Analiza kredencijala iz raznih procurelih listi, za domaće domene i sajtove u Srbiji

[milos_rs]

Ovo je izvedeno iz listi šifara koje kruže uglavnom polujavno, nisu na izvolte i mora se malo potruditi da se nađu, ali nisu ni preterano nedostupne. Podaci su nastali najpre iz info stealer-a tj. zlonamernih programa kradljivaca koji raznim putanjama (npr. fišingom) dođu do kućnog/kompanijskog računara pojedinaca i onda kradu, između ostalog, sačuvane lozinke iz browsera koje pošalju na server pod kontrolom e-lopova koji dalje prodaju ili iskorišćavaju ukradene podatke za finansijski profit.

Glavni izvor podataka je naz.api baza koju je obradio i Troy Hunt za Have I Been Pwned, kao i dve druge baze na koje sam naleteo lutajući po telegramu i breach forumima. Prema troyhunt-u u naz.api listi ima i kredencijala dobijenih credential stuffing-om (isprobavanjem jedne pribavljene šifre na raznim sajtovima ne bi li dobili pristup negde gde osoba koristi tu istu šifru). Naz.api je originalno 120GB, ove druge dve su 5GB i 15GB, proverio sam da ove druge dve imaju podatke koji nisu u naz.api. Troy Hunt je naz.api od sirovih 120GB deduplicirao na 24GB, ogromna većina su dakle duplikati što se i potvrdilo mojom analizom domaćih sajtova. Lista je u formatu URL:USERNAME: PASSWORD osim kada nije što mi je bio jedan od mnogih problema za čišćenje podataka.

Mukotrpno čišćenje liste je počelo sa 933093 zapisa koje sam izvukao iz originalnih listi a da su specifični za Srbiju. Posle uređivanja formata i uklanjanja duplikata to je spalo na 121776 pa na 105507 posle dodatnog čišćenja i uklanjanja novonastalih duplikata. Od oko 140GB izvornih podataka gde se nalazi sve živo kao i milioni duplikata, došao sam do pročišćene liste od 5.7MB podataka koji su relevantni za Srbiju. Ovaj projekat je trajao mesec dana sa uloženih preko 100 sati rada. Ovo sam uradio sada i više nikad.

Korišćeni alati: grep sed awk cut sort uniq kao i pipal za deo analize

Upozorenja:

* Listu je moguće još pročistiti od duplikata, ali me mrzi i morao sam u nekom trenutku da kažem dosta i krenem dalje.
* Iz analize su izuzeti nestandardni karakteri, dakle nema šifara na ćirilici ni sa ĆŠĆŽĐŽ, iako takve šifre postoje u listama, ima ih 11351 relevantnih za Srbiju, bez deduplikacije
* Iz analize su izuzete šifre sa android aplikacija koje se takođe nalaze u listama zajedno sa imenom aplikacije na koju se odnose umesto URL-a, ima ih 4796 relevantnih za Srbiju, bez deduplikacije
* što se tiče domaćih sajtova koji nisu na nacionalnom domenu, samo sledeći kao najposećeniji su uzeti u razmatranje: polovniautomobili.com rezultati.com mozzartsport.com mozzartbet.com eponuda.com kupujemprodajem.com halooglasi.com rezultati.com limundo.com kupindo.com shoptok.com coolinarika.com infostud.com goglasi.com startuj.com internet-prodaja-guma.com osiguranik.com animesrbija.com seksi-adresar.co eon.tv goglasi.com airserbia.com

Ovde ću okačiti isto što je i na twitteru, a u drugom komentaru ću staviti proširene liste istih podataka ali u tekst formatu...

• Da počnemo sa top 30 sajtova po zapisima, na forumu je postavljen duži spisak.
  

   

• gov.rs domeni sa preko 20 zapisa. Jedna zanimljivost vezana za gov.rs je da ima 47 zapisa gde je gov.rs mejl korišćen na nekom trećem sajtu.
  

