- Регистрация
- 31.12.2019
- Сообщения
- 7,534
- Реакции
- 36
Внимание! Несмотря на то, что для работы над этой статьей я потратил не один десяток часов, эта история еще не закончилась и именно ты, %username%, можешь в ней поучаствовать. Если у тебя чешутся руки - попробуй осилить этот текст. Обещаю, будет весело! Эта история пока не имеет конца, но у нее есть начало.
А начинается она с 2017 года, когда канал Информация опасносте выложил следующего содержания пост:
https://telegra.ph/file/e2b85cf96d276b3a1a4fd.jpg
Думаю мне, как и многим, было любопытно, что это за фейк такой. Что за движок, как работает и насколько продвинуты фишеры (ну мало ли, может опять php скрипт на бесплатном/дешевом vps, как в 1732 году)?
Оказалось, что правда: разбросанные php скрипты, админка, шаблоны фейков.
Изучив данный хост, уязвимости привели меня к получению админки, а потом и к выполнению произвольного кода. Как следствие - я получил доступ к базе данных, логам и конечно же к исходникам.
Как оказалось, это дало толчок к исследованию нескольких десятков таких же ресурсов и породило рассказ, который ты сейчас читаешь.
Что происходит? У жертвы воруют телефон. Если Android, то чаще всего его сразу можно продать, как самостоятельный: вытащил симку, рутанул, и уже на авито. Но есть свои нюансы: типа пароль на вход, заблокирован загрузчик — но это совсем другая история.
А вот с айфонами уже намного сложнее, так как пароль на включение — это обязательное условие. А еще владелец может заблокировать устройство, оставив контактный номер. Мол, потерял, просьба вернуть за вознаграждение. Взять и прошить его не выйдет, поэтому либо на запчасти (стоимость айфона тогда теряется в несколько раз), либо страдать.
Однако, с развитием технологий защиты всегда развивается мошенничество, поэтому выход у воров был таков — отправить фишинг на контактный номер жертвы. А что? Удобно. Жертва свои контакты оставляет сама, тебе остается лишь представиться компанией «Яблоко» и заставить ввести пользователя данные от icloud.
https://telegra.ph/file/0d378caa054b03e8abb18.jpg
Несмотря на то, что популярность такого фишинга выросла в 2017 году, один из первых скриншотов подобного сервиса был сделан еще в 2015 году.
Сначала слали на красивые домены вида lcloud.com (не путать с icloud), но когда поняли, что их закрывают, стали поступать проще. На красивых доменах располагают сервисы-редиректоры, которые делают короткую ссылку. Такие закрыть труднее — они же ничего противозаконного не размещали. Просто сервис коротких ссылок с именем мимикрирующим под apple или icloud.
Пройдя по ней, ты увидишь адаптивную форму аутентификации, которая грузится даже быстрее чем icloud.com, а может быть и сразу саму карту дабы разогреть твой интерес, с дальнейшим запросом аутентификации.
Вот только не говори, что именно ты такой умный, и не повелся бы на подобное. Когда ты теряешь дорогую вещь, а потом есть шанс того, что она нашлась – ты в состоянии шока можешь сотворить глупость. Но тут и как с доменом повезет: может быть глаз зацепится за подозрительное место, а может быть будет неотличим от оригинала, например, как делал этот чувак с помощью Punycode.
«Двухфакторная аутентификация», — скажешь ты. Ну да, только фишеры давно научились показывать и форму ввода двухфакторки (подумаешь, еще один php скрипт).
Что делают после того как получают доступ к icloud? В лучшем случае — отвязывают телефон. В худшем — блокируют все остальные устройства Apple (ибо ты также можешь где-то оставить ноутбук, поэтому эта фича присутствует). Только в этой ситуации вы меняетесь сторонами, на твоем любимом ноуте с огрызком появится надпись мошенника и контакты для разблокировки. А там уже как договоритесь.
Кстати, у одного из сотрудников Kaspersky Lab именно таким способом “отжали” телефон. Статья-история, как это происходит от лица жертвы. Но если вы все-таки не повелись на фишинг — вас продолжат социалить через звонок. Но об этом позже.
SaaS для воров
Итак, что же это за гадость такая.
На самом деле существует множество систем, один запилил на движке Laravel, другие - это группа AppleKit, MagicApp, Phantom, Phoenix и iPanel Pro и более примитивные поделки. Все они обколются своей марихуаной и форкают друг-друга, соревнуясь у кого лучше логотип. А самое забавное, что наследуя чужой код, они наследуют чужие уязвимости и бэкдоры.
На всякий случай, заботясь о том, что найденные баги могут прочитать в статье и зафиксить, примеров я приводить не буду. Есть подозрения, что создатели как минимум панели Phoenix точно понимают по-русски))
Но как бонус — выложу исходный код. Исходники у авторов и так есть! А баги (и бэкдоры) ты и сам увидишь.
Как-то чуваки смекнули, что воры сами-то не шарят в IT, поэтому поднять фейк, разослать СМС — непосильная задача. А так как все дороги ведут к мастеру по телефонам (А кому еще продавать запчасти?), он может и своим клиентам помочь разблокировать мобилку или купив по-дешевке ворованный iPhone поднять его в цене, немного поработав над ним.
Зарабатывают на этом все. Аренда сервиса стоит $150-350 (в месяц), тебе дают инструкцию по установке, ты покупаешь домен, вбиваешь заказы, а остальное система сделает сама. Дальше по ~$100-150 ты продаешь эту “разблокировку”.
https://telegra.ph/file/081eab5c71d6528c3ca48.jpg
На западе большей популярностью пользуется iPanel, в странах СНГ — Phoenix.
Как это выглядит со стороны админа фишинга:
https://telegra.ph/file/8decd225b9642f1c50d77.jpg
Админ может крутить настройки, например, отправку письма после успешной отвязки или оповещение в Telegram (куда же без него) и всякое такое по-мелочи.
https://telegra.ph/file/535601805d050477e9dfc.png
Добавляя заказ, нужно указать какой телефон и IMEI. Также, он может написать заметку, от кого поступил заказ.
https://telegra.ph/file/0ab4ae3791f08a5dcd3e0.png
Часто можно увидеть что-то вроде Жэка Вазап или Коля Лысый, что несколько забавляет. Как ты понимаешь, физическое наличие телефона вовсе не нужно, поэтому услуга продвигается в интернете, а работать с этим можно удаленно.
https://telegra.ph/file/9b613bce17e3b556d630d.jpg
Язык SMS система поставит сама.
Также можно выбрать тип дизайна фишинга, например, из таких вариантов:
https://telegra.ph/file/f4a41da26594332c986be.jpg
Все достаточно адаптивно и хорошо смотрится и на телефонах, и на десктопе. Иногда количество и тип страничек различается, но не значительно.
https://telegra.ph/file/347aa5c73ba8071c82e28.jpg
Вход в админку у всех разный. Но это обманчивое ощущение, так как в большинстве своем это форки Phoenix или iPanel Pro, а интерфейс внутри одинаковый, разве что меняются логотипы и, иногда, цвета.
https://telegra.ph/file/0393cbdc1c12d52eabf3c.jpg
Бэкдоры
А я говорил, что они оставляют бэкдоры?
iPanel вообще забавный! Зацени.
https://telegra.ph/file/762fc563730f209ef42ed.jpg
У iPanel есть автоматическая установка. Так как система предназначена для установки на хостинги с контрольной панелью (типа cpanel), нужно указать логопас для нее. А при установке у тебя будет дефолтный пароль на СУБД - ipanel@789
https://telegra.ph/file/1f694be4256864c1ac33f.jpg
Если отправить в качестве логина или пароля ссылку и слушать порт, то мы увидим, как к нам стучится:
Это говорит о том, что логин и пароль улетел кому-то в телегам. Зато удобно!
