Topic: rubati 24 bitcoin su bitstam. 2FA+password lunga 20 + email di conferma prelievo - page 6. (Read 8772 times)

ipotesi n°1 :

again. 2fa bruteforce.
una carta di credito rubata, un centinaio di istanze cloud da due soldi con 10 IP cadauna, un buon programmatore AWS e un'oretta o due di pazienza. con un centinaio di tentativi al secondo effettuati dalle 100 istanze (dunque 10\sec per IP), abbiamo circa 600mila tentativi al minuto. Un po' di fortuna (che non guasta mai) e in un'oretta o due violi l'account. stiamo ipotizzando un software non esattamente alla portata di tutti, ma assolutamente realizzabile.
se bitstamp non aveva adottato misure preventive automatizzate per il blocco degli accounts a fronte di eccessivi tentativi (e nessuno qui mi ha ancora confermato che le aveva adottate, confermatemelo e tutto ciò che ho detto è assolutamente infondato) e se gli audit sul blocco erano manuali, non stiamo parlando affatto di fantascienza. non per niente gli home banking ti silurano l'account, dopo il terzo tentativo 2FA fallito, e devi andare in banca a fartelo riattivare.
su come abbiano avuto le altre credenziali non saprei, ci sono 1000 modi diversi. il più probabile è un semplice keylogger sul tuo computer, un'analisi forense smentirà\confermerà questa tesi.

ipotesi n°2 :

non so quanto sia reversabile il 2FA per risalire al codice padre, francamente non so proprio con che algoritmo funzioni.
tuttavia, se esiste una possibilità di reversare il 2FA, avendo per le mani il keylog di un numero sufficiente accessi 2FA e relativo timestamp, avrebbero potuto rigenerare il codice padre. Questa cosa mi fa ancora più paura, fuffa ?

il mistero si infittisce

non mi risulta che sia possibile syncare il file dati delle applicazioni... (se non lo hai rootato)

Di sicuro hanno avuto accesso al file di configurazione del 2FA e quello della casella email configurata nel telefono. Prendendo questi due file e ripristinandoli su un' altro device, hanno avuto un accesso totale all' account.

Che siano passati per windows, o che abbiano trovato tutto online da un backup effettuato (lastpass, google drive, dropbox), o un malware (o una app rubadati autorizzata al filesystem)  rimarrà un mistero.



FaSan

quindi presumi sia un "semplice" malware windows e che sia riuscito a leggere i dati del cellulare?

No no. Non devi fare un backup del programma, ma solo del file dati. Viene backup-appato anche con la semplice synch, ed è raggiungibile browsando il cell con il cavo usb.




FaSan

ho letto tutto...e onestamente non riesco a trovare una possibile spiegazione,a parte qualche malware sul cellulare,ma il fatto che non sia rootato rende la strada non tanto percorribile IMHO.

Mi verrebbe più da pensare ad un attacco "fisico",qualcuno che abbia preso il tuo cellulare e abbia curiosato qua e là oppure tenderei a dare la colpa a bitstamp stesso.

Di sicuro per prendersi tutte queste seccature il cracker è andato a colpo sicuro,probabilmente per pochi btc non si sarebbe nemmeno mosso,non è roba da 5 minuti.

Ultimo sospettato potrebbe essere lastpass se hai utilizzato il loro servizio di backup in cloud delle tue password...ma anche là rimarrebbe da superare il 2fa.Che sia buggata l'implementazione di bitstamp?

per quanto possa esser buggato il bluetooth.... non ha modo di scaricare il file ... il file è accessibile solo con permessi di root che sono ottenibili solo tramite root del telefono...
non mi risulta si possa fare un backup del programma senza root.... quindi non vedo come possano aver recuperato il file....
inoltre tutti i dispositivi dopo il 3310 hanno il bluetooth con timer ... e praticamente anche se hai il bluetooth attivo se non flagghi la casella sei invisibile (e se la flagghi sei visibile solo per 120 sec) cioè avresti il dispositivo solo in ascolto... e risponde solo a chi ha già ottenuto una connessione (ovvero conosce il mac del telefono e la password) quindi i vecchi virus non possono + far molto

sarebbe interessante vedere il log di bitstamp anche prima e dopo del fatto

Premetto che non me intendo, ma l'accaduto mi ha subito riportato alla mente questa notizia:

http://gigaom.com/2014/01/21/study-shows-99-of-mobile-malware-in-2013-targeted-android-devices/

Si ma come accennavo prima, un bluetooth con accesso ai file può benissimo scaricarsi il file conf della 2FA e ripristinarla sul proprio dispositivo. Così come la synch che fà backup online, se comprensiva dei dati delle app.



