Home Sign Up Sign In
UK8ww2

老铁们,被勒索了,但是想不明白是怎么被黑的,求大佬分析

  •   
  •   UK8ww2 · Feb 26, 2024 · 18867 views
    This topic created in 982 days ago, the information mentioned may be changed or developed.
    今天在清理 163 邮箱的时候，发现了这样一封邮件，是自己发给自己的

    正文里写的密码确实是我其他一些账号使用中的密码，但不是我 163 邮箱的密码(163 的密码是 1p 生成管理的)，没搞懂是怎么登录我邮箱的(邮箱没有开二次验证,但没看到异常登录)

    这是附件 html 中的内容,其中还提到了成人网站(虽然看,但是没注册过,也从来没有用过 163 邮箱与成人网站有关联),按他的说法是入侵了我的设备,我的设备都是苹果,且系统均为最新,不排除他们使用 0day(但是使用 0day 搞个人这种勒索是不是有点鸡肋了呃),实在没想通是怎么登录到我邮箱的,文中提到的我那个密码倒是可能在很多社工库都能查到.求大佬分析一波.
  • 邮箱
  • 密码
  • 勒索
  • 登录
    58 replies  •  2024-02-27 07:30:15 +08:00
    dko
    dko
    Feb 26, 2024
    1
    考虑过是诈骗邮件吗
    diivL
    diivL
    Feb 26, 2024
    2
    这个就是诈骗邮件，我好几年前就收到个，那个发件地址是伪造的。
    Curtion
    Curtion
    Feb 26, 2024
    3
    开启了 SMTP? 网易邮箱的 SMTP 密码是单独的密码, 也不会触发异常登录
    K0ma
    K0ma
    Feb 26, 2024
    4
    个人认为是利用从社工库里拿到的个人信息群发诈骗邮件。
    InDom
    InDom
    Feb 26, 2024❤️53
    5
    伪造发件人，社工库密码。

    赌你会怕了...


    楼主你别怕，我打飞机的照片据传每个联系人都看过几百遍了，但我从来不在乎他们无知的眼神。
    UK8ww2
    UK8ww2
    OP
    Feb 26, 2024
    6
    @InDom 哈哈，怕倒是没怕，这个邮件都过去几个月了，就是想知道原理
    Ervin
    Ervin
    Feb 26, 2024❤️2
    7
    you are a big fan of adult websites
    UK8ww2
    UK8ww2
    OP
    Feb 26, 2024
    8
    @diivL 发件地址伪造？还有这种操作么，我搜搜去
    InDom
    InDom
    Feb 26, 2024
    9
    @V392920 #6 你把这封邮件的原始 eml 文件 贴过来 给你 分析分析
    PqgpNgA0wk
    PqgpNgA0wk
    Feb 26, 2024
    10
    一些教程介绍伪造发件人用的也是 163 做示例😂
    liuxyon
    liuxyon
    Feb 26, 2024 via Android
    11
    我经常收到类似邮件, 163 应该邮件服务器没这种安全验证过滤. 不要用这种国内邮箱了. 我的邮箱带着校验发件人. 邮件上有标识. 我搜集成列表, 目前已经搜集 8300 多个 ip 段发送垃圾邮件 或者要黑服务器.
    panfenglai
    panfenglai
    Feb 26, 2024❤️3
    12
    给他回复“我看不懂英文”
    IBN5100
    IBN5100
    Feb 26, 2024❤️1
    13
    发邮件问他还有新的 adult website 吗 我是 big fan
    UK8ww2
    UK8ww2
    OP
    Feb 26, 2024
    14
    @InDom 大佬，我截图了一部分，邮箱脱敏了，麻烦看看呢
    UK8ww2
    UK8ww2
    OP
    Feb 26, 2024
    15
    @IBN5100 回复不了哇，发件人是自己
    jr55475f112iz2tu
    jr55475f112iz2tu
    Feb 26, 2024
    16
    这是群发的
    8355
    8355
    Feb 26, 2024
    17
    @InDom #5 还的是你啊。
    xenme
    xenme
    Feb 26, 2024 via iPhone
    18
    仔细核对下你脱敏的邮件地址和你的邮箱是否完全一致，copy/paste/find 对比一下。 验证下发件人是近似的地址还是伪造地址，还是真的是你的邮箱。
    flyhaozi
    flyhaozi
    Feb 26, 2024
    19
    你这才 1 封还好，我 edge 泄露了 300 多个生成的密码，天天给我发，每封邮件内容都一样就是密码换了，不过没有邮箱的密码，还好邮箱没存密码管理器。他就是赌你邮箱密码跟其他网站的一样，让你以为是邮箱被登了
    UK8ww2
    UK8ww2
    OP
    Feb 26, 2024
    20
    @xenme 我 find 试了，确实和我的邮箱地址是一致的，copy/paste 出来也是一致的
    UK8ww2
    UK8ww2
    OP
    Feb 26, 2024
    21
    @flyhaozi 就是因为他写的密码不是我的邮箱密码，所以我觉得他没登录我的邮箱，但是不知道他怎么做到的发件人是我自己，看起来就像登录我邮箱发的一样
    keyfunc
    keyfunc
    Feb 26, 2024
    22
    @V392920 spf 都没有，正经邮箱不可能用 58866 这种端口，网易不会用 postfix
    qianckjuan
    qianckjuan
    Feb 26, 2024
    23
    假邮件可以理解，密码是怎么拿到的呢
    keyfunc
    keyfunc
    Feb 26, 2024
    24
    可以用网易邮箱给其他的发封先，看看原始信息，我记得网易是带 dkim 的
    flyhaozi
    flyhaozi
    Feb 26, 2024
    25
    @V392920 邮箱伪造发件人是很容易的，主要还是靠邮箱服务商自己的安全机制，比如发件服务器黑名单之类的来防
    UK8ww2
    UK8ww2
    OP
    Feb 26, 2024
    26
    @qianckjuan 密码很简单，他拿我这个邮箱去那些社工库查询就能查到，很多免费社工库都可以查到，但这个密码确实是我很多年前使用的（邮箱由于用的比较频繁早就改过密码了)
    ho121
    ho121
    Feb 26, 2024
    27
    邮件发件人伪造很容易的，就像伪造 User-Agent 一样容易
    littiefish
    littiefish
    Feb 26, 2024 via iPhone
    28
    163 邮箱就是大坑
    lovedebug
    lovedebug
    Feb 26, 2024
    29
    这是一种邮件的攻击方式，利用退信机制仿造自己给自己发邮件
    mschultz
    mschultz
    Feb 26, 2024
    30
    Email spoofing: https://en.wikipedia.org/wiki/Email_spoofing
    另，Google 搜索「伪造发件人地址」也有很多科普文章。