Еще одним доказательством наличия бэкдоров могут послужить логи, которые оставляют за собой след из ошибок:
https://telegra.ph/file/039b38de59748cec52cd0.jpg
Давайте посмотрим, что там у нас. Функции ereg_replace и eval? Батенька, да у вас RCE!
А почему никто не видит? Код обфусцирован с помощью ioncube. А у панели есть проверка лицензии, не заплатил — сори чувак. Получается, хозяин панели раздает всем свой обфусцированный код, они стучат ему на сервер (ph-phoenix.com в случае феникса), а он может туда заламываться в любое время. Ну и наглость )
Но я не растерялся и частично раскукожил код (целых 10 баксов потратил).
Исходники были слиты, был сделан дамп базы данных. Но все это забылось на несколько лет.
Прошел год
https://telegra.ph/file/e084cf3b6168f3e5683d7.png
Прошло два года
Второе пришествие началось, когда у моего друга — Киберпанка, произошла такая же история.
https://telegra.ph/file/7824033eb7204aa3f921f.png
Все по классической схеме. Кража, блокировка, фишинг на домен (в этот раз был icloud.at), который редиректит на саму панель с доменом www.icloud.com.fmistatus.info. Позже тот хост погас и пришла СМС, которая ведет на apple-find.ru
https://telegra.ph/file/29f433f9b87a99c9cb7f9.png
Кибер созвал народ ломать фейк, подтянулись ребята из DC8800, которые в дальнейшем помогли распотрошить базу.
А так как уязвимости в этой панели мне уже были известны, фишинг был успешно взломан в короткие сроки. Администратором его был некий [email protected] с паролем Zaza2015, что, кагбе, намекает, я Коля Заза, и “мой пароль не менялся с 2015 года”.
Но в интернете нет ни единого упоминания этого аккаунта:
Your search - "kolya2017zaza" - did not match any documents.
Взгрустнулось.
Изучаем базу дальше. Вспоминаем про настройки, в дампе БД это таблица options.
https://telegra.ph/file/46aed4d28ac9639bf1b4d.png
Находим там отправку уведомлений с адреса [email protected]
https://telegra.ph/file/2108fa85622bbda06eb35.png
Отлично, значит отправляются данные с сервера яндекса:
https://telegra.ph/file/93aff2cf9be39eed00f68.jpg
Я испугался, что двухфакторка. Но нет.
Догадываешься, что нужно ввести, чтобы попасть внутрь?
После успешного входа видим, что у нас есть оповещения от нескольких сервисов. Ух ты, а Ванька-то москвич! Интересно, коренной?
https://telegra.ph/file/269e81cae7bf6352b5f9d.png
Видим одно отправленное письмо:
https://telegra.ph/file/64331e02271cbf1f4e1e3.jpg
По общению понятно, что москвич не коренной. Но не суть.
Проверяем Zadarma (это сервис аренды виртуальных номеров) — заблокирован. Проверяем Skype — заблокирован.
Зачем эти сервисы?
Если фишинг не сработал, они звонят под видом сотрудника сервисного центра (а может и не под видом). Говорят, что какой-то подозрительный тип принес мобилку, скоро ее нужно будет отдать, пытаются заговорить зубы (переключите язык на английский) и все к тому, чтобы ты нажал на удаление телефона из функции пропажи.
Идем в Яндекс Деньги:
https://telegra.ph/file/02c939d8b0190c9b939f8.jpg
Видим: IP адрес во всех операциях принадлежит Megafon, покупки сервисов Zadarma, четырех доменов, два пополнения телефонов:
Яндекс деньги пополнялись через аккаунт в Qiwi. Используем телефон “Ивана” и известный пароль. Он подходит и тут. Ведь как известно, стабильность — признак мастерства.
https://telegra.ph/file/f993816991366d1df1e87.png
Выясняем, что кошелек Qiwi пополнялся как с помощью номера +7 977 8667146 (еще один одноразовый номер), так и с помощью терминала. На самом деле там номеров больше, мне просто лень искать их в логе (а я его сохранил).
А сейчас я покажу небольшой трюк по OSINT в Qiwi. Каждый терминал имеет свой уникальный идентификатор. Если перейти в детали платежа и посмотреть json, то вместе с разными идентификаторами будет параметр account - это именно он!
https://telegra.ph/file/5862debfff042aa7623bc.png
Но что с ним делать, не бегать же по всей Москве в поисках номера терминала? У Qiwi есть приятная опция для таких случаев — карта терминалов.
Ходим по карте, смотрим на прилетающие идентификаторы и понимаем, что терминал стоит на рынке Царицыно.
https://telegra.ph/file/86e98b048e5e7fb522880.jpg
А еще, зная номер терминала, дату и код операции, можно проверить платеж с помощью этих данных на страничке проверки чека.
“И что же случилось дальше?” - спросишь ты.
А я отвечу - ничего.
Куча левых телефонов, левые имена, и рынок в Царицыно.
Но чтобы не было скучно, я решил продолжать ломать фейки. А заодно и смотреть, все ли такие же аккуратные, как КоляВова, который пытался увести у друга аккаунт.
Я и бал фишеров. Волк
Несколько раз мне попадался email [email protected] на доменах findfindiphone.com и findphonefmi.com
Я, воспользовавшись методом дедукции, предположил, что этот человек вряд ли мексиканец или итальянец.
Пароли у него попадались Pass12340@ и Orxan1313@.
Логин гуглится на GSM форуме, больше интересного вроде нет.
https://telegra.ph/file/d1aa7d8ecf1900d292006.png
А по почте можно посмотреть соцсеточку MailRu:
https://telegra.ph/file/319d03eae9bd365f09b33.png
Clean icloud unlocking service, говорит он. А имени нет! Ну, храни свои секретики.
Смотрим его email в других соцсетях, например из утечки БД у vk.
И вот оно что! ID в вконтактике - id105140112, также находим facebook - necefliorxan. Instagram @orhkan13 указан на странице.
https://telegra.ph/file/1180507de895f73cafff3.jpg
В пароле был логин из инстаграма, заметил?
Чувак из Арзейбайджана, живет в Москве. Master in programmer, говорит в facebook.
В общем, успешный успех.
Я и бал фишеров. Passwordman
В другом случае попался домен icloud.com-maps-id.com, админский аккаунт - [email protected]
Поиск по почте не дал ничего интересного.
https://telegra.ph/file/58cf6a7c5e5f01e787c94.jpg
А вот пароль… Пароль у админа панели - vasif548! Вглядись в пароль - совсем другое дело.
Люди забывают, что фингерпринтом пользователя может быть не только какой-то идентификатор типа логина или электронной почты. Им может быть и пароль!
