'n Oortreding by IRINN-stelsels kon Indië se meer as 6000 internetdiensverskaffers, regerings- en privaatorganisasies beïnvloed het.
Ons by Seqritese Kuberintelligensielaboratoriums (https://seqrite.com) in noue samewerking met ons Vennoot, seQtree Inligtingsdienste (https://seqtree.com/) het onlangs 'n uitsaai-advertensie op 'n Darknet-platform opgespoor waar 'n ondergrondse akteur toegang tot die bedieners en databasisdump van 'n ongespesifiseerde geadverteer het. InternetregisterNa 'n gedetailleerde navorsing het die span die betrokke organisasie geïdentifiseer as Indië se Nasionale Internetregister: IRINN (Indiese Register vir Internetname en -nommers)) wat onder NIXI (Nasionale Internetuitruiling van Indië) val. Die voorbeeldskermkiekies (gedeel deur akteur) het bevestig dat die kompromie werklik was.
Volgens die standaardprotokol het ons die toepaslike agentskappe gekontak en hulle ingelig oor die moontlike oortreding by IRINN.
Hier is die gedetailleerde volgorde van gebeure wat verband hou met hierdie kompromie:
- Nadat ek die uitsaai-advertensie opgemerk het, seQtree en Seqrite spanne het agtergrondnavorsing oor die akteur begin insamel, maar het geen konkrete inligting opgelewer nie.
- Maar die span het geen relevante data gekry nie, selfs nadat hulle deeglike navorsing gedoen het, en dit het gelyk of hierdie akteur se persona onlangs geskep is. Dit is 'n voortdurende tendens wat die span opgemerk het met onlangse datalekke.
- Die span het toe die akteur gekontak vir verdere besonderhede, en voorgegee dat hy 'n belangstellende koper is. Aanvanklik was die akteur nie bereid om die naam van die betrokke persoon bekend te maak nie. Internetregister, Later het hy egter ingestem om 'n klein voorbeeld van 'n e-poslys uit die beweerde gekompromitteerde databasis te deel.
- In die steekproef het die span die e-posadres van 'n opgemerk. prominente Indiese tegnologiefirma en 'n ander e-posadres was van Indiese regeringToe het die span gevra vir 'n volledige/uitgebreide e-poslys.
- Uiteindelik het die akteur ingestem om 'n tekslêer te deel wat die e-posse van gebruikers/organisasies bevat wat geraak is, na bewering van die gekompromitteerde databasis(se). Die tekslêer het 'n lys van ongeveer 6000 e-posse bevat.
- Daar is waargeneem dat sommige van die belangrikste en mees hoëprofiel-organisasies op die lys verskyn. Op hierdie stadium het die span eers gedink aan die moontlikheid dat die betrokke organisasie Indië se Nasionale Internetregister: IRINN (Indiese Register vir Internetname en -nommers)) wat onder NIXI val.
- Om ons vermoede te bevestig, het ons die akteur verder ondersoek. Die akteur het ingestem om skermkiekies te deel wat ons vermoede bevestig het dat die kompromie/oortreding ongelukkig waar is en dat IRINN die betrokke organisasie is.
- Die akteur het ook op die klets gesinspeel dat as hy geen belangstellende koper vind nie, die akteur dit sal oorweeg om dit op die Darknet-forum(s)/markplek(ke) te plaas.
- As hy 'n belangstellende koper kry, kon die aanval op die stelsel die internet-IP-toekenning en gevolglik die volledige internet in Indië ontwrig het.
Dit kan 'n belangrike instrument van massa-ontwrigting wees as 'n staatsakteur dit in die hande kry.