   

• edu.rs domeni sa preko 10 zapisa
  

   

• banke sa preko 10 zapisa
  

   

• Top 20 šifara po količini zapisa, cenzurisane su šifre od nekoga ko koristi istu šifru uvek i na svim sajtovima, zato i ima toliko zapisa jedne te iste šifre koja nije generična.
  

   

• Spisak najčešćih 20 osnovnih reči od kojih su sastavljene šifre, posle ove reči uglavnom ide i neki broj i zajedno sa brojem predstavlja kompletnu šifru
  

   

• Frekvencija dužine šifara... šifre od osam karaktera dominiraju, to je uobičajeno minimum dužina šifre koje sajtovi zahtevaju. Najviše šifara je dužine između 8 i 15 karaktera.
  

   

• Top 20 godina koje su u sastavu šifara, može nam pomoći da spekulišemo o godini curenja šifara, kao i o godištu osoba čije šifre su procurele.
  

   

Neka zapažanja:

* kickassanime.rs se je visoko kotiran jer je publika sajta svetska pre nego domaća, a na našem nacionalnom domenu je. Ovo mi malo kvari rezultate jer šifre i nalozi nisu domaći, ali nema veze.

* Jedan državni sajt je koristio difoltne šifre tipa "Obuk@2023" za napravljene naloge, ima i 2022, 2021, 2020, 2019, 2018... Sajt nije osetljive prirode ali je praksa izuzetno loša.

* Iz toga na koje sajtove su registrovani neki mejlovi MUPa se može izvesti zaključak koje dobavljače koriste za delove, softver, mape, itd. vezano za njihovu policijsku avijaciju, što možda uključuje i dronove. Dakle nije samo problem u curenju šifara nego i operacionih tajni državnih institucija i korporacija za koje se može svašta zaključiti iz metapodataka prisutnih u ovim listama (metapodaci - podaci o podacima - u ovom slučaju ko gde pristupa). Setite se ovoga kada neko kaže da metapodaci nisu opasni po privatnost, naročito ako neki političar to kaže.

* Takođe vezano za gov.rs, ima zapisa pristupanja resursima NSZ (Nacionalna Služba Za Zapošljavanje) koji se nalaze unutar njihove privatne mreže. Ovo ukazuje na to da je neki računar u internoj mreži NSZ u nekom nepoznatom trenutku bio kompromitovan infostealerom.

* ime+godina (rođenja, trenutna) ili ime+3/4 nekakve brojke (dan+mesec?) je veoma popularna šifra

* Šifre su generalno solidne, ima i dosta izuzetno kompleksnih generisanih šifara, mnogo više nego što sam očekivao.

* Većina samo stavi minimum da prođe probe kompleksnosti sajta dakle šifra ima mala slova, jedno veliko, jedan ili više brojeva i jedan specijalan karakter, najčešće uzvičnik na kraju šifre.

* Vremenski period ovih podataka je teško odrediti, ima starih sajtova tipa emmi.rs i vobank.rs, ima dosta svežijih kao što su npr rbabanka.rs. Pošto su ovo generalno podaci iz browsera korisnika, stari domeni su ostali upisani iako se ne koriste, tako da samo na osnovu domena u listi nije moguće odrediti koliko su stari ovi podaci. Na osnovu toga koliko se često koristi određena godina u samim šiframa rekao bih da je većina podataka iz 2022 i ranije.

* Ima 132 zapisa za /wp-admin/ (administrativni panel za wordpress sajt) kao i 339 zapisa sa korisničkim imenom "admin"


Zaključak: Džabe dobre šifre i različite šifre za svaki sajt ako ih pokupi infostealer. Nemojte čuvati šifre u browseru. Pored dobrih šifara jako je bitno ne instalirati sumnjive aplikacije, ne otvarati priloge iz sumnjivih mejlova, redovno ažurirati operativni sistem i aplikacije, naročito browsere. Eksterni password manager koji nije deo browsera je koristan, ali infostealeri napadaju i njih tako da je "Defense in Depth" tj. višeslojna odbrana ujedno i najbolja odbrana. Mislim da je opasnost od zaražavanja infostealerom izuzetno mala za one koji ne koriste piratovan softver/igrice i ne otvaraju sumnjiva dokumenta koja

[milos_rs]

Malo opširnije top liste i u tekst formatu...