У тебя может быть множество логинов, но если ты используешь один пароль — тебя можно легко раскусить. А если ты используешь пароль из собственного логина — ну извините. Мог бы хотя бы скопировать логин в качестве пароля два раза, как это делаю я!
Этот чувак зарегался на большем количестве форумов.
https://telegra.ph/file/25cb25728842a16e71790.jpg
Но вот незадача - больше данных я не вижу. Но ты заметил, что этот фишер и волк-из-Баку сидели на одном форуме? Пробуем логопас волка и…
https://telegra.ph/file/8c2f1d26d3be77a31c071.png
Последняя активность в 2016, наверняка у него есть vk. На всякий случай изучил друзей Волка, но ничего.
Думаю, а не замутить ли социалочку? Напишу, мол, дай свой актуальный контакт. Вдруг вообще один посоветовал форум другому?
Составляем письмо:
https://telegra.ph/file/89b6f57de1d995a3cc3a8.png
Нет, что-то не так. Редактируем письмо следующим образом и засылаем:
https://telegra.ph/file/90330bc880ef7bc7bb245.png
Ждем.
Проходит неделя, а ответа все нет. И тут я понял, что допустил досадную ошибку. Я вновь стал изучать профили vasif548 и наткнулся на то, что на сайте 4pda у него был указан vk!
https://telegra.ph/file/f89a249c6af0f7babab27.png
Готовимся лицезреть, открываем ссылку https://vk.com/id277815372
https://telegra.ph/file/76d8e26f23f4c1fbf9825.jpg
Но все что попало в интернет - остается в интернете. Страница с таким id была некого Васифа Бахышова, о чем говорит сервис vkfaces (https://vkfaces.com/vk/user/id402895773)
Смотрим на указанную дату рождения, ищем в других соцсетях. Находим одного Васифа. В фотографиях видим объявления о разблокировках телефона.
https://telegra.ph/file/cdfe2f691834b9169db17.jpg
Бум! Савеловский рынок, Павильон 45
https://telegra.ph/file/fc8e7955e3f4137cbb61b.jpg
Еще через полгода
Шло время, количество фейков не уменьшалось, кого-то было трудно найти, кто-то регистрировался на свою почту.
Нвызов ошибки или получение доступа к логам ошибки, так как часто администратор панели указывал свой ник на хостинге, который ставился в путь к веб-приложению.
Другие, после того, как устанавливали панель явно тестировали ее работоспособность на себе. Руки не дошли еще проверить все дампы баз и посмотреть. Но когда я к этому вернусь - выложу свои догадки.
https://telegra.ph/file/4c3bfce9d607ed51f55de.jpg
Почему я выкладываю только данные администраторов? Потому что от баз жертв нет никакого смысла, им и так досталось, а тут еще их данные попадут в сеть.
Прошло где-то полгода после того, как был упущен злодей, с которым столкнулся мой друг.
Напомню, что “КоляВаня” был на домене
www.icloud.com.fmips.ru
И в этот момент мне попался на глаза следующий домен
www.icloud.com.fmistatus.info
У первого был IP адрес:
93.170.123.118
У нового IP адрес:
93.170.123.102
Используем дедукцию, и понимаем, что это скорее всего один хостинг. Ну, я сначала не посчитал это подозрительным, бывает, что чисто случайно несколько человек используют мелкого и никому неизвестного хостера, датацентр — имя которого MAROSNET. А еще точнее — непубличного, который игнорирует жалобы.
Email админа странный - [email protected]
Но больше всего смутил пароль - Qaqa2015.
Похож на предыдущий - Zaza2015?
Вот и я так подумал.
Чекаем почту - подходит!
https://telegra.ph/file/996225bdb41df25ce4ff5.png
Отлично. Изучаем почтовик.
Два отправителя писем - ExpressVPN и TXTDAT.
Смотрим VPN:
https://telegra.ph/file/db2830b09076139474368.png
Забавно, он потерял свой доступ к VPN. С кем не бывает?
Вспоминаем, что Google хранит историю поиска и местоположения.
Перемещения отсутствуют, а вот поиск сохранился:
https://telegra.ph/file/c64d1a22ef49c4abf3b25.png
Хорошо, видим что он посещал:
На тот момент использовал VPN?
Смотрим ниже:
https://telegra.ph/file/c64d1a22ef49c4abf3b25.png
Ах ты маленький шалунишка! Забыл перелогиниться? Смотрим подробности, google говорит, что он из Москвы. Лексика похожа на предыдущего админа, которого мы упустили полгода назад. Пока все совпадает.
https://telegra.ph/file/b5693558040650da597c3.png
Смотрим в письмо TXTDAT, видим, что указанный логин: Lostoff.
Еще под этим именем можно найти сервис взлома почт, разблокировку айфонов, возможно из-за того, что это достаточно популярный логин.
Восстанавливаем пароль, проходим в TXTDAT.
Немного о нем: это сервис отправки СМС с подменой отправителя. Я попытался на нем зарегистрироваться, но нужно ждать подтверждение администратора. В интернете о нем особо никто не говорит. Видимо, это закрытый сервис “только для своих”.
https://telegra.ph/file/f993e273076a3c01660ca.png
Офигеваем, что всего один человек в пике может рассылать более сотни смс в день. Заходим в настройки аккаунта, видим номер.
https://telegra.ph/file/53b14a002d0c376a33e82.png
Эх, очередной номер - однодневка. Или нет…
Добавляю в контакты в telegram:
https://telegra.ph/file/8700488e52bd66e731d60.png
Lostoff! Не соврал.
Доначу в telegram-бота @get_kontakt_bot и пробиваю номер там.
https://telegra.ph/file/cf67994f94762f08a3c03.jpg
Зейнал Мамедов! Известный как “программист Зейнал”, “Зейнал баба” и “Зейнал Царицино К163”
Находим по этому номеру объявления:
https://telegra.ph/file/d30705b40ee98f69aa1be.jpg
https://telegra.ph/file/9b18196207f5ee36cceef.png
Смотрим локацию:
https://telegra.ph/file/748ddf1b7a373a7917696.png
Царицыно, что совпадает с первыми зацепками.
Вконтакте я нашел одного Зейнала Мамедова, который состоит в группе Царицыно и Продать/купить айфон. Но нет никаких других связей, а номер телефона явно привязан к другому лицу.
Так давайте же найдем его?
С чего начать?
Как искать фейки?
К сожалению и домены не живут долго, но всегда появляются новые.
Я использовал несколько подходов.
Первый, и самый банальный, это мониторинг соцсетей.
Вводим в соцсеточках разные вариации поисковых запросов вида “украли iphone смс”, получаем выдачу из пострадавших. Как с грустными историями, что у них помимо телефона вывели деньги из банка, так и с просто недовольствами.
https://telegra.ph/file/caf8d35c39c2a2e79ff3d.jpg
Но нам важны ссылки, поэтому списываем их с скриншотов. Если не стесняетесь, можно написать жертвам и лично попросить ссылку.
https://telegra.ph/file/c28da0893a3b766351750.jpg
Способ два. Если домен попал в поле зрения различных роботов, попытаться найти их.
