Открытая папка .git позволила нам документировать фишинговую кампанию

В прошлую пятницу днем один из участников нашего сервера Discord сообщил о фишинговом письме, указывающем на поддельную страницу входа.

Мы взялись за его исследование и из-за неуклюжих решений злоумышленника получили их GitHub и работающего Telegram-бота.

Скриншоты: https://imgur.com/a/FTy4mrH

Иногда некомпетентность нападающего может быть лучшим оружием защитника ¯\_(ツ)_/¯

Фишинговая страница представляла собой стандартный клон «электронной почты», небрендированный и универсальный сервис. Немного тщательной разведки, и мы сделали каталог .git сайта общедоступным и перечислили его содержимое.

Проверка запросов также позволила нам получить первый токен Telegram-бота. Это цифровой эквивалент того, что чертежи всей вашей операции, включая прошлые версии и удаленные файлы, лежат на лужайке перед домом.

Мы извлекли репозиторий, обнаружили автоматизированные развертывания и несколько поддельных страниц с различными жестко запрограммированными токенами ботов Telegram и идентификаторами чата.

Используя исходный код, репозиторий и активный токен бота Telegram, мы подали подробные отчеты о злоупотреблениях:

– GitHub: мы сообщили о репозитории, содержащем исходный код набора для фишинга. Его удалили за нарушение TOS.

– Telegram: мы сообщили о боте, используя предоставленный токен и идентификатор чата, что привело к его удалению.

– Хостинг-провайдер: о вредоносном сайте было сообщено, и он был отключен.

Урок усвоен? Никогда не развертывайте папку .git в рабочей среде. Даже если ты преступник.

Благодарность: это была совместная работа членов сообщества BeyondMachines Discord. Скорость краудсорсинга и сотрудничество помогли нам справиться с этой задачей очень быстро.