Ело4ка
18:46 26-03-2014 паникапаника
Вчера взломали мою страничку вконтактовскую. Причем так интересно вышло - я читаю новости, и тут меня ВНЕЗАПНО выкидывает на страницу регистрации. Почуяв неладное, я тут же сменила пароль (с подтверждением по смс) на совершенно крабовый, ЧиСтОНаБоР разнокалиберных букв и цифр. Зашла, задетектила левые исходящие сообщения с моего аккаунта (типа "приветик а напомни свой номер телефона") всем моим друзьяхам, предупредила всех о том, что страничка была взломана, и тут СНОВА! Как они умудрились за минуту взломать крабопароль? Чем они вообще пользуются для этого?..

После того, как проблема была окончательно решена заходом с другого компа и полной очисткой предыдущего, я написала тикет в поддержку контактовскую. Уже постфактум. С жалобой на конкретный (!!!) айпишник, который вычислила прекрасная вещь WhoIs. С указанием на то, что взлом производился из Самары. И не как-нибудь, а с домашнего конкретного компа. И еще через 7 часов (!!!) после тикета меня заблокировали как страницу, рассылающую спам. Ну браво! Оперативная, епрст, и очень нужная работа техподда! Из-за этих несвоевременных блоков пароль пришлось менять около 5-6 раз (не помню точно), и они еще дурацкие советы рассылают. Я им говорю - взлом произошел с такого-то айпишника, айпишник ведет туда-то, это домашний комп, бла-бла. А они мне - вы аккуратнее переходите по непроверенным ссылкам, знаете, это может привести к проникновению вирусов, ай-ай, плохо, бо-бо. Блъ, меня ничто так не бесит, как отношение ко мне как к бездарной ученице младших классов.
Комментарии:
Piccolo_fiore
20:27 26-03-2014
Ну ты даёшь )) я, например, даже не знаю что такое Хуиз и как найти айпи взломщика, вот вообще. Может у них такая реакция потому, что ты скорее исключение, чем правило.
Тарантул
16:09 27-03-2014
А что whois выдал, имя регионального провайдера? Через whois не всегда возможно понять, является ли этот IP выделенным для конкретного компа или, как это чаще бывает, за ним скрывается целый районный сегмент сети.

"Взлом" пароля происходит очень просто и мгновенно - это даже не взлом. На компе прописывается некая херь, которая в режиме реального времени пересылает кукисы от требуемых сайтов куда надо. Чаще всего это эта некая botnet, в которой задействован и тот, зачастую ничего не подозревающий юзер из Самары, комп которого заходит по полученным кукам и далее в дело идёт рассылающий скрипт по контактлисту... в общем, это всё хорошо известно.

Так вот, логично, что первое, что делает саппорт - это морозит страницу и советует владельцу аккаунта почистить комп/сменить пароль. Потому что остальное - уже следствия. Блокирнуть айпи - другие сегменты ботсети вступят в действие.

Ну а скорость реагирования вконтактовского саппорта эпична и легендарна, да. У меня как-то было похожее, с чьего-то планшета зашел в аккаунт и панеслась. Через пару часов всё сменил/удалил/нормализовал и продолжил радоваться жизни, а через два дня страницу блокирнули )))
Ело4ка
16:40 27-03-2014
netname: ESAMARA-PPPOE-14-NET

Граждане с опытом утверждают, что если подсеть выделена для подключений PPPOE, то за IP не прячется еще сеть.

Я вообще как-то не в тренде относительно взломов паролей, и мне это не так хорошо известно Меня поразил факт, что после смены пароля его тут же сломали снова. Если на компе прописывается некая херь с подобными функциями, то скорее всего это вирус, причем троян. На компах всех подряд тут стоит дрвеб, он обновлен и очень опасен обычно ругается вообще на все что можно, даже на попытки фотошопа обновиться. А тут молчал аки рыба об лед.
Тарантул
17:13 27-03-2014
Эмм... протокол PPPoE как раз обеспечивает авторизацию через внутренний сервер, внутри там используется свой пул адресов, а "в мир" уже идут по внешним айпи провайдера. Если PPPoE в названии сегмента говорит о том, что внутри используется PPPoE (ну мало ли, мож ещё какие варианты, я не знаю, как регламентируется униформенность названий подсетей ), то там свой внутренний пул.

Да, речь идёт, несомненно, о вирусе. Есть такие, которые живут непосредственно в браузерном кэше до перезагрузки и самоубиваюцца апстену раньше, чем антивирь успевает зохавать их в карантин, чтоб не раскрыть секреты врагам код. Но уж взвизгнуть-то дрвеб должен был, или как он там реагирует На подозрительную сетевую активность, активность в оперативке, на подозрительный .js или того чище .exe в кэше... Даже если этот самый джаваскрипт целиком запускался с какого-нить сайта, всё равно исполняемый-то процесс шёл на компе. Что-то как-то какую-то мышь не поймал Дрвеб)