    所以情况大概是：1.这个邮件是群发的诈骗邮件，可以忽略它； 2.骗子可能用自动化程序，对某个（某些）以前泄露的数据库/社工库里面的邮箱都发了这种勒索邮件； 3.骗子并没有登录你的 163 邮箱，发件地址是伪造的

    一些建议：
    1.使用密码管理器，不同网站使用不同密码，能开 2FA 的开 2FA
    2.除非你现有的 163 邮箱地址已经广泛用于工作或亲友等现实世界通信，暂不好放弃，其他使用场景下建议逐渐换用口碑更好、垃圾邮件识别更有效的邮箱服务，例如 Gmail 。
    dya
    dya
    Feb 26, 2024
    31
    还是要定期更改全部密码。不是有 1password 这个软件帮你管理记住密码吗？然后建议只使用 gmail 或者 outlook 邮箱。这两个是大厂。比国内的大厂要好很多。
    InDom
    InDom
    Feb 26, 2024
    32
    @V392920 #14 你看 Received 字段，客户端伪造国外中转。
    1d074bfa18d34f6c
    1d074bfa18d34f6c
    Feb 26, 2024
    33
    应该是假的，图 2 解释太多了，真的有料几张截图就好，看起来是个模板
    UK8ww2
    UK8ww2
    OP
    Feb 26, 2024
    34
    @InDom 确实，那个 ip 是国外的，按理说如果是自己发自己，走 163 的服务器也应该是国内的哈
    liuidetmks
    liuidetmks
    Feb 26, 2024
    35
    @flyhaozi edge 怎么泄露的？
    syh2
    syh2
    Feb 26, 2024
    36
    多年以前,我的 163 也搜到过类似的邮件, 刚看到的时候愣了一下,后面没有理会, 然后就没有后文了
    ClosureEleven
    ClosureEleven
    Feb 26, 2024
    37
    不清楚发件人是自己的原理，不过看内容很典型，我在很多地方看到过这种勒索文案，就是伪装自己是个高级黑客吓唬你的(不会有人不看 porn 吧)
    Greenm
    Greenm
    Feb 26, 2024❤️1
    38
    教你怎么伪造：

    swaks --body "testmyself" --header "Subject: hello I am you " --attach "You can put." -t "[email protected]" -f "[email protected]"

