Bombariadókat küldő email feltörve
Az egyetlen kiindúló pontunk a domain amit minden bombatámadással kapcsolatos cikkben láthattunk: coredp.com (vagyis a [[email protected]](mailto:[email protected]) email). Ez a domain egy valódi cégé volt 1994-től 2010-ig, amikor a cég bezárt. Lásd a céget: https://en.wikipedia.org/wiki/C.O.R.E. 2010-ben a domain lejárt és egy domain parking cég tulajdonában volt egy ideig, amíg 2015 december 29-én meg nem vásárolta valaki. (Nem biztos hogy pontos időpont) Az akkori tulajdonos egy eléggé megkérdőjelezhető japán prostitúcióval foglalkozó oldalt rakott fel?! Lásd: https://web.archive.org/web/20151229200452/http://www.coredp.com/ Lehet callgirl-ekkel foglalkoztak, akit érdekel nézzen fel wayback machine-re. Az oldal fent volt 2018 május végéig, ekkor már 404 errort dobott. Majd 2019 június 18-án feljött egy viátnámi scam oldal "Ingyen windows/office aktiváló kulcsokat árulva". Majd 2020 májusában feljött egy oldal ahol APK-kat lehetett letölteni. Lehet hogy az APK-k vírusok voltak de amiket megnéztem valós APKPure-ról letöltött fájlok voltak. 2024 júniusáig müködött az oldal ám ekkor elkezdett SSL errorokat dobni. Valószinűleg a támadók ilyenkor vették át az írányítást az oldal felett. (oké nemhiszem hogy ez így történt tekintve hogy a tempm.com MX recordot 2023-ban csapták fel) Az oldal DNS infóit nézve jelenleg 2 namserver Cloudflare namserveren van ami fontos lesz később. melina.ns.cloudflare.com és dylan.ns.cloudflare.com és van egy MX record ami tempm.com-ra mutat ami számunkra érdekes lehet. Elég könnyen rá lehet jönni ha meglátogatjuk ezt az oldalt, hogy ez egy temp mail service. És a támadók ezt a mail service-t használják a domainjukkal. Csak hogy ez nem a legbiztonságosabb szolgáltatás mert ha bárki meglátogatja ezt az oldalt https://tempm.com/[email protected] láthatja az oda beérkezett emaileket. (lásd: képek vagy csekkold az oldalt magad, van néhány elég vicces email) De ami ennél fontosabb, volt egy Pornhub és egy yandex.ru fiók regisztrálva az emaillel. A Pornhub fiókba sikerült belépnem és resetelni a jelszót de semmi értelmeset nem találtam, csak a támadó által kedvelt harcore videókat. A yandex.ru fiókot sajnos nem sikerült resetelni tekintve hogy nem tudtam a fiókhoz megadott kereszt- és családnevet. Ezen kívül látszódott, hogy ugyanazt a fenyegető emailt amit a kiválasztott iskoláknak küldött magának is elküldte néhányszor. A yandex.ru fiók miatt biztos vagyok abban, hogy a támadók oroszok akik egy jót nevettek azon ahogyan iskolát iskola után evakuáltak. Bár az is lehetséges hogy orosz állam által támogatott támadók állnak a háttérben, hiszen ugyanilyen fajta támadás érte Szlovákiát és Szerbiát is. Lásd: https://telex.hu/belfold/2025/01/23/szlovakiaban-es-szerbiaban-is-volt-mar-tomeges-bombariado Ugyanitt valaki lefuttatott egy Spycloud keresést a domainen és elég sok databreachben vannak leakelt jelszavak ezen a linken, lövésem sincs miért. Visszatérve a Cloudflare NS-ekre: azt kell tudni CF-ről, hogy egy CF fiókhoz kötött domaineknek mindig ugyanaz a 2 nameservere lesz. Ha valaki nagyon unatkozik securitytrails.com-on lekérheti az összes domaint aminek ugyanaz a nameservere mint coredp.com-nak, ugyanezt megcsinálhatja a másik NS-el is majd ha a 2 listát összehasonlítja és van egyező domain akkor az a domain 100%-ban ugyanaz a Cloudflare fióké, ami esetünkben azt jelenti hogy a támádóé. Nem biztos hogy ugyanazoké a domain, de ha van két domain amit egy tulajdonoshoz szeretnénk kötni, akkor egyező CF nameserverek picit segíthetnek. Én eddig jutottam a nyomozásommal, ha bárki folytatni szeretné nyugodtan, a CF namserver lookuphoz már nem volt sok kedvem. Ha bármi faszságot írtam az 4 shot és 4 óra alvás kombó miatt lehet, ami 15 évesen nem biztos hogy egészséges.
Képek: https://imgur.com/a/ZBygEld (edit: emailek cenzurazva)
Cuccosok amiket használtam:
https://web.archive.org/
Edit: Köszönöm szépen az awardokat, a támogatást és a kritikát mindenkinek. Tévedtem Cloudflare NS-ekkel kapcsolatban, javítva. Már csak reménykedem hogy nem kopogtatnak. Az ivásról pedig megpróbálok leszokni. Atlatszo Cikk
Telex Cikk
Daily News Hungary Cikk
24.hu Cikk
u/0xAlpraz ugyanúgy keresgélt mint én, itt az X bejegyzése és úgy tűnik sokkal többre jutott mint én. Ajánlom elolvasni a Telex cikket, hiszen sokkal mélyebben belemegy a témába mint én itt. Ugyanúgy megvan neki a támadó teljes neve, IP címe, lakcíme és már feljelentést is tett az elkövető ellen.