На помощь приходят несколько сервисов:
Офигенный сайт, сам постоянно пользуюсь. Достаточно написать intitle:"iCloud cannot find that page", чтобы ловить те фейки, у которых на главной странице 404 ошибка icloud.
Можно уточнить поиск по определенному сайту, например site:cutestat.com.
https://telegra.ph/file/a2f9c401bb2867b45cb3a.jpg
Они позволяют найти хосты, на которых крутились такие же сайты. Используем Title страницы, как и в предыдущем варианте.
https://telegra.ph/file/56b34b796726d406b1f7e.jpg
Панель iPanel Pro редиректит с главной страницы на оригинальный icloud.com, поэтому можно отследить редиректы.
Третий способ - мониторинг в реальном времени.
Есть классный скрипт от x0rz - phishing_catcher, он позволяет наблюдать за выпущенными сертификатами. Но так как нам интересен только icloud, смотрим на домены. Выбираем ключевые слова и доменные зоны.
Я оставил только такие ключевые слова:
Запустив скрипт, ставим на мониторинг, а потом смотрим выдачу. Что это популярный рынок можно судить о том, что в день регистрируют около 10 доменов.
https://telegra.ph/file/769067e0f31efd8cb6d24.png
Четвертый, и последний способ на сегодня, это поиск уже не по сертификатам, а по зарегистрированным доменам. В этом нам поможет dnspedia.
Я думаю, ты догадаешься как искать домены более чем за 7 дней.
https://telegra.ph/file/684eb97b7907516683d1e.png
Не конец
Подытожим.
Как говорил какой-то умный чувак, стоит человеку, который защищается, один раз ошибиться - его взломают. Но стоит взломщику ошибиться один раз - его найдут.
На этом мои полномочия - все. Я буду обновлять и дополнять материал, еще есть что можно рассказать.
Прикрепляю домены и администраторов. Исходники тут.
Автор: Bo0oM
А начинается она с 2017 года, когда канал Информация опасносте выложил следующего содержания пост:
https://telegra.ph/file/e2b85cf96d276b3a1a4fd.jpg
Думаю мне, как и многим, было любопытно, что это за фейк такой. Что за движок, как работает и насколько продвинуты фишеры (ну мало ли, может опять php скрипт на бесплатном/дешевом vps, как в 1732 году)?
Оказалось, что правда: разбросанные php скрипты, админка, шаблоны фейков.
Изучив данный хост, уязвимости привели меня к получению админки, а потом и к выполнению произвольного кода. Как следствие - я получил доступ к базе данных, логам и конечно же к исходникам.
Как оказалось, это дало толчок к исследованию нескольких десятков таких же ресурсов и породило рассказ, который ты сейчас читаешь.
Что происходит? У жертвы воруют телефон. Если Android, то чаще всего его сразу можно продать, как самостоятельный: вытащил симку, рутанул, и уже на авито. Но есть свои нюансы: типа пароль на вход, заблокирован загрузчик — но это совсем другая история.
А вот с айфонами уже намного сложнее, так как пароль на включение — это обязательное условие. А еще владелец может заблокировать устройство, оставив контактный номер. Мол, потерял, просьба вернуть за вознаграждение. Взять и прошить его не выйдет, поэтому либо на запчасти (стоимость айфона тогда теряется в несколько раз), либо страдать.
Однако, с развитием технологий защиты всегда развивается мошенничество, поэтому выход у воров был таков — отправить фишинг на контактный номер жертвы. А что? Удобно. Жертва свои контакты оставляет сама, тебе остается лишь представиться компанией «Яблоко» и заставить ввести пользователя данные от icloud.
https://telegra.ph/file/0d378caa054b03e8abb18.jpg
Несмотря на то, что популярность такого фишинга выросла в 2017 году, один из первых скриншотов подобного сервиса был сделан еще в 2015 году.
Сначала слали на красивые домены вида lcloud.com (не путать с icloud), но когда поняли, что их закрывают, стали поступать проще. На красивых доменах располагают сервисы-редиректоры, которые делают короткую ссылку. Такие закрыть труднее — они же ничего противозаконного не размещали. Просто сервис коротких ссылок с именем мимикрирующим под apple или icloud.
Пройдя по ней, ты увидишь адаптивную форму аутентификации, которая грузится даже быстрее чем icloud.com, а может быть и сразу саму карту дабы разогреть твой интерес, с дальнейшим запросом аутентификации.
Вот только не говори, что именно ты такой умный, и не повелся бы на подобное. Когда ты теряешь дорогую вещь, а потом есть шанс того, что она нашлась – ты в состоянии шока можешь сотворить глупость. Но тут и как с доменом повезет: может быть глаз зацепится за подозрительное место, а может быть будет неотличим от оригинала, например, как делал этот чувак с помощью Punycode.
«Двухфакторная аутентификация», — скажешь ты. Ну да, только фишеры давно научились показывать и форму ввода двухфакторки (подумаешь, еще один php скрипт).
Что делают после того как получают доступ к icloud? В лучшем случае — отвязывают телефон. В худшем — блокируют все остальные устройства Apple (ибо ты также можешь где-то оставить ноутбук, поэтому эта фича присутствует). Только в этой ситуации вы меняетесь сторонами, на твоем любимом ноуте с огрызком появится надпись мошенника и контакты для разблокировки. А там уже как договоритесь.
Кстати, у одного из сотрудников Kaspersky Lab именно таким способом “отжали” телефон. Статья-история, как это происходит от лица жертвы. Но если вы все-таки не повелись на фишинг — вас продолжат социалить через звонок. Но об этом позже.
SaaS для воров
Итак, что же это за гадость такая.
На самом деле существует множество систем, один запилил на движке Laravel, другие - это группа AppleKit, MagicApp, Phantom, Phoenix и iPanel Pro и более примитивные поделки. Все они обколются своей марихуаной и форкают друг-друга, соревнуясь у кого лучше логотип. А самое забавное, что наследуя чужой код, они наследуют чужие уязвимости и бэкдоры.
На всякий случай, заботясь о том, что найденные баги могут прочитать в статье и зафиксить, примеров я приводить не буду. Есть подозрения, что создатели как минимум панели Phoenix точно понимают по-русски))
Но как бонус — выложу исходный код. Исходники у авторов и так есть! А баги (и бэкдоры) ты и сам увидишь.
Как-то чуваки смекнули, что воры сами-то не шарят в IT, поэтому поднять фейк, разослать СМС — непосильная задача. А так как все дороги ведут к мастеру по телефонам (А кому еще продавать запчасти?), он может и своим клиентам помочь разблокировать мобилку или купив по-дешевке ворованный iPhone поднять его в цене, немного поработав над ним.
Зарабатывают на этом все. Аренда сервиса стоит $150-350 (в месяц), тебе дают инструкцию по установке, ты покупаешь домен, вбиваешь заказы, а остальное система сделает сама. Дальше по ~$100-150 ты продаешь эту “разблокировку”.
https://telegra.ph/file/081eab5c71d6528c3ca48.jpg
На западе большей популярностью пользуется iPanel, в странах СНГ — Phoenix.
