Es ist extrem einfach, E-Mails zu fälschen. Wenn jemand dies vortäuschte, sehe ich nicht, wie die Agentur davon erfahren würde. Die Sorge ist, dass der Link, den sie Ihnen gesendet haben, der Angriff selbst war. Dies könnte beispielsweise ein CSRF -Angriff sein:

Mit ein wenig Hilfe von Social Engineering ( wie das Senden eines Links per E-Mail oder Chat) kann ein Angreifer die Benutzer einer Webanwendung dazu verleiten, Aktionen nach Wahl des Angreifers auszuführen.

Ein Vorschlag besteht darin, sich an das Büro zu wenden und herauszufinden, ob sie dies tun. Nur weil die Sprache richtig erscheint und sagt, dass sie vom richtigen Absender stammt, bedeutet das nichts. Dies ist ein gängiger Ansatz für Phishing-E-Mails.

Eine CERT-Aufgabe ( Computer Emergency Response Team) besteht genau darin, die Sicherheitsprobleme der in ihrem Wahlkreis tätigen Aktivisten zu überwachen.

Bei nationalen CERTs wie CERT- AU, sie kümmern sich oft um alles, was in ihrem Land gehostet wird, und wenn sie auf ein Problem aufmerksam gemacht werden, besteht ihre Aufgabe darin, sich mit dem betroffenen Eigentümer in Verbindung zu setzen, damit er das Problem beheben kann (wie in diesem Fall). Sie hätten Ihnen auch Ratschläge geben können, falls Sie diese benötigt hätten, um das Problem zu finden.

Diese Dienste sind für die Menschen kostenlos (sie sind eine Regierungsbehörde) und werden Sie nicht um Rat fragen Zahlungsart für die Benachrichtigung.

Eine vollständige Liste der CERT-AU-Dienste finden Sie unter https://cert.gov.au/services

Die Art und Weise, wie Sie die URL als hXXp: //domain.com [.] Au / s.htm bereitstellen, ist eine weit verbreitete Methode, um schädliche URLs zu teilen. Das Ziel ist, dass Sie die URL erhalten (die Sie benötigen, um herauszufinden, wo sich der schädliche Inhalt befindet), aber gleichzeitig das Risiko minimieren, dass Sie sie versehentlich in der falschen Umgebung oder vor dem vollständigen Lesen der E-Mail öffnen könnten ( Darüber hinaus hilft es auch, E-Mail-Filter zu vermeiden, die E-Mails mit schädlichen URLs löschen¹).

Es gibt viele Quellen, aus denen sie möglicherweise von diesem Vorfall erfahren haben:

• Eine Person hat sie benachrichtigt
• Eine andere CERT- oder Sicherheitsfirma hat sie benachrichtigt
• Es wurde auf einer Liste kompromittierter Websites angezeigt, die sie abonniert haben.
• Es wurde auf angezeigt Einige Verunstaltungsforen, die sie beobachteten (wie Zone-h)
• Sie fanden es, als sie eine andere Untersuchung durchführten.

Unter den Vorteilen des Sendens Die Benachrichtigungen über das CERT lauten wie folgt:

• Wenn mehrere gefährdete Websites vorhanden sind, ist es viel einfacher, eine einzelne Entität pro Land zu benachrichtigen, als jedem Website-Betreiber¹
• Das CERT verfügt häufig über ein Verfahren zum erneuten Versuch, falls er vom Administrator ignoriert wurde. Ein Dritter würde es wahrscheinlich nur einmal versuchen.
• Das CERT verfügt möglicherweise über bessere Kontakte, an die die Benachrichtigung gesendet werden kann.
• Als neutrale Partei wird dem CERT mit größerer Wahrscheinlichkeit Aufmerksamkeit geschenkt to²
• Keine Sprachbarriere: Das CERT sollte in der Lage sein, den Websitebesitzer in seiner Muttersprache zu kontaktieren.
• Das CERT verfügt über technische Mitarbeiter, die das Problem leicht verstehen können und können Erklären Sie dies bei Bedarf dem Website-Eigentümer (der möglicherweise selbst kein Wissen besitzt).

Eine Liste der weltweiten CERTs (sowohl öffentlich als auch privat) ist verfügbar Zunächst: https://first.org/members/teams

Eine Datenbank europäischer CERTs und Sicherheitsteams ist auch unter Trusted Introducer verfügbar.

¹ Beispielsweise findet Google jeden Tag eine Menge bösartiger URLs, die es beim Crawlen findet, anstatt zu versuchen, sie direkt dem Eigentümer zu melden, und teilt sie den relevanten Personen mit nationales CERT, damit er sich um die Benachrichtigung kümmern kann.

