Com qual nível de certeza as origens dos hacks estão corretamente identificadas? [fechadas]

Question

Uma pergunta que eu tenho vindo de esta pergunta , onde alguém mostra o histórico do Terminal de uma tentativa de invasão de seu sistema.

Existe uma linha na saída, que sugere que o hack é originário da China. Essa afirmação foi feita em muitas respostas e ninguém pensou em duvidar disso. A linha é assim:

Accept-Language: zh-cn

o que significa que a língua chinesa foi preferida no outro extremo. O endereço IP do qual algumas ferramentas são baixadas pelo hacker é chinês. No entanto, analogamente à questão principal aqui ... Isso nos diz que o hacker está sentado na China?

É concebível / possível que as pessoas incluam a linha simplesmente para fazer com que apareça que o ataque veio da China? Ou existem pistas adicionais que apontam para isso?

Eles poderiam facilmente estar trabalhando em inglês, ou qualquer outra língua, até o fim.

Eu imagino, por exemplo, um cara inglês sentado em um cibercafé em Moscou, encaminhado através de uma VPN no Equador ...

As estatísticas que são reportadas na mídia ou eg Pelo governo americano, a porcentagem de toda a guerra cibernética / hacking é proveniente da China baseada em informações mais sólidas? Se sim, qual?

    

Answer 1

Fico feliz que alguém tenha levantado isso como eu pensei a mesma coisa ao ler essa pergunta.

Accept-Language: zh-cn

A primeira coisa que eu acho quando vejo isso é que alguém copiou um cabeçalho de solicitação HTTP do navegador sem entender o que ele faz.

Mesmo em solicitações normais, isso geralmente é desnecessário e, nesse caso, a URL provavelmente está sendo usada para fazer o download de ativos binários, que não precisam ser traduzidos. É apenas um desperdício de espaço.

A linha não indica necessariamente nada, mas pode indicar hipoteticamente a configuração de idioma do navegador do atacante.

O que indica algo são os endereços IP encontrados no binário, mas isso não significa que o invasor esteja na China, possivelmente apenas hackeou alguns servidores na China.

Sempre sou cético quando vejo essas estatísticas. Não tenho certeza do que eles são baseados em outros endereços IP.

    

Answer 2

Nesse caso, o invasor, ao que parece, ocultou sua identidade ao executar seu ataque por meio de servidores em nuvem azuis da Microsoft. Como tal, a origem do ataque é difícil de dizer sem qualquer registro que a Microsoft possa ter.