Spisak domena sa preko 100 zapisa:

Code:

   7144 kupujemprodajem.com
   3134 eon.tv
   2768 rtsplaneta.rs
   2626 eid.gov.rs
   2469 moj.esdnevnik.rs
   2225 mojsbb.rs
   2163 accounts.google.com
   1765 euprava.gov.rs
   1704 polovniautomobili.com
   1643 kickassanime.rs
   1569 limundo.com
   1368 servisi.euprava.gov.rs
   1231 vipmobile.rs
   1187 sbb.rs
   1111 eucionica.rs
   1088 a1.rs
   1052 mozzartbet.com
    995 kupindo.com
    945 maxbet.rs
    927 moj.mts.rs
    829 gametracker.rs
    799 halooglasi.com
    769 winwin.rs
    761 login.microsoftonline.com
    746 gigatron.rs
    743 telenor.rs
    725 meridianbet.rs
    688 cineplexx.rs
    651 poslovi.infostud.com
    611 webbmail.loopia.rs
    606 mts.rs
    603 mojauto.rs
    572 gateway.hbogo.rs
    469 yettel.rs
    454 tehnomanija.rs
    447 balkanbet.rs
    440 esdnevnik.rs
    439 facebook.com
    414 reid.apr.gov.rs
    406 planetasport.rs
    406 online.bancaintesa.rs
    389 animesrbija.com
    356 emmi.rs
    353 rezultati.com
    338 soccerbet.rs
    335 sportvision.rs
    311 online.mobibanka.rs
    291 admiralbet.rs
    277 merkurxtip.rs
    271 mail.mts.rs
    265 oriontv.rs
    261 poslovi.rs
    260 sasomange.rs
    260 live.com
    256 idp.esdnevnik.rs
    229 mojaucionica.gov.rs
    226 2bike.rs
    225 hb.posted.co.rs
    224 oglasi.rs
    212 coca-cola.rs
    207 msmobile.rs
    206 nekretnine.rs
    198 svastara.rs
    198 online.telenorbanka.rs
    192 infostud.com
    191 rol.raiffeisenbank.rs
    191 esanduce.rs
    188 nsz.gov.rs
    187 knjizare-vulkan.rs
    181 kupoman.rs
    180 superkartica.rs
    175 mojtrg.rs
    161 webmail.sbb.rs
    160 e-zdravlje.gov.rs
    158 proelectronic.rs
    157 nagradenasat.rs
    156 iris.mts.rs
    155 academicsingles.rs
    148 wobyhaus.co.rs
    147 loopia.rs
    143 lutrija.rs
    143 customerzone.loopia.rs
    143 belielektronik.rs
    142 studenti.rs
    142 mojekrpice.rs
    141 netbanking.erstebank.rs
    139 flirtic.rs
    136 emmezeta.rs
    134 silux.rs
    133 google.com
    132 delfi.rs
    130 mojaskola.gov.rs
    130 kliktv.rs
    127 supernovaott.rs
    126 login.sbbzona.rs
    126 hbogo.rs
    125 forum.benchmark.rs
    124 obuke.zuov.gov.rs
    123 knjizara.zavod.co.rs
    122 molplusklub.rs
    120 reklamacije.rs
    118 paypal.com
    118 fastfix.rs
    118 avon.rs
    117 ssluzba.ftn.uns.ac.rs
    115 maxi.rs
    115 lalafo.rs
    115 accounts.autodesk.com
    114 ekupi.rs
    114 ana.rs
    113 topbet.rs
    113 mojnalog.telekom.rs
    113 crf.trezor.gov.rs
    112 popcorn.rs
    112 airserbia.com
    111 gamecentar.rs
    110 ccpokloni.rs
    108 exchange.ecd.rs
    106 svezakucu.rs
    105 yourturntowin.rs
    105 agar.rs
    104 obucametro.rs
    101 games.rs
    100 intersport.rs
    100 dexy.co.rs