² Stellen Sie sich vor, diese Frage wäre «ein zufälliger Typ von einer Hotmail-Adresse, die unser Administrator gesendet hat…»

Wenn sie es Ihnen nicht in dem Brief gesagt haben, gibt es keine Möglichkeit zu wissen, wie sie über den Hack informiert wurden. Es besteht die Möglichkeit, dass jemand CERT ein Problem, einen Angriff oder eine Untersuchung gemeldet hat und dann den Ursprung des Backs auf die IP-Adresse Ihres Servers zurückführen konnte.

Ich empfehle Ihnen, zumindest fortzufahren Ihre Untersuchung; Aber ziehen Sie in Betracht, eine Sicherheitsfirma zu beauftragen. In dieser Phase eines Angriffs gibt es viel zu tun, außer zu verstehen, was passiert ist. Möglicherweise müssen Sie Beweise aufbewahren, Sie müssen Ihre Systeme wiederherstellen, Sie müssen möglicherweise Benachrichtigungen über Verstöße bereitstellen, und Ihre Kunden müssen möglicherweise ihre Kennwörter ändern. Alle Arten von Aktivitäten können von einem Verstoß herrühren, und ein Fachmann hilft Ihnen dabei.

Ohne die E-Mail-Header zu sehen, können wir nicht sicher sein, aber es klingt wahrscheinlicher , dass der E-Mail-Hinweis der Phish war, wie Jimmy James oben sagt. Viel einfacher für den Angreifer, der die Datei dort abgelegt hat, darüber Bescheid zu wissen und sie "offiziell" zu "melden", damit Sie darauf klicken können. CSRF klingt nach dem wahrscheinlichsten Versuch. Der Angreifer hat keine Möglichkeit zu wissen, an welche Person er sie gesendet hat, die keine Anmeldeinformationen auf der Website hat. Wie Sie bereits betont haben, hat er die E-Mail hilfreich an Sie weitergeleitet. Nicht zu sagen, dass es erfolgreich war, aber die Antwort auf "Woher wussten sie das?" Scheint höchstwahrscheinlich "Sie haben es nicht getan und die Benachrichtigung wurde gefälscht" zu sein.

Dies wäre ein guter Weg, um jemanden zu phischen, wenn Sie sich "ein wenig" in seine Site hacken könnten.

Schreiben Sie einfach eine harmlose Datei auf den Server und setzen Sie sich mit ihm in Verbindung, um ein Gespräch mit der Regierung zu beginnen "Technik". Wenn Sie zu diesem Zeitpunkt nicht misstrauisch waren, könnten sie Sie wahrscheinlich bitten, irgendetwas zu tun, und Sie würden es einfach tun.

Mir ist klar, dass Sie nicht gesagt haben, dass sie Sie gebeten haben, sich mit ihnen in Verbindung zu setzen, oder so, also vielleicht nicht, aber ich irre mich immer gerne auf der Seite der Paranoia.

Was macht diese Website? Hostet es Konten oder akzeptiert es Kreditkarten?

Die Datei sollte als klares Zeichen dafür verstanden werden, dass Sie tatsächlich kompromittiert wurden. Sie kennen weder das Ausmaß noch den Angriffsvektor, aber die Datei kann durchaus ein "Flag" sein, nach dem ein Bot sucht, um festzustellen, dass der Server immer noch gefährdet ist.

Bewahren Sie daher unbedingt Backups auf Bewahren Sie Datums- / Zeitstempel, Webserver-Protokolle und die Sicherungen selbst auf. Kehren Sie zu Ihrer frühesten Sicherung zurück und prüfen Sie, ob die Datei vorhanden ist. Vergleichen Sie auch den Inhalt der Site mit dem erwarteten Inhalt.

Durchsuchen Sie Ihre Protokolle auch nach Anforderungen an die Datei s.htm . Möglicherweise checkt gelegentlich ein Bot-Netzwerk ein, um festzustellen, ob die Lichter an sind. Es besteht die seltsame Möglichkeit, dass Sie die dort gefundenen IP-Informationen verwenden können, um nach anderem Datenverkehr zu suchen - was die Schritte des Angriffs aufdecken kann.

Wenden Sie sich in der Zwischenzeit an den Absender der E-Mail - be Achten Sie darauf, ihre Kontaktinformationen von einer offiziellen Quelle und nicht von der E-Mail selbst nachzuschlagen. Ich habe ähnliche Benachrichtigungen von Hosting-Anbietern erhalten, die möglicherweise auch nach der Datei suchen, wenn bekannt ist, dass es sich um einen kompromittierten Computer handelt.

Ich denke wirklich, dass es sich um einen Phishing-Angriff handelt.

Es ist CERT-Agenturen jedoch auch möglich, eine Liste gehackter Websites über Deface-Spiegel wie Zone-H abzurufen. Aber ich verstehe nicht, warum sie es tun würden.