Botnet byter två miljoner lösenord, de flesta av dem var riktigt dåliga

Tidigare denna vecka släppte Trustwave sin studie på ett massivt botnet, en av många som lyckades använda Pony botnet-kontrollenheten. Forskarna fick kontroll över botnet och tog platsen för sin Command and Control-server. När de var i kontroll upptäckte de att botnet hade lyckats stjäla cirka två miljoner lösenord från infekterade datorer. De upptäckte också något som de flesta av oss redan vet: att människor är fruktansvärda med lösenord.

Få till lösenorden

De två miljoner komprometterade kontona var spridda mellan 1, 58 miljoner webbplatser, 320 000 e-postinloggningar, 41 000 FTP-konton, 3 000 Remote Desktop-referenser och 3 000 Secure Shell-kontouppgifter är ett betydande drag. Oron är naturligtvis hur många av de drabbade användarna som har valt samma lösenord för andra webbplatser.

Forskare fann 318.121 Facebook-intyg som stod för 57 procent av det totala. Yahoo var nästa med cirka 60 000 konton, följt av 21 708 Twitter-konton, 8 490 LinkedIn-lösenord och 7 978 konton för löneföretaget ADP. Den sista är lite ovanlig, men också ganska skadlig eftersom den ger angriparna tillgång till offrens personliga information.

Det som skrämde mig mest var de 16 095 Google.com-uppgifterna och 54 437 Google-konton. Dessa kan göra det möjligt för angripare att få åtkomst till Gmail och därifrån återställa andra lösenord med funktionen "glömt mitt lösenord" på webbplatser. Det kan också ge angripare tillgång till privata filer i Google Drive eller betalningsinformation i Google Wallet.

Allt detta betyder inte att det fanns en massiv attack mot dessa webbplatser. Det är mer troligt att brottslingar lyckades skörda dessa adresser på flera sätt, som phishing och keyloggers, och hade lagrat dem på dessa servrar. De kan sälja dem till andra köpare eller spara dem för framtida användning.

Fruktansvärda lösenord, igen

Trustwave delade lösenorden i kategorier: sex procent av dem var "fruktansvärda", medan 28 procent av dem var "dåliga." Kombinerade 22 procent var antingen "bra" eller "utmärkta" och 44 procent var "medium". Bland de värsta var: 123456, 123456789, 1234 och "lösenord."

De flesta lösenord blandade inte bokstäver och siffror. Majoriteten av lösenorden var antingen alla bokstäver (samma bokstäver) eller alla siffror, följt av lösenord som hade två typer (blandning av stora och små bokstäver, eller små bokstäver med siffror, till exempel), säger Trustwave.

Ett bra resultat var att nästan hälften - 46 procent - av lösenorden hade långa lösenord, av tio tecken eller mer. Majoriteten av lösenorden låg inom intervallet sex till nio tecken, säger Trustwave.

Högprofilmål

När det gäller Lucas Zaichkowsky, en företagsdataarkitekt på AccessData, desto större oro är att brottslingarna letar efter konton som tillhör människor "med högt värde målorganisationer." Om det visar sig att dessa människor använde samma lösenord på dessa webbplatser såväl som för arbetsrelaterade resurser, kan angripare bryta sig in till företagets nätverk via VPN eller e-post via en webbaserad klient, konstaterade Zaichkowksy.

"De kan sälja värdefulla konton till andra på den svarta marknaden som betalar stora pengar för giltiga referenser som får dem till lönsamma målorganisationer, " sa Zaichkowksy.

Människor använder sina e-postadresser för personliga aktiviteter, till exempel att registrera sig för konton på Facebook. Cesar Cerrudo, CTO för IOActive, fann olika militär personal, inklusive generaler och löjtnantgeneraler ("framtida generaler", Cerrudo kallade dem) hade använt sina.mil-e-postadresser för att skapa konton på resesidan Orbitz, GPS-företaget garmin.com, Facebook, Twitter och Skype, för att nämna några. Detta gör utsikterna för återanvändning av lösenord ännu mer problematiska, eftersom dessa individer är mycket värdefulla som mål och har tillgång till mycket känslig information.

Qualys teknikdirektör Mike Shema sa dock att han ser hopp i framtiden. "Med tanke på 2014 kommer tvåfaktorautentisering att fortsätta att vinna fart genom företagets och konsumenttekniken, och många appar börjar också använda tvåfaktorer. Vi kommer också att se ökningen av smart kryptoteknik för lösenord för flera autentiseringar. " Tvåfaktorautentisering kräver ett andra autentiseringssteg, som en speciell kod som skickas via textmeddelande.

Förbli säkert

Den allmänna enigheten är att dessa lösenord skördades från användarmaskiner och inte stjäl inloggningsinformation från webbplatser - vilket är en trevlig taktförändring. Keyloggers är en trolig misstänkt och särskilt farlig. Dessa skadliga applikationer kan inte bara fånga tangenttryckningar utan kan fånga skärmdumpar, innehållet i urklippet, programmen du startar, webbplatserna du besöker och till och med siktas via IM-konversationer och e-posttrådar. Lyckligtvis bör de flesta antivirusprogram ha dig täckt. Vi rekommenderar vinnare av Editors Choice Award Webroot SecureAnywhere AntiVirus (2014) eller Bitdefender Antivirus Plus (2014).

Observera att vissa AV-program inte blockerar "greyware" eller "potentiellt oönskade program som standard. Keyloggers faller ibland i denna kategori, så se till att aktivera den här funktionen.

Det är svårare att blockera phishing och andra taktiker för att lura offer att ge lösenordsinformation. Lyckligtvis har vi många tips om hur du hittar nätfiskeattacker och hur man kan undvika social engineering attacker . Allt som krävs är lite extra tanke, och du kan hålla dig från att bli en statistik.

Det viktigaste är att människor använder en lösenordshanterare. Dessa applikationer skapar och lagrar unika, komplexa lösenord för varje webbplats eller tjänst du använder. De kommer också att logga in dig automatiskt, vilket gör det mycket svårare för keyloggers att fånga din information. Se till att prova Dashlane 2.0 eller LastPass 3.0, båda som är våra Editors 'Choice-utmärkelsen för lösenordshantering.