Как это выглядит со стороны админа фишинга:
https://telegra.ph/file/8decd225b9642f1c50d77.jpg
Админ может крутить настройки, например, отправку письма после успешной отвязки или оповещение в Telegram (куда же без него) и всякое такое по-мелочи.
https://telegra.ph/file/535601805d050477e9dfc.png
Добавляя заказ, нужно указать какой телефон и IMEI. Также, он может написать заметку, от кого поступил заказ.
https://telegra.ph/file/0ab4ae3791f08a5dcd3e0.png
Часто можно увидеть что-то вроде Жэка Вазап или Коля Лысый, что несколько забавляет. Как ты понимаешь, физическое наличие телефона вовсе не нужно, поэтому услуга продвигается в интернете, а работать с этим можно удаленно.
https://telegra.ph/file/9b613bce17e3b556d630d.jpg
Язык SMS система поставит сама.
Также можно выбрать тип дизайна фишинга, например, из таких вариантов:
https://telegra.ph/file/f4a41da26594332c986be.jpg
Все достаточно адаптивно и хорошо смотрится и на телефонах, и на десктопе. Иногда количество и тип страничек различается, но не значительно.
https://telegra.ph/file/347aa5c73ba8071c82e28.jpg
Вход в админку у всех разный. Но это обманчивое ощущение, так как в большинстве своем это форки Phoenix или iPanel Pro, а интерфейс внутри одинаковый, разве что меняются логотипы и, иногда, цвета.
https://telegra.ph/file/0393cbdc1c12d52eabf3c.jpg
Бэкдоры
А я говорил, что они оставляют бэкдоры?
iPanel вообще забавный! Зацени.
https://telegra.ph/file/762fc563730f209ef42ed.jpg
У iPanel есть автоматическая установка. Так как система предназначена для установки на хостинги с контрольной панелью (типа cpanel), нужно указать логопас для нее. А при установке у тебя будет дефолтный пароль на СУБД - ipanel@789
https://telegra.ph/file/1f694be4256864c1ac33f.jpg
Если отправить в качестве логина или пароля ссылку и слушать порт, то мы увидим, как к нам стучится:
Код:
23 Jan [14:35:48] from 149.154.161.4 HTTP: / [] (TelegramBot (like TwitterBot)) euConsent=true; BCPermissionLevel=PERSONAL; BC_GDPR=11111; fhCookieConsent=true; gdpr-source=GB; gdpr_consent=YES; beget=begetokЭто говорит о том, что логин и пароль улетел кому-то в телегам. Зато удобно!
Еще одним доказательством наличия бэкдоров могут послужить логи, которые оставляют за собой след из ошибок:
https://telegra.ph/file/039b38de59748cec52cd0.jpg
Давайте посмотрим, что там у нас. Функции ereg_replace и eval? Батенька, да у вас RCE!
А почему никто не видит? Код обфусцирован с помощью ioncube. А у панели есть проверка лицензии, не заплатил — сори чувак. Получается, хозяин панели раздает всем свой обфусцированный код, они стучат ему на сервер (ph-phoenix.com в случае феникса), а он может туда заламываться в любое время. Ну и наглость )
Но я не растерялся и частично раскукожил код (целых 10 баксов потратил).
Исходники были слиты, был сделан дамп базы данных. Но все это забылось на несколько лет.
Прошел год
https://telegra.ph/file/e084cf3b6168f3e5683d7.png
Прошло два года
Второе пришествие началось, когда у моего друга — Киберпанка, произошла такая же история.
https://telegra.ph/file/7824033eb7204aa3f921f.png
Все по классической схеме. Кража, блокировка, фишинг на домен (в этот раз был icloud.at), который редиректит на саму панель с доменом www.icloud.com.fmistatus.info. Позже тот хост погас и пришла СМС, которая ведет на apple-find.ru
https://telegra.ph/file/29f433f9b87a99c9cb7f9.png
Кибер созвал народ ломать фейк, подтянулись ребята из DC8800, которые в дальнейшем помогли распотрошить базу.
А так как уязвимости в этой панели мне уже были известны, фишинг был успешно взломан в короткие сроки. Администратором его был некий [email protected] с паролем Zaza2015, что, кагбе, намекает, я Коля Заза, и “мой пароль не менялся с 2015 года”.
Но в интернете нет ни единого упоминания этого аккаунта:
Your search - "kolya2017zaza" - did not match any documents.
Взгрустнулось.
Изучаем базу дальше. Вспоминаем про настройки, в дампе БД это таблица options.
https://telegra.ph/file/46aed4d28ac9639bf1b4d.png
Находим там отправку уведомлений с адреса [email protected]
https://telegra.ph/file/2108fa85622bbda06eb35.png
Отлично, значит отправляются данные с сервера яндекса:
https://telegra.ph/file/93aff2cf9be39eed00f68.jpg
Я испугался, что двухфакторка. Но нет.
Догадываешься, что нужно ввести, чтобы попасть внутрь?
После успешного входа видим, что у нас есть оповещения от нескольких сервисов. Ух ты, а Ванька-то москвич! Интересно, коренной?
https://telegra.ph/file/269e81cae7bf6352b5f9d.png
Видим одно отправленное письмо:
https://telegra.ph/file/64331e02271cbf1f4e1e3.jpg
По общению понятно, что москвич не коренной. Но не суть.
Проверяем Zadarma (это сервис аренды виртуальных номеров) — заблокирован. Проверяем Skype — заблокирован.
Зачем эти сервисы?
Если фишинг не сработал, они звонят под видом сотрудника сервисного центра (а может и не под видом). Говорят, что какой-то подозрительный тип принес мобилку, скоро ее нужно будет отдать, пытаются заговорить зубы (переключите язык на английский) и все к тому, чтобы ты нажал на удаление телефона из функции пропажи.
Идем в Яндекс Деньги:
https://telegra.ph/file/02c939d8b0190c9b939f8.jpg
Видим: IP адрес во всех операциях принадлежит Megafon, покупки сервисов Zadarma, четырех доменов, два пополнения телефонов:
Код:
+7 977 6593244 +7 916 1168710Яндекс деньги пополнялись через аккаунт в Qiwi. Используем телефон “Ивана” и известный пароль. Он подходит и тут. Ведь как известно, стабильность — признак мастерства.
https://telegra.ph/file/f993816991366d1df1e87.png
Выясняем, что кошелек Qiwi пополнялся как с помощью номера +7 977 8667146 (еще один одноразовый номер), так и с помощью терминала. На самом деле там номеров больше, мне просто лень искать их в логе (а я его сохранил).
А сейчас я покажу небольшой трюк по OSINT в Qiwi. Каждый терминал имеет свой уникальный идентификатор. Если перейти в детали платежа и посмотреть json, то вместе с разными идентификаторами будет параметр account - это именно он!
https://telegra.ph/file/5862debfff042aa7623bc.png
Но что с ним делать, не бегать же по всей Москве в поисках номера терминала? У Qiwi есть приятная опция для таких случаев — карта терминалов.
Ходим по карте, смотрим на прилетающие идентификаторы и понимаем, что терминал стоит на рынке Царицыно.
https://telegra.ph/file/86e98b048e5e7fb522880.jpg
А еще, зная номер терминала, дату и код операции, можно проверить платеж с помощью этих данных на страничке проверки чека.
“И что же случилось дальше?” - спросишь ты.
А я отвечу - ничего.