Spisak gov.rs domena sa preko 10 zapisa:

Code:

   2626 eid.gov.rs
   1765 euprava.gov.rs
   1368 servisi.euprava.gov.rs
    414 reid.apr.gov.rs
    229 mojaucionica.gov.rs
    188 nsz.gov.rs
    160 e-zdravlje.gov.rs
    130 mojaskola.gov.rs
    124 obuke.zuov.gov.rs
    113 crf.trezor.gov.rs
     87 lpa.gov.rs
     68 portal.zuov.gov.rs
     59 jnportal.ujn.gov.rs
     50 probni.zios.mpn.gov.rs
     48 dositej.mpn.gov.rs
     47 zios.mpn.gov.rs
     44 admin.mojasrednjaskola.gov.rs
     42 nriz.sepa.gov.rs
     40 sso.apr.gov.rs
     38 portal.eturista.gov.rs
     38 katastar.rgz.gov.rs
     34 tszios.mpn.gov.rs
     30 lpa.beograd.gov.rs
     26 evidencije.abs.gov.rs
     24 app.mojdoktor.gov.rs
     22 rgz.gov.rs
     21 webmail.mup.gov.rs
     19 ris2.mpn.gov.rs
     19 prijavazaprijemni2020.mpn.gov.rs
     17 hidmet.gov.rs
     16 eapoteka.mojdoktor.gov.rs
     15 ris.mpn.gov.rs
     15 lms.napa.gov.rs
     15 grider.rgz.gov.rs
     15 esalter.rgz.gov.rs
     14 sepa.gov.rs
     14 pod2.stat.gov.rs
     14 moodle.mpn.gov.rs
     14 ers.alsu.gov.rs
     13 webrzs.stat.gov.rs
     13 jis.lpa.gov.rs
     13 apr.gov.rs
     10 adl.elearning.mod.gov.rs

Spisak edu.rs domena:

Code:

     81 moodle-zvkov.edu.rs
     54 ucenjenadaljinu.edu.rs
     37 eucionica.edu.rs
     28 akademijazakme.edu.rs
     27 viser.edu.rs
     27 e-nastava.zss.edu.rs
     25 cmt.edu.rs
     21 onkologija.edu.rs
     20 iths.edu.rs
     19 moodle.etsmijastanimirovic.edu.rs
     18 eucenje.vzsbeograd.edu.rs
     18 e-nastava.tsk2.edu.rs
     16 studistest.akademijanis.edu.rs
     16 eduka.edu.rs
     16 e-ucionica.tehnickaskolagsp.edu.rs
     15 engleski.edu.rs
     15 e-nastava.prva-tehnicka.edu.rs
     14 nasaskola.edu.rs
     14 moodle.koncar.edu.rs
     13 lectio2.viser.edu.rs
     13 e.fmk.edu.rs
     12 smartdnevnik.smart.edu.rs
     11 moodle.os-natajelicic.edu.rs
     11 logos-edu.rs
     10 oskaradjordje.edu.rs
      9 student.mef.edu.rs
      9 sis.bpa.edu.rs
      9 sis.bbs.edu.rs
      9 mssca.edu.rs
      9 lms.code.edu.rs
      9 its.edu.rs
      9 eindeks.ios.edu.rs
      8 ucionica.ospetarlekovic.edu.rs
      8 tsz.edu.rs
      8 supervizija.ceo.edu.rs
      8 kme-online.edu.rs
      8 ftn.prijemni.edu.rs
      8 eprvagimnazija.edu.rs
      8 elektronskiseminari.edu.rs
      8 cubes.edu.rs
      8 book.tsp.edu.rs
      7 vhs.edu.rs
      7 online.kontext.edu.rs
      7 moodle.vtsns.edu.rs
      7 learning.raf.edu.rs
      7 fsu.edu.rs
      6 tsada.edu.rs
      6 student.fmk.edu.rs
      6 servis.fiti.edu.rs
      6 pttskola.edu.rs
      6 poljvet-svil.edu.rs
      6 mail.tehnickazr.edu.rs
      6 login.experience.edu.rs
      6 katedra.edu.rs
      6 e.skolasvilajnac.edu.rs
      6 e-skola.edu.rs
      6 digis.edu.rs