    如果用第三方代发的话，还能绕过 SPF ，我就试过用 trump 的邮箱发给我的 gmail ，完全看不出来伪造的。

    当然楼上说退信的话也是有可能的。
    woody3rd
    woody3rd
    Feb 26, 2024
    39
    我也收到过，勒索要比特币，无所谓，没搭理
    namelesswryyy
    namelesswryyy
    Feb 26, 2024
    41
    简单，前些年有很多泄露的数据包括国内
    有人整合这些泄露的信息搞勒索，账号密码姓名手机什么的
    邮件说什么照片基本都是捏造，就看你会不会怕
    发邮件显示自己地址，这都是黑进一些不安全的邮箱账号后发的
    虽然显示是自己邮箱但是这是发邮件的时候改的，有的邮箱管理差就能发出去
    看似是自己，其实只是显示而已
    ldapadmin
    ldapadmin
    Feb 26, 2024
    42
    社工库撞一下历史泄露的密码，然后给你发勒索。能骗一个是一个。
    gongquanlin
    gongquanlin
    Feb 26, 2024
    43
    大学刚毕业的时候就用 Go 写过一个小程序，专门发送邮件包括 DKIM 都能搞，专门用来发营销邮件。可惜找不到这么大量的 ip 和支持 25 端口就放弃了
    leaflxh
    leaflxh
    Feb 26, 2024
    44
    没提到“我利用你设备的摄像头，捕获到了你 fap 的视频”，我是不认可这封诈骗邮件的
    giffgaffman
    giffgaffman
    Feb 26, 2024
    45
    网易邮箱都是老裤子了，赶紧弃坑国内邮箱，gmail 不香吗？
    sampeng
    sampeng
    Feb 26, 2024
    46
    台式。。哪来的摄像头
    ibinary
    ibinary
    Feb 26, 2024
    47
    兄弟不要怕，我之前也是这样。网易给别人发的。里面带着你的账号密码。然后紧接着发送给你邮件。邮件信息就是你看的信息。 然后说你看成人网站啥的。 不用管。删除就行。不过后面你会遭遇邮箱轰炸，各种垃圾信息。 这些都是信息泄露引起的。没办法。不用怕。
    blankmiss
    blankmiss
    Feb 26, 2024
    48
    发件地址可以伪造
    xuanbg
    xuanbg
    Feb 26, 2024
    49
    钓鱼诈骗邮件，直接删除就好。
    kaidaren
    kaidaren
    Feb 26, 2024
    50
    v 站怎么看图啊
    Rickkkkkkk
    Rickkkkkkk
    Feb 26, 2024
    51
    密码可以认为是 csdn 泄露

    csdn 很早之前泄露过一波密码, 不幸的是 csdn 是明文保存的密码, 所以注册过的人用的那个账号/密码等于就是公开的
    cnt2ex
    cnt2ex
    Feb 26, 2024
    52
    这封邮件缺少很多重要的 Header ，比如 Return-Path ，而且 Received 这个 Header 里甚至出现了 1.45.182.097 这种地址里 0 开头的 IP 。

    感觉是 163 邮箱自己 SPF 检查之类的反垃圾邮件机制不过关导致这封伪造邮件送到了你邮箱里。
    SeleiXi
    SeleiXi
    Feb 26, 2024 via Android
    53
    他说是点击了邮件里面的链接然后下载了病毒，但下载后也不会自动运行吧？一个设备点击了这个链接，又怎么传染到其他设备上？技术上求教一下
    6388xE5FRKTNUT9x
    6388xE5FRKTNUT9x
    Feb 26, 2024
    54
    我的 126 邮箱里收到过一样的邮件。

    查 https://haveibeenpwned.com/ 有记录

    无视了，然后账号也弃用了。
    ReZer0
    ReZer0
    Feb 26, 2024
    55
    也有可能是通过社工库泄露的密码信息来诈你。真要搞你早修改你原密码或者密保验证信息了。估计是从哪里渠道获取了你曾经被泄露的站点和密码信息，然后模拟一个邮箱用来诈你上当。
    flyhaozi
    flyhaozi
    Feb 27, 2024
    56
    @liuidetmks 多半是下载什么软件中了木马或者安装的浏览器扩展里有问题，排查发现有个从第三方下的 three.js developer tool 里有下载脚本的恶意代码（官方没上架），但不知道是不是它泄露的
    LRf5sETzOgzGvk6u
    LRf5sETzOgzGvk6u
    Feb 27, 2024
    57
    问题出在浏览器扩展
    1. 邮箱登录没异地提示且对方不知道密码
    可能性:伪造邮箱, 拥有你的 Cookie
    2.知道你浏览器过色情网站并且并没有在网站注册过
    可能性: 拥有你浏览器历史记录
    至于密码信息那个明显就是社工库找到的
    1 和 2 同时出现 99%就是浏览器扩展出现问题了.
    xguanren
    xguanren
    Feb 27, 2024
    58
    @InDom who cares
    About   ·   Help   ·   Advertise   ·   Blog   ·   API   ·   FAQ   ·   Privacy   ·   Solana   ·   1982 Online   Highest 6679   ·     Select Language
    创意工作者们的社区
    World is powered by solitude
    VERSION: 3.9.8.5 · 147ms · UTC 16:48 · PVG 00:48 · LAX 08:48 · JFK 11:48
    ♥ Do have faith in what you're doing.