Куча левых телефонов, левые имена, и рынок в Царицыно.
Но чтобы не было скучно, я решил продолжать ломать фейки. А заодно и смотреть, все ли такие же аккуратные, как КоляВова, который пытался увести у друга аккаунт.
Я и бал фишеров. Волк
Несколько раз мне попадался email [email protected] на доменах findfindiphone.com и findphonefmi.com
Я, воспользовавшись методом дедукции, предположил, что этот человек вряд ли мексиканец или итальянец.
Пароли у него попадались Pass12340@ и Orxan1313@.
Логин гуглится на GSM форуме, больше интересного вроде нет.
https://telegra.ph/file/d1aa7d8ecf1900d292006.png
А по почте можно посмотреть соцсеточку MailRu:
https://telegra.ph/file/319d03eae9bd365f09b33.png
Clean icloud unlocking service, говорит он. А имени нет! Ну, храни свои секретики.
Смотрим его email в других соцсетях, например из утечки БД у vk.
И вот оно что! ID в вконтактике - id105140112, также находим facebook - necefliorxan. Instagram @orhkan13 указан на странице.
https://telegra.ph/file/1180507de895f73cafff3.jpg
В пароле был логин из инстаграма, заметил?
Чувак из Арзейбайджана, живет в Москве. Master in programmer, говорит в facebook.
В общем, успешный успех.
Я и бал фишеров. Passwordman
В другом случае попался домен icloud.com-maps-id.com, админский аккаунт - [email protected]
Поиск по почте не дал ничего интересного.
https://telegra.ph/file/58cf6a7c5e5f01e787c94.jpg
А вот пароль… Пароль у админа панели - vasif548! Вглядись в пароль - совсем другое дело.
Люди забывают, что фингерпринтом пользователя может быть не только какой-то идентификатор типа логина или электронной почты. Им может быть и пароль!
У тебя может быть множество логинов, но если ты используешь один пароль — тебя можно легко раскусить. А если ты используешь пароль из собственного логина — ну извините. Мог бы хотя бы скопировать логин в качестве пароля два раза, как это делаю я!
Этот чувак зарегался на большем количестве форумов.
https://telegra.ph/file/25cb25728842a16e71790.jpg
Но вот незадача - больше данных я не вижу. Но ты заметил, что этот фишер и волк-из-Баку сидели на одном форуме? Пробуем логопас волка и…
https://telegra.ph/file/8c2f1d26d3be77a31c071.png
Последняя активность в 2016, наверняка у него есть vk. На всякий случай изучил друзей Волка, но ничего.
Думаю, а не замутить ли социалочку? Напишу, мол, дай свой актуальный контакт. Вдруг вообще один посоветовал форум другому?
Составляем письмо:
https://telegra.ph/file/89b6f57de1d995a3cc3a8.png
Нет, что-то не так. Редактируем письмо следующим образом и засылаем:
https://telegra.ph/file/90330bc880ef7bc7bb245.png
Ждем.
Проходит неделя, а ответа все нет. И тут я понял, что допустил досадную ошибку. Я вновь стал изучать профили vasif548 и наткнулся на то, что на сайте 4pda у него был указан vk!
https://telegra.ph/file/f89a249c6af0f7babab27.png
Готовимся лицезреть, открываем ссылку https://vk.com/id277815372
https://telegra.ph/file/76d8e26f23f4c1fbf9825.jpg
Но все что попало в интернет - остается в интернете. Страница с таким id была некого Васифа Бахышова, о чем говорит сервис vkfaces (https://vkfaces.com/vk/user/id402895773)
Смотрим на указанную дату рождения, ищем в других соцсетях. Находим одного Васифа. В фотографиях видим объявления о разблокировках телефона.
https://telegra.ph/file/cdfe2f691834b9169db17.jpg
Бум! Савеловский рынок, Павильон 45
https://telegra.ph/file/fc8e7955e3f4137cbb61b.jpg
Еще через полгода
Шло время, количество фейков не уменьшалось, кого-то было трудно найти, кто-то регистрировался на свою почту.
Нвызов ошибки или получение доступа к логам ошибки, так как часто администратор панели указывал свой ник на хостинге, который ставился в путь к веб-приложению.
Другие, после того, как устанавливали панель явно тестировали ее работоспособность на себе. Руки не дошли еще проверить все дампы баз и посмотреть. Но когда я к этому вернусь - выложу свои догадки.
https://telegra.ph/file/4c3bfce9d607ed51f55de.jpg
Почему я выкладываю только данные администраторов? Потому что от баз жертв нет никакого смысла, им и так досталось, а тут еще их данные попадут в сеть.
Прошло где-то полгода после того, как был упущен злодей, с которым столкнулся мой друг.
Напомню, что “КоляВаня” был на домене
www.icloud.com.fmips.ru
И в этот момент мне попался на глаза следующий домен
www.icloud.com.fmistatus.info
У первого был IP адрес:
93.170.123.118
У нового IP адрес:
93.170.123.102
Используем дедукцию, и понимаем, что это скорее всего один хостинг. Ну, я сначала не посчитал это подозрительным, бывает, что чисто случайно несколько человек используют мелкого и никому неизвестного хостера, датацентр — имя которого MAROSNET. А еще точнее — непубличного, который игнорирует жалобы.
Email админа странный - [email protected]
Но больше всего смутил пароль - Qaqa2015.
Похож на предыдущий - Zaza2015?
Вот и я так подумал.
Чекаем почту - подходит!
https://telegra.ph/file/996225bdb41df25ce4ff5.png
Отлично. Изучаем почтовик.
Два отправителя писем - ExpressVPN и TXTDAT.
Смотрим VPN:
https://telegra.ph/file/db2830b09076139474368.png
Забавно, он потерял свой доступ к VPN. С кем не бывает?
Вспоминаем, что Google хранит историю поиска и местоположения.
Перемещения отсутствуют, а вот поиск сохранился:
https://telegra.ph/file/c64d1a22ef49c4abf3b25.png
Хорошо, видим что он посещал:
- iunlocker.net
- sms-api.online
На тот момент использовал VPN?
Смотрим ниже:
https://telegra.ph/file/c64d1a22ef49c4abf3b25.png
Ах ты маленький шалунишка! Забыл перелогиниться? Смотрим подробности, google говорит, что он из Москвы. Лексика похожа на предыдущего админа, которого мы упустили полгода назад. Пока все совпадает.
https://telegra.ph/file/b5693558040650da597c3.png
Смотрим в письмо TXTDAT, видим, что указанный логин: Lostoff.
Еще под этим именем можно найти сервис взлома почт, разблокировку айфонов, возможно из-за того, что это достаточно популярный логин.
Восстанавливаем пароль, проходим в TXTDAT.
Немного о нем: это сервис отправки СМС с подменой отправителя. Я попытался на нем зарегистрироваться, но нужно ждать подтверждение администратора. В интернете о нем особо никто не говорит. Видимо, это закрытый сервис “только для своих”.
https://telegra.ph/file/f993e273076a3c01660ca.png
Офигеваем, что всего один человек в пике может рассылать более сотни смс в день. Заходим в настройки аккаунта, видим номер.
https://telegra.ph/file/53b14a002d0c376a33e82.png
Эх, очередной номер - однодневка. Или нет…
Добавляю в контакты в telegram:
https://telegra.ph/file/8700488e52bd66e731d60.png
Lostoff! Не соврал.