Hieronder is die lys van 'n paar geselekteerde organisasies wie se dienste moontlik ontwrig is, asook die voorbeeldskermskote om ons waarneming te bevestig.
| Indiese regering | Telekommunikasie/ ISP's | Finansiële organisasies | Tegnologie firmas |
| UIDAI (Aadhaar) | Idee Telekom | Aandelebeurs van Bombay (BSE) | Flipkart
|
| DRDO | Aircel | Mastercard / Visa | Ernst & Young (E&Y) |
| Reserwebank van Indië | BSNL | SBI | TCS |
| ISRO | Jy Breëband | HDFC | Wipro |
| ISRO Satelliet Sentrum (ISAC) | Spektranet | ICICI Prudential Mutual Fund | VMWare |
| Werknemers se Voorsorgfonds Organisasie | Wegbreek | BNY Mellon | eClerx |
| Verskeie Indiese staatsregeringsportale (bv. Maharashtra Online, MP Online) | Sify | IDBI Bank | Zoho |
| Vikram Sarabhai Ruimtesentrum | Tikona | Federale Bank | |
| Nasionale Sentrum vir Antarktiese en Oseanavorsing | Royal Bank of Scotland | ||
| Edelweiss Tokio | |||
| Dena Bank | |||
| IDFC Bank | |||
| Canara Bank |
Screenshots
Van die gesensorde skermkiekies (ons het die persoonlike besonderhede vervaag) is hieronder aangeheg,
Fig. (1)
Fig. (2)
Fig. (3)
Assessering
Ons het die volgende uit ons navorsing en die gedeelde skermkiekies beoordeel:
- Die akteur het 'n databasis verwant aan IRINN, sowel as 'n databasis verwant aan APNIEK (“apnicdb” in skermkiekie 1).
- Die prys wat deur die akteur vir die databasis vasgestel is, was/is 15BTC (ongeveer 61500 USD teen huidige koers).
- Die akteur kan toegang tot ander se portaal op die IRINN-webwerf verkry. Dit kan aandui dat die akteur, benewens e-posadresse, ook toegang tot wagwoorde het (soos sigbaar in skermkiekie 2 en 3).
- Die akteur kan moontlik IP/ASN-toewysing/de-toewysing vir verskeie organisasies beheer (soos sigbaar in skermkiekie 2).
- Akteur het moontlik toegang tot interne sensitiewe dokumente wat deur IRINN-gebruikers opgelaai is (’n PDF-lêer is sigbaar in skermkiekie 3).
Verdere opdatering soos op 28th September 2017:
Ons span het 'n plasing in die Darknet-forum opgemerk, wat 'n duidelike aanduiding gee dat die akteur ook begin adverteer het oor die beskikbaarheid van hierdie inligting op openbare Darknet-forums. Skermskote is hieronder:
Fig. (4)
Fig. (5)
In die bogenoemde skermkiekies kan ons sien dat die akteur 15 BTC vra in ruil vir die IRINN se databasis.
Implikasies
Na aanleiding van die skermkiekie en e-poslys wat met ons span gedeel is, glo ons dat hierdie kompromie ernstige implikasies vir die betrokke organisasies kan inhou.
Die forumplasing dui daarop dat die akteur die gebruikersnaam, wagwoorde, e-posse, organisasiename, fakture en faktuurdokumente, ens. onder andere dokumente het.
As 'n akteur toegang tot enige organisasie se IRINN-portaal kry, kan hulle moontlik IP/ASN de-allokeer/verwyder, wat onderbrekings en diensweigering vir die gebruikers en organisasies kan veroorsaak.
aksies
Ons het die toepaslike agentskappe in die regering in kennis gestel en het 'n bevestiging ontvang dat die probleem opgelos is.
Hopelik sal dit nie tot enige ontwrigting lei nie. Proaktiewe monitering en rapportering in enige sodanige geval kan altyd groot skade voorkom.
Alle Intellektuele Eiendomsregte, insluitend handelsmerk(e), logo('s) en kopiereg(e), is die eiendom van hul onderskeie eienaars. Kopiereg © 2017 Quick Heal Technologies Ltd. Alle regte voorbehou.
