Парализовавший работу метро в Сан-Франциско хакер стал жертвой взлома

Парализовавший работу метро в Сан-Франциско хакер стал жертвой взлома

В понедельник, 28 ноября, с Кребсом связался исследователь, сообщивший, что ему удалось взломать почтовый ящик cryptom27@yandex.com, указанный в качестве контактного адреса в требовании о выкупе за разблокировку систем агентства общественного транспорта Сан-Франциско. По словам эксперта, пожелавшего остаться неизвестным, скомпрометировать учетную запись злоумышленника удалось посредством подбора ответа на секретный вопрос и последующей переустановки пароля. Как выяснилось, почта cryptom27@yandex.com была связана с резервной учетной записью cryptom2016@yandex.com, защищенной аналогичным секретным вопросом и ответом.

 Согласно полученным копиям сообщений, злоумышленник раз в несколько дней или недель меняет адрес своих биткойн-кошельков в целях безопасности. Как показал анализ более десятка биткойн-кошельков, с августа нынешнего года злоумышленнику удалось заработать по крайней мере $140 тыс. в биткойнах, полученных в качестве выкупа за восстановление зашифрованных файлов.

 Копии сообщений, отправленных на адрес cryptom2016@yandex.com, указывают на то, что злоумышленник арендовал серверы у по меньшей мере двух хостинг-провайдеров. Один из серверов использовался для поиска уязвимых систем и компрометации жертв. Как показал анализ более 300 IP-адресов, управление сервером осуществлялось из Ирана, а имена Alireza и Mokhi в учетных записях на сервере могут указывать на предположительное имя или псевдоним злоумышленника.

 В основном среди жертв киберпреступника числятся производственные и строительные компании из США, поэтому атака на метро в Сан-Франциско может расцениваться как исключение из правил. В большинстве случаев жертвы выплачивали требуемый выкуп в полном объеме.

Securitylab