Доначу в telegram-бота @get_kontakt_bot и пробиваю номер там.
https://telegra.ph/file/cf67994f94762f08a3c03.jpg
Зейнал Мамедов! Известный как “программист Зейнал”, “Зейнал баба” и “Зейнал Царицино К163”
Находим по этому номеру объявления:
https://telegra.ph/file/d30705b40ee98f69aa1be.jpg
https://telegra.ph/file/9b18196207f5ee36cceef.png
Смотрим локацию:
https://telegra.ph/file/748ddf1b7a373a7917696.png
Царицыно, что совпадает с первыми зацепками.
Вконтакте я нашел одного Зейнала Мамедова, который состоит в группе Царицыно и Продать/купить айфон. Но нет никаких других связей, а номер телефона явно привязан к другому лицу.
Так давайте же найдем его?
С чего начать?
Как искать фейки?
К сожалению и домены не живут долго, но всегда появляются новые.
Я использовал несколько подходов.
Первый, и самый банальный, это мониторинг соцсетей.
Вводим в соцсеточках разные вариации поисковых запросов вида “украли iphone смс”, получаем выдачу из пострадавших. Как с грустными историями, что у них помимо телефона вывели деньги из банка, так и с просто недовольствами.
https://telegra.ph/file/caf8d35c39c2a2e79ff3d.jpg
Но нам важны ссылки, поэтому списываем их с скриншотов. Если не стесняетесь, можно написать жертвам и лично попросить ссылку.
https://telegra.ph/file/c28da0893a3b766351750.jpg
Способ два. Если домен попал в поле зрения различных роботов, попытаться найти их.
На помощь приходят несколько сервисов:
- google.com
Офигенный сайт, сам постоянно пользуюсь. Достаточно написать intitle:"iCloud cannot find that page", чтобы ловить те фейки, у которых на главной странице 404 ошибка icloud.
Можно уточнить поиск по определенному сайту, например site:cutestat.com.
https://telegra.ph/file/a2f9c401bb2867b45cb3a.jpg
- censys.io / shodan.io / publicwww.com
Они позволяют найти хосты, на которых крутились такие же сайты. Используем Title страницы, как и в предыдущем варианте.
https://telegra.ph/file/56b34b796726d406b1f7e.jpg
- urlscan.io
Панель iPanel Pro редиректит с главной страницы на оригинальный icloud.com, поэтому можно отследить редиректы.
Третий способ - мониторинг в реальном времени.
Есть классный скрипт от x0rz - phishing_catcher, он позволяет наблюдать за выпущенными сертификатами. Но так как нам интересен только icloud, смотрим на домены. Выбираем ключевые слова и доменные зоны.
Я оставил только такие ключевые слова:
Код:
# Apple iCloud 'appleid': 70 'icloud': 60 'iforgot': 60 'itunes': 50 'apple': 40 'iphone': 30 'findmy': 30 'findme': 30 'location': 30 'applecare': 30 'fmf': 20 'fmi': 20Запустив скрипт, ставим на мониторинг, а потом смотрим выдачу. Что это популярный рынок можно судить о том, что в день регистрируют около 10 доменов.
https://telegra.ph/file/769067e0f31efd8cb6d24.png
Четвертый, и последний способ на сегодня, это поиск уже не по сертификатам, а по зарегистрированным доменам. В этом нам поможет dnspedia.
Я думаю, ты догадаешься как искать домены более чем за 7 дней.
https://telegra.ph/file/684eb97b7907516683d1e.png
Не конец
Подытожим.
- Если мошенник доверяет мошеннику, один пользуется другим. Наличие лазеек в зашифрованных файлах, отправка паролей автору панели, централизация всех фейков (каждый фейк сообщает где он находится) - говорит о многом.
- Фишеры могут использовать личные email адреса для своих грязных делишек.
- Фишеры могут спалиться на том, что используют свои ники в качестве паролей
- Даже если ты вложил много сил и времени в анонимность — покупая симки, регистрируя одноразовые email’ы, используя VPN, закидывая деньги через цепочку платежных систем и левых телефонов - всегда есть вероятность, что ты ошибешься.
Как говорил какой-то умный чувак, стоит человеку, который защищается, один раз ошибиться - его взломают. Но стоит взломщику ошибиться один раз - его найдут.
На этом мои полномочия - все. Я буду обновлять и дополнять материал, еще есть что можно рассказать.
Прикрепляю домены и администраторов. Исходники тут.
Код:
apple-findmyiphone.com
appleid.apple.com-appledevice.us
appleid.locator-support.com
www.icloud.com.getsupport.store
www.icloud.com.getsupport.pw
www.icloud.com.online-find.info
www.icloud.com.getsupport.pro
www.icloud.com-findmyiphone-apple.id
iforgot.apple.com-activation.support
www.apple.com.iphone-appleid.com
careicloud-login.online
icloud.com-findmy.site
support.appleid.verify-account.apply-login.pw
icloud.com-appleid.website
www.icloud.com.online-i.info
icloud.com.maps-apple.live
www.icloud.com.get-support.me
icloud.com.login-appleid.name
www.icloud.com.sign-inc.co
www.icloud.com-iphone.biz
icloud.com.vn-device.ltd
www.icloud.com.fmip-app.support
www.icloud.com.apple-inlog.me
icloud.com.apple-map.me
supporto-apple.com
www.icloud.com.idevices.info
icloud.com.login-find.pw
map-appie.com
icioud.cc
icloud.com-apple.care
www.icloud.com.viewlocation.apple-log.me
icloud.com-maps-help.com
icloud.com.applecenter.support
appleid.accountsapple.com
www.apple.com-appleid.care
apple.com-appleid.care
lcloud-apple.com
icloud.com.app-device.ltd
www.icloud.com.localisant.online
www.icloud.com.buscar-id.online
www.icloud.com-login-appleid.today
icloud.com-login-appleid.today
www.icloud.com.fmi.today
icloud.com.id-apple.fr
icloud.com.i-find.online
apple.find-devices.eu
icloud.com.apple-maps.me
apple.com.acnt.us
icloud.fmi1w.site
icloud.com.location-us.live
icloud.com.findmyiphone.me
www.icloud.com.imaps.info
icloud.com.icloud-inf.ru
www.icloud.com-log-in.today
www.icloud.com.find-my-phone.xyz
www.lcloud-appleid.online
icloud.com.apple-maps.live
www.icloud.com.find-my-iphone.store
www.icloud.com-find.website
icloud.com.find-apple.care
apple.com.support-find-my-iphone-location-us.online
www.icloud.com.maps-log.info
icloud.support-find-my-iphone-location-us.online
