Два адреса электронной почты, использованные для рассылки угроз взрыва, которые на этой неделе нарушили работу тысяч итальянских школ, были обнаружены в логах инфостилеров более года назад, сообщают эксперты.
Исследователи из Hudson Rock изучили два университетских адреса электронной почты, использованные для отправки угроз взрыва. Один из них, из египетского университета Кафр-эш-Шейх, был перехвачен Vidar – инструментом киберпреступности, который крадет сохраненные учетные данные и пароли с зараженного компьютера и передает их злоумышленникам – еще в октябре 2021 года. Другой, из тайваньского университета Дайе, был найден среди 284 миллионов адресов, включенных в массивную утечку данных AlienTXTBASE, датированную февралем 2025 года.
Эксперты заявили, что наличие двух адресов в логах инфостилеров не означает, что злоумышленники получили доступ к учетным записям, используя предыдущую компрометацию инфостилеров.
Однако это предполагает, что у университетов и Microsoft, которые оба университета использовали для аутентификации, было достаточно времени, чтобы принять меры в отношении учетных записей, о которых они должны были знать, что они появляются в логах инфостилеров.
Современная разведка угроз сделала логи инфостилеров очень заметными.
“Оба случая указывают на компрометацию учетных данных задолго до инцидента, создавая существенное окно, в течение которого скомпрометированный доступ мог быть расследован и обеспечен”, – сообщает Hudson Rock.
Исследователи заявили, что им потребуются подробные данные, такие как заголовки электронной почты и информация от почтовых провайдеров, включая события входа и журналы аудита, которые могли бы пролить свет на то, кто отправил письмо и из какой сессии.
Понимание того, аутентифицировался ли отправитель в учетной записи, могло бы исключить спуфинг, но само по себе не предоставило бы доказательств того, что отправитель использовал соответствующий пароль, полученный из лога инфостилера. Существует множество способов обойти аутентификацию по паролю.
Исследователи заявили, что в любом случае, когда учетные данные обнаруживаются в логах инфостилеров, организации, ответственные за эти учетные записи, должны принять меры по их изоляции, отозвать доступ, сменить секретные ключи и искать подозрительную активность.
“Этот инцидент иллюстрирует, почему компрометация учетных данных заслуживает внимания не только в контексте мошенничества и кражи данных”, – заявили исследователи.
“Учетная запись обычного университетского пользователя может стать средством для достижения школ, запугивания семей и расходования ресурсов экстренных служб”.
Угрозы
Около 6 300 из 7 476 государственных школ Италии получили поддельные электронные письма с угрозами взрыва между 11 и 12 ноября, хотя только около 390 из них эвакуировали свои здания.
В письмах содержались сообщения вроде “мы вас уничтожим” и “мы проведем геноцид против итальянцев”, а также упоминание “мощного взрывного устройства… с дистанционным спусковым механизмом”.
Первоначальные сообщения предполагали, что письма поступили с тайваньского адреса электронной почты и были подписаны “Михаил Андропов, лидер Вилайята Мисогинистана” – вымышленного государства или региона, примерно соответствующего “земле женоненавистничества”, где “вилайят” означает административный округ Османской империи.
Сообщалось о различных теориях относительно личности отправителя, от учителя из Филиппин, чья электронная почта была скомпрометирована, до операции по дестабилизации, поддерживаемой Россией. Ни одна из них не подтверждена. Россия отрицала какую-либо причастность.
Премьер-министр Италии Джорджа Мелони заявила в четверг вечером, что угрозы не имеют под собой оснований, и что те, кто стоит за скоординированным розыгрышем, стремились вызвать хаос по всей стране.
“На сегодняшний день нет никаких свидетельств реальной опасности”, – сообщило ANSA. “Эти сообщения предназначены не для того, чтобы шокировать, а чтобы напугать.
“Те, кто их пишет, в первую очередь ищут наш страх, потерянные дни, подозрения и хаос. Следователи и судебные органы, совместно с европейскими коллегами, работают над установлением того, кто за этим стоит”.
Школы во Франции, Ирландии, Северной Ирландии и Шотландии также получили аналогичные письма на этой неделе. Ни одна из соответствующих полицейских служб не сочла угрозы достоверными.
Сотни школ по всей Республике Ирландия получили письма, как и новостные организации, такие как RTÉ, которая эвакуировала свой кампус в Доннибруке, нарушив запланированное вещание.
Около 300 школ в Северной Ирландии получили угрозы взрыва, хотя PSNI заявила, что они рассматриваются как розыгрыш, а риск для общественности оценивается как низкий.
Аналогично, полиция Шотландии подтвердила, что около 1000 школ пострадали от кампании по рассылке писем, и что угрозы не считались достоверными.
Во Франции три школьных округа подтвердили получение аналогичных угроз. Отдельно, внутренние и международные железнодорожные перевозки, включая сообщения Eurostar до Лондона, были прерваны в четверг после угроз взрыва на станции Кале-Фретен.
Последняя волна угроз последовала за аналогичными инцидентами в других типах организаций в последние недели, включая авиаперевозчиков, авиадиспетчеров и банки крови.
В начале этого месяца пострадали по меньшей мере 34 рейса различных авиакомпаний в Европе. Некоторые были вынуждены совершить незапланированные посадки, например, рейс Aer Lingus, который приземлился на французской авиабазе вместо предполагаемого пункта назначения в Риме.
Военные истребители также были подняты для сопровождения других самолетов в итальянском и австрийском воздушном пространстве. ®
Всегда имейте в виду, что редакции могут придерживаться предвзятых взглядов в освещении новостей.
Автор – Connor Jones