Spisak banaka:

Code:

    406 online.bancaintesa.rs
    311 online.mobibanka.rs
    225 hb.posted.co.rs
    198 online.telenorbanka.rs
    191 rol.raiffeisenbank.rs
    141 netbanking.erstebank.rs
     89 online.mtsbanka.rs
     87 secureweb.24x7.rs
     83 ebank.otpbanka.rs
     66 ebanking.nlbkb.rs
     51 ebanking.aikbanka.rs
     43 creditagricole.rs
     40 online.sberbank.rs
     36 otpsrbija.rs
     35 cabanking.creditagricole.rs
     31 digital.eurobank.rs
     29 halkbank.24x7.rs
     26 ebank.addiko.rs
     25 intesaonline.bancaintesa.rs
     17 kombankdvorana.rs
     15 ibank.voban.rs
     13 studenti.unicreditbank.rs
     12 nlbbanka.24x7.rs
     11 rbabanking.rbabanka.rs
     11 bancaintesa.rs
      8 sme.nlbkb.rs
      8 online.24x7.rs
      8 mojabanka.creditagricole.rs
      8 infoportal.raiffeisenbank.rs
      8 bankerhosting.rs
      7 web-bank.erstebank.rs
      7 tizi.posted.co.rs
      7 online.nasaaikbanka.rs
      6 erstebank.24x7.rs
      5 ebanking.direktnabanka.rs

Spisak domena korišćenih za mejlove u okviru korisničkog imena:

Code:

  22217 gmail.com
   1996 yahoo.com
   1268 hotmail.com
    868 jancic.rs
    688 sbb.rs
    561 hotmail.rs
    533 mts.rs
    363 open.telekom.rs
    303 live.com
    283 outlook.com
    194 eprosveta.ac.rs
    186 ptt.rs
    175 uns.ac.rs
    141 orion.rs
     88 mlekara-sabac.rs
     77 eunet.rs
     68 tippnet.rs
     67 neobee.net
     67 elfak.rs
     63 its.edu.rs
     54 nigge.rs
     54 eon.tv
     47 ymail.com
     44 singimail.rs
     43 icloud.com
     41 telekom.rs
     35 yahoo.co.uk
     35 stcable.net
     35 abv.bg
     32 web-labs.rs
     31 student.etf.bg.ac.rs
     28 foliranje.rs
     27 mup.gov.rs
     27 ict.edu.rs
     27 ewe.rs
     27 eprosveta.rs
     26 square.rs
     26 msn.com
     25 contessa.rs
     24 vipmobile.rs
     24 studenti.mas.bg.ac.rs
     24 sezampro.rs
     24 protonmail.com
     24 gspns.rs
     23 energynet.rs
     23 beotel.net
     21 teslabg.edu.rs
     21 rtvnp.rs
     21 kalisi.rs
     21 beotel.rs
     20 yurasrbija.rs
     20 telit.rs
     20 student.fon.bg.ac.rs
     20 mail.com

Detalji iz Pipal analize:

Code:

Total entries = 103721
Total unique entries = 64624

One to six characters = 6942 (6.69%)
One to eight characters = 30223 (29.14%)
More than eight characters = 73498 (70.86%)
Only lowercase alpha = 11500 (11.09%)
Only uppercase alpha = 219 (0.21%)
Only alpha = 11719 (11.3%)
Only numeric = 7666 (7.39%)
First capital last symbol = 5188 (5.0%)
First capital last number = 24991 (24.09%)
Single digit on the end = 8276 (7.98%)
Two digits on the end = 15803 (15.24%)
Three digits on the end = 12000 (11.57%)

Character sets
loweralphanum: 35178 (33.92%)
mixedalphanum: 27858 (26.86%)
mixedalphaspecialnum: 12701 (12.25%)
loweralpha: 11500 (11.09%)
numeric: 7666 (7.39%)
loweralphaspecialnum: 2620 (2.53%)
mixedalpha: 1691 (1.63%)
upperalphanum: 1122 (1.08%)
loweralphaspecial: 451 (0.43%)
mixedalphaspecial: 321 (0.31%)
upperalpha: 219 (0.21%)
upperalphaspecialnum: 175 (0.17%)
specialnum: 143 (0.14%)
special: 15 (0.01%)
upperalphaspecial: 10 (0.01%)

Character set ordering
stringdigit: 49868 (48.08%)
othermask: 19580 (18.88%)
allstring: 13410 (12.93%)
alldigit: 7666 (7.39%)
stringdigitstring: 4514 (4.35%)
stringspecialdigit: 3634 (3.5%)
digitstring: 3255 (3.14%)
digitstringdigit: 1183 (1.14%)
stringspecialstring: 329 (0.32%)
stringspecial: 222 (0.21%)
specialstring: 27 (0.03%)
specialstringspecial: 18 (0.02%)
allspecial: 15 (0.01%)

Includes years
1975 = 220 (0.21%)
1976 = 229 (0.22%)
1977 = 209 (0.2%)
1978 = 271 (0.26%)
1979 = 195 (0.19%)
1980 = 215 (0.21%)
1981 = 239 (0.23%)
1982 = 157 (0.15%)
1983 = 169 (0.16%)
1984 = 188 (0.18%)
1985 = 189 (0.18%)
1986 = 231 (0.22%)
1987 = 201 (0.19%)
1988 = 203 (0.2%)
1989 = 215 (0.21%)
1990 = 87 (0.08%)
1991 = 170 (0.16%)
1992 = 191 (0.18%)
1993 = 137 (0.13%)
1994 = 203 (0.2%)
1995 = 163 (0.16%)
1996 = 166 (0.16%)
1997 = 245 (0.24%)
1998 = 150 (0.14%)
1999 = 136 (0.13%)
2000 = 246 (0.24%)
2001 = 180 (0.17%)
2002 = 242 (0.23%)
2003 = 302 (0.29%)
2004 = 320 (0.31%)
2005 = 326 (0.31%)
2006 = 374 (0.36%)
2007 = 377 (0.36%)
2008 = 452 (0.44%)
2009 = 339 (0.33%)
2010 = 278 (0.27%)
2011 = 274 (0.26%)
2012 = 236 (0.23%)
2013 = 254 (0.24%)
2014 = 215 (0.21%)
2015 = 259 (0.25%)
2016 = 177 (0.17%)
2017 = 232 (0.22%)
2018 = 289 (0.28%)
2019 = 324 (0.31%)
2020 = 544 (0.52%)
2021 = 369 (0.36%)
2022 = 230 (0.22%)
2023 = 91 (0.09%)
2024 = 14 (0.01%)
2025 = 8 (0.01%)
2026 = 6 (0.01%)
2027 = 13 (0.01%)
2028 = 6 (0.01%)
2029 = 16 (0.02%)
2030 = 34 (0.03%)

[sonym]

Svaka cast na trudu...Uloziti preko 100 sati u ovako nesto je hvale vrijedno 

[1van]

Hvala Miloše! Odlična analiza!

[y0d4]

svaka cast na trudu, samo daj malo juicy info. zanima me sta se generalno koristi as password

[VincaSec]