FaSan

Quindi in base a queste considerazioni, qual'è la tua ipotesi su quanto accaduto?

Ti assicuro che non sei l'unico rimasto sorpreso! Almeno cerchiamo di imparare qualche lezione.

non è possibile ...
android ha la gestione dei permessi che parla chiaro... se non si ha un permesso non puoi fare una cosa...
e se il telefono non è rootato non puoi accedere ai file di altre applicazioni... quindi non esistono keylogger e cose del genere...
gli unici keylogger che esistono possono stare in una tastiera (se si scarica la tastiera Y potrebbe avere un keylogger all'interno... dato che usi quella per scrivere :-P)
potrebbe essere un discorso diverso per il browser che magari ha la possibilità di accesso dall'esterno.. ma non credo... cioè andrebbe a violare tutto il sistema per fare una cosa che potrebbe essere inutile...
cmq i "virus" del telefono agiscono solamente sui dati salvati sul telefono... principalmente immagini video ecc e quello che riguarda la rubrica ecc ... anche se per accedere alla rubrica bisogna dargli il permesso (idem per i file) ma son cmq 2 permessi che praticamente hanno quasi tutte le app (e i permessi non penso li legga nessuno)



es banale...
su un programma che ho fatto per android per poter inviare una mail dal programma ho dovuto scrivere una funzione per inviare il file che comprendeva tutto... dall'apertura della sessione con login e dati (hardcoded) fino all'invio.... banalmente si sarebbe potuto fare sfruttando già il client della mail che è installato e configurato sul telefono.... pero' per farlo avrei dovuto passare i dati al programma e questo li avrebbe dovuti gestire... è fattibile, ma è richiesta sempre una parte umana per l'invio (praticamente puoi fargli compilare la mail con tutti i dati ma il tasto invia deve esser premuto a mano)... questo proprio perchè un'applicazione non può comandare o prendere dati ad un'altra applicazione... può solo lanciare e INVIARE dati a quest'ultima (che quindi deve esser predisposta a poter ricevere e gestire i dati)

Mi chiedo se esiste un sistema migliore di Android per poter operare, dato che pare sia stato violato con una delle applicazioni del market e non era nemmeno rootato.

Torniamo tutti al vecchio Symbian

Grazie ragazzi.
Il vostro interessamento mi fa sentire meno isolato.
C'é una legge non scritta nel mondo Bitcoin che in parte condivido: i bitcoin sono l'unico denaro sotto il tuo esclusivo controllo e se te li rubano la responsabilità é tua.

Ciònonostante é giusto avere amici che, nell'interesse comune cerca in tutti i modi di limitare e perseguire i furti perché la prossima vittima potremmo essere noi.

Vi chiedo perdono se ho risposto solo stasera ma oltre a diversi impegno ho dovuto reinstallare due "vettori": telefono e mac. Mi manca solo il secondo mac poi potrò ripartire.

Spero di avere risposto in modo abbastanza esauriente alle domande ma capisco di non poter essere completamente d'aiuto in quanto ormai il telefono é ripristinato.

Concordo con la necessità di best practices sticky.

Quando leggiamo di un hack normalmente diciamo "un altro che non aveva la 2FA". É stato sconvolgente per me sapere che uno con la 2FA, la password lunga e unica e la conferma via email era stato derubato. Sapere che ero io mi ha proprio sciolto.

Ma quando cazzo arrivano 'sti TREZOR ?

mah ...
sinceramente son 2 le cose...
o avevano il telefono in mano... o il pc è infetto...
non vedo altri modi per fare un login su un sito....
il problema è che se anche il pc fosse infetto il codice del cell non lo dovrebbero avere in nessun modo dato che il telefono non è rootato... quindi no root -> no accesso a i dati di google auth

quindi secondo me è impossibile....
ovviamente escludo un hack completo a bitstamp perchè in quel caso avrebbero svuotato tutti e non solo te..


PS potevi fare 1 post unico per rispondere a tutti :-P

Sono anch'io convinto che il responsabile é il telefonino. Era presente su un solo device tutto quello che serviva:

Username e password (forse la sessione di login), google authenticator e gmail che aveva la password memorizzata.

Mi dispiace deludervi ma non ricordo esattamente se mi sono collegato quella sera con Bitstamp. Lo ritengo molto probabile perché ero lontano da casa e quando non ho il mac vado spesso sui siti col telefono...

É nel post iniziale nella storia.

Samsung galaxy SII. Non ho cambiato la rom. Solo roba standard.

A questo punto non ci si può nemmeno fidare delle applicazioni android sul playstore.
Potremo essere tutti infetti senza saperlo e brutto da dire ma sembra un dato di fatto.