поскольку дает злоумышленникам доступ к личной информации жертв.

Больше всего меня напугали 16 095 учетных данных Google.com и 54 437 учетных записей Google. Это может позволить злоумышленникам получить доступ к Gmail и сбросить другие пароли с помощью функции «забыл мой пароль» на веб-сайтах. Он также может дать злоумышленникам доступ к личным файлам на Google Диске или информации об оплате в Google Кошельке.

Все это не означает, что была массовая атака на эти сайты. Скорее всего, злоумышленникам удалось получить эти адреса несколькими способами, такими как фишинг и клавиатурные шпионы, и хранить их на этих серверах. Они могут продавать их другим покупателям или сохранять их для будущего использования.

Опять ужасные пароли

Trustwave разбил пароли на категории: шесть процентов из них были «ужасными», а 28 процентов - «плохими». В совокупности 22 процента были либо «хорошими», либо «отличными», а 44 процента - «средними». Среди худших были: 123456, 123456789, 1234 и «пароль».

Большинство паролей не смешивают буквы и цифры. По словам Trustwave, большинство паролей были либо всеми буквами (в одном и том же регистре), либо всеми цифрами, за которыми следовали пароли двух типов (например, сочетание прописных и строчных букв или строчные буквы с цифрами).

Один хороший вывод состоял в том, что почти половина - 46 процентов паролей имели длинные пароли, состоящие из 10 или более символов. По словам Trustwave, большинство паролей были в диапазоне от шести до девяти символов.

Высококлассные цели

Что касается Лукаса Зайчковски (Lucas Zaichkowsky), архитектора корпоративных данных в AccessData, то большее беспокойство вызывает то, что преступники будут искать учетные записи, которые принадлежат людям «в целевых организациях с высокой стоимостью». Если окажется, что эти люди использовали одинаковые пароли на этих сайтах, а также для ресурсов, связанных с работой, то злоумышленники могут проникнуть в корпоративную сеть через VPN или по электронной почте через веб-клиент, отметил Зайчковски.

«Они могут продавать ценные счета другим на черном рынке, которые платят большие деньги за действительные учетные данные, которые превращают их в прибыльные целевые организации», - сказал Зайчковски.

Люди используют свои рабочие адреса электронной почты для личных действий, таких как регистрация учетных записей на Facebook. Сесар Серрудо, технический директор IOActive, обнаружил, что различные военнослужащие, в том числе генералы и генерал-лейтенанты (их называли «будущие генералы», называл их Серрудо), использовали свои адреса электронной почты.mil для создания учетных записей на туристическом сайте Orbitz, компания GPS garmin.com, Facebook, Twitter и Skype, чтобы назвать несколько. Это делает перспективу повторного использования пароля еще более проблематичной, поскольку эти люди очень ценны в качестве целей и имеют доступ к большому количеству конфиденциальной информации.

Однако директор по инженерным разработкам Qualys Майк Шема заявил, что видит надежду на будущее. «В 2014 году двухфакторная аутентификация будет продолжать набирать обороты во всех корпоративных и потребительских технологиях, и многие приложения также начнут внедрять двухфакторную аутентификацию. Мы также увидим рост интеллектуальной криптоинженерии для паролей с множественной аутентификацией. " Для двухфакторной аутентификации требуется второй шаг аутентификации, например, специальный код, отправляемый через текстовое сообщение.

Оставаться в безопасности

Общее мнение заключается в том, что эти пароли были получены с пользовательских компьютеров, а не крали информацию о входе в систему с сайтов, что является приятным изменением темпа. Кейлоггеры являются вероятным подозреваемым и особенно опасным. Эти вредоносные приложения могут не только фиксировать нажатия клавиш, но и делать снимки экрана, содержимое буфера обмена, программы, которые вы запускаете, сайты, которые вы посещаете, и даже просеивать чаты в чате и электронные письма. К счастью, большинство антивирусных программ должны быть защищены. Мы рекомендуем победителям конкурса «Выбор редакции» Webroot SecureAnywhere AntiVirus (2014) или Bitdefender Antivirus Plus (2014).

Обратите внимание, что некоторые программы AV по умолчанию не блокируют «серые» или «потенциально нежелательные программы». Кейлоггеры иногда попадают в эту категорию, поэтому обязательно включите эту функцию.

Фишинг и другие тактики, чтобы обмануть жертв, сообщая им пароль, сложнее заблокировать. К счастью, у нас есть много советов о том, как выявлять фишинговые атаки и как их избежать. социальные инженерные атаки , Все, что вам нужно, это немного больше подумать, и вы можете не стать статистикой.

Самое главное, чтобы люди использовали менеджер паролей. Эти приложения создают и хранят уникальные, сложные пароли для каждого сайта или услуги, которые вы используете. Они также автоматически войдут в систему, что усложнит кейлоггерам захват вашей информации. Обязательно попробуйте Dashlane 2.0 или LastPass 3.0, которые удостоены награды «Выбор редакции» за управление паролями.