FBI hacked: email server usato per inviare spam (update)

Il Federal Bureau of Investigation (FBI) ha comunicato che qualcuno è riuscito ad ottenere l’accesso ad un server email dell’agenzia e ad inviare migliaia di messaggi falsi dall’account eims@ic.fbi.gov. Secondo l’esperto di sicurezza Brian Krebs, l’autore dell’attacco sarebbe un certo Pompomourin, il cui obiettivo è screditare Vinny Troia, fondatore di NightLion Security (oggi nota come Shadowbyte).

Bug nel server dell’FBI

Le prime segnalazioni relative all’invio di email fake sono arrivate da Spamhaus, un’organizzazione che monitora in tempo reale la diffusione di spam, botnet e phishing. I messaggi provengono dall’account eims@ic.fbi.gov utilizzato dalla divisione Criminal Justice Information Services dell’FBI per inviare il codice OTP necessario per completare l’iscrizione al Law Enforcement Enterprise Portal (LEEP). Nel contenuto dell’email viene indicato che gli utenti hanno subito un furto di dati da parte di Vinny Troia, affiliato al gruppo TheDarkOverlord.

These emails look like this:

Sending IP: 153.31.119.142 (https://t.co/En06mMbR88)
From: eims@ic.fbi.gov
Subject: Urgent: Threat actor in systems pic.twitter.com/NuojpnWNLh

— Spamhaus (@spamhaus) November 13, 2021

Ovviamente Troia non c’entra nulla, ma è stato preso di mira in quanto ha scritto un libro che svela diverse informazioni sul gruppo TheDarkOverlord, del quale Pompomourin è uno dei membri. L’autore dell’attacco ha svelato a Brian Krebs di aver sfruttato un bug nel Law Enforcement Enterprise Portal (LEEP).

Per confermare l’iscrizione al portale viene inviato un codice OTP proprio dall’account eims@ic.fbi.gov. Pompomourin è riuscito ad accedere al server dell’FBI e, dopo aver cambiato oggetto e contenuto, ad inviare email fasulle a migliaia di utenti (oltre 100.000, secondo Spamhaus). La maggioranza degli indirizzi email dei destinatari sono stati recuperati mediante scraping dal database ARIN (American Registry for Internet Numbers).

Gli uffici dell’FBI sono stati ovviamente inondati da email e telefonate di aziende che volevano più informazioni sul falso attacco subito. L’agenzia ha prontamente messo offline il server e avviato le indagini. Al momento non ci sono ulteriori dettagli sull’accaduto.

Aggiornamento (15/11/2021): l’FBI ha confermato che l’invio di email fasulle è stato possibile a causa di un’errata configurazione software del LEEP. Il problema è stato risolto.