www.icloud.com-log-id.today
www.icloud-appleid.online
appleid-icloud.site
www.appleid-icloud.site
icloud.com.appleid-login.name
www.icloud.com.apple-id.fr
www.icloud-url.com.es
www.icloud.com.info-sign.live
icloud.com.link-us.pw
www.apple.com-maps-id.today
www.icloud.com.en-us.in
icloud.com.find-my-idevice.online
icloud.com.ru
www.icloud.com.support-location.site
www.apple.com.5fa.co.za
www.icloud.fmi-web.com
apple-map.com
icloud.com-imap.us
www.icloud.com.apple-id.re
www.icloud.com.apple-id.it
www.icloud.com.apple-id.pm
icloud.com.apple-id.pm
www.icloud.com.id-apple.su
www.icloud.com.id-apple.pw
findiphone-apple.com
www.findiphone-apple.com
www.apple.findiphone.site
icloud.com.tl1.pw
apple-find.ru
apple-supports.ru
appleid-find.ruifindmyphone.info
find-iphone-lost.xyz
www--icloud.com
findfindiphone.com
findphonefmi.com
icloud.com-maps-id.com
icloud.com.fmip-location.info
iforgot.apple.com.fmip-host.info
lcloud-map.com
apple-device-icloud.com
www.icloud.com.fmips.ru
locations-id.com
imap-icloud.us
icloud.com.fmip-host.info
fmidetailcheck.online
apple-maps.app
icloud.com-track.in
01100.pw
appleid-check.com
icloud-map.net
icloud2.ru
icloud.com.gps-com.info
www-lcloud.com
icloud.com.accoun-id.me
appleid-check.info
check-account.site
icloud.fmipi.com
icloud.com.fmipspi.ru
icloud.com.locator.com.ru
ldc5e976.justinstalledpanel.com
appleid-find.ru
icloud.com.fmisis.ru
icloud.com.fmifs.ru
icloud.com.fmisps.ru
icloudpro.ru
icloud-com.su
apple-co.ru
icloud.com.fmips.ru
icloud.com.map12.ru
icloud.com.log5.ru
apple-com.ru
myappie.ru
15ur7vwi3r43.ru
icloud.com.find-apple.online
icloud.com.web-settings.online
find-apple.online
wvwicloud.xyz
devices-lost.com
idlogin.xyz
myverifyid.xyz
login-id.xyz
verifyid.ru.com
wwwicloud.xyz
icloudfind.xyz
icloudalert.xyz
wvwicloud.com
verifyid-apple.xyz
verify-iphone.com
my-iphone.xyz
alertdevice.xyz
lcloud-idevice.xyz
Код:
# www.icloud.com.fmip-app.support
[email protected], fb73090a9a05154aff6d03068e7b1795 (Parola12340)
# icloud.com-apple.care
[email protected], ae1cbdb9c30d567a22f880dedb925581 (298e)
# www.icloud.com.sign-inc.co
[email protected], da640425b87d9d0747e67e8a0746d459 (Melany1234)
# icloud.com.login-appleid.name
[email protected]
# www.icloud.com.get-support.me
admin, 3d6d43002f3adf4bd0fda4b91e457ab5
# www.icloud.com-findmyiphone-apple.id
[email protected], e1a9dea865beb8c2dcd6cebb3445cbf3 (nimdiL93)
# www.icloud.com.online-find.info
[email protected], b69f4a2b3ee1b0ea1f44e9a6585ce02e (q12w34e56v)
# appleid.locator-support.com
[email protected], ad280aeb9120e655e974524b7f7d42a1 (Hprw6815)
# apple-findmyiphone.com
Admin, 7c015b77e18d732fd0ae012c2e2f53b4 (Khattak12345)
# www.apple.com.iphone-appleid.com
[email protected], 2708424fc52a4c1f5544f3477e907d40
# icloud.servis.com.idlogin.pw apple.appleid.servise.com.page-signin.website apple.com-geo.online appleid.apple.com.page-signin.top icloud.servis.com.idlogin.pw icloud.servis.com.idlogin.tech icloud.appleid.com.id-login.site icloud.apple.com.idlogin.icu icloud.com-fmi.tech icloud.servis.com.idlogin.pw icloud.com.inlogin.fun icloud.com.inlogin.info appleid.apple.com.sigin.club appleid.apple.com.sigin.pw icloud.com-find-info.tech fartvan773.had.su
[email protected]
[email protected]
[email protected]
[email protected]
[email protected]
[email protected]
[email protected]
# www.apple.com-findme.online (https://[email protected]/FenoxCorp/scripts.git)
[email protected], Bemonkey1201
# icloud.com.accoun-id.me
[email protected], 227f0fe6ef11c1a037f198a7ba168536 (icloud)
[email protected], drpltrllxsgretsx
# www.icloud.com-iphone.biz
neardream, ed66a744212ea29dcc5d9a36cd3c095e (Sof742236sx)
# ifindmyphone.info
[email protected], fc354be062abe6acebc128d8a35985f0 (appleiphone123)
--
# www--icloud.com
[email protected], 0f06d368868f3b63b99c6bbbb6b52628 (phantom)
https://vk.com/id108406382
# findfindiphone.com, findphonefmi.com
[email protected], f747e2ea6af7cdec6ea7c5b44ffa984c (Pass12340@)
[email protected], 89ce6921e4817dd59d782426a6e90abd (Orxan1313@)
# icloud.com-maps-id.com
[email protected],30a233ab31c2f72b711885ace3f4fb2d (vasif548)
# icloud.com.fmip-location.info
[email protected], aa9e75ddaa01c0e264113c8edc6b10d1 (xljcnfkX1!)
# iforgot.apple.com.fmip-host.info, icloud.com.fmip-host.info
[email protected], 269b0552a4230e1161162ea1f3a5cd14 (xljcnfkX1)
[email protected], 269b0552a4230e1161162ea1f3a5cd14 (xljcnfkX1)
# lcloud-map.com, apple-device-icloud.com
[email protected], 91818cb0705aeaeae988c44d947774f8 (Brothers2)
[email protected], 7fce3111bfb092c46587e3e058251996 (iBlack02)
# www.icloud.com.fmistatus.info, apple-find.ru
[email protected], e169f1299eae7c8b95b6a20c5312c314 (Zaza2015)
[email protected], bjblkj;lklm;
[email protected], e169f1299eae7c8b95b6a20c5312c314 (Zaza2015)
# www.icloud.com.fmips.ru
[email protected], 8d49616dd63e869458b53132a67bdedb (Qaqa2015)
# imap-icloud.us
[email protected],c3c2bd601f0ec6a02ed4a4e55cc15b0b (A123)
#appleid.accountsapple.com
[email protected], 21232f297a57a5a743894a0e4a801fc3 (admin)
# stableunlock_fmidetailcheck.online
[email protected], 7ce2ea9e973b9de9eed536f415d5dff5 (Pass12340)
# icloud.com-track.in
[email protected], fe6a5dda4b9fd0eb701ce21041eba0f4 (Karachi123@)
# 01100.pw
[email protected],21232f297a57a5a743894a0e4a801fc3 (admin)
[email protected], census3F
# icloud-map.net
[email protected], b029971ab0a622920d234da9793238e2 (X123)
skype live:f894faeabdab04d2
[email protected], Mail@5555
+* ***-***-**36
# icloud.com.gps-com.info
[email protected],200820e3227815ed1756a6b531e7e0d2 (qwe123)
[email protected], b1d30e30e614bb622797b32a314596ee
# icloud.com.tl1.pw
[email protected], c2d615a702c75bd8921bbd7d125f2b80 (KingKong2020)
thomasmarti, KingKong2020Автор: Bo0oM