俄羅斯四大黑客論壇被團滅
短短兩個月內(nèi)，俄羅斯四大網(wǎng)絡犯罪黑客論壇被“連根拔起”。
據(jù)安全博客Krebsonsecurity報道，過去的數(shù)周中，為數(shù)以千計“資深”網(wǎng)絡犯罪分子服務的四個老牌俄語黑客論壇被黑客入侵。在其中兩次入侵中，攻擊者獲取了論壇用戶數(shù)據(jù)庫，包括電子郵件、IP地址以及哈希密碼等信息，其中一個論壇的加密貨幣錢包密鑰(編者：通常是網(wǎng)絡犯罪論壇的“公積金”)，另一個論壇則遭遇了轉(zhuǎn)賬欺詐。
讓這些犯罪論壇的會員們頗為擔心的是，多個論壇的泄漏數(shù)據(jù)可能成為“羅塞塔石碑”，被情報和執(zhí)法機構(gòu)用來關(guān)聯(lián)破譯并鎖定用戶的真實身份。
首先被黑客攻陷的是Maza(以前也被稱為“Mazafaka”)，這是一個有十多年歷史的，臭名昭著的俄羅斯地下網(wǎng)絡犯罪論壇。
過去多年，Maza是世界上最一間多產(chǎn)的網(wǎng)絡犯罪分子的“頂級會所”，也是許多犯罪活動的重要交易場所，包括惡意軟件分發(fā)、洗錢、信用卡信息銷售、賬戶銷售和許多其他非法行為。該論壇被認為是網(wǎng)絡犯罪分子中的“高端群”，進入門檻很高。
上周初，Maza論壇會員們驚訝地發(fā)現(xiàn)，論壇被黑了。
情報公司Flashpoint的最新報告顯示，入侵Maza的黑客已經(jīng)收集了有關(guān)該網(wǎng)站用戶的數(shù)千個數(shù)據(jù)點，包括他們的姓名、電子郵件地址和哈希密碼。黑客還在論壇主頁上發(fā)布了兩個警告消息：“您的數(shù)據(jù)已泄露”和“此論壇已被黑客入侵”。(下圖)
根據(jù)KrebsOnSecurity的報告，本周二黑客將竊取的數(shù)據(jù)公布到了暗網(wǎng)上，使犯罪分子面臨身份暴露的風險(這多少有些諷刺意味)。而威脅情報公司Intel 471也驗證了泄漏數(shù)據(jù)的真實性。
在線泄漏的長達35頁的PDF文檔的頂部，是一個據(jù)稱是Maza管理員使用的私有加密密鑰。除用戶名、電子郵件地址等聯(lián)系信息外，該數(shù)據(jù)庫還包含許多用戶的ICQ號碼。ICQ是最早期的即時消息平臺，深受網(wǎng)絡犯罪“老炮”的信任，但此后ICQ的使用就過時了，轉(zhuǎn)向了更多的私密通訊網(wǎng)絡，例如Jabber和Telegram。
同在2月份，還有一個流行的網(wǎng)絡犯罪論壇Crdclub遭到了襲擊。根據(jù)Intel471的博客文章：“在2月，另一個網(wǎng)絡犯罪論壇Crdclub的管理員宣布論壇遭黑客攻擊管理員賬戶泄漏。攻擊者利用管理員賬戶權(quán)限誘使論壇客戶使用匯款服務(該匯款服務由論壇管理員擔保)，從論壇轉(zhuǎn)移了不明數(shù)目的資金。論壇的管理員答應賠償被騙者。”
在Maza和Crdclub被“拿下”之前不久，1月份另兩個俄羅斯網(wǎng)絡犯罪論壇——Verified、Exploit也遭到了類似攻擊。
1月20日，俄語黑客論壇“Verified”的一位長期管理員透露，該論壇的域名注冊商已被黑客入侵，論壇域名被重定向到攻擊者控制的Internet服務器，甚至論壇的比特幣錢包也被破解。該管理員在論壇中發(fā)布了遭遇黑客入侵的聲明：
據(jù)觀察，這種高級別犯罪論壇遭遇連環(huán)攻擊是極不尋常的，因為犯罪黑客雖然經(jīng)常會互相攻擊，但這種大型論壇被團滅的情況實屬罕見。
漏洞利用網(wǎng)站的一些用戶假設，此次清除不是競爭對手的一伙黑客的結(jié)果，而是執(zhí)法人員的結(jié)果。Krebs提出了一個黑暗的網(wǎng)絡用戶提出的以下理論：
“只有情報服務人員或知道服務器所在位置的人才能做這樣的事情……一個月內(nèi)連續(xù)黑掉三個重要論壇，這很奇怪。我認為這些不是普通的黑客。有人故意破壞論壇。”
另一位論壇潛水用戶則推測，最近的黑客攻擊像是某些政府間諜機構(gòu)的工作。
類似地，F(xiàn)lashpoint的報告也給出了攻擊可能是政府干預的討論。如果這些黑客攻擊是執(zhí)法部門所謂，那么不得不說這是非常“新穎”的戰(zhàn)術(shù)，因為犯罪論壇接連被黑，將極大打擊網(wǎng)絡犯罪份子對論壇的信心和信任。
一名Exploit用戶寫道：“(長此以往)將不會有(犯罪)論壇，人與人之間將不會有信任，合作減少，也更難找到合作伙伴，這意味著更少的攻擊。”
【本文是51CTO專欄作者“安全牛”的原創(chuàng)文章，轉(zhuǎn)載請通過安全牛（微信公眾號id:gooann-sectv）獲取授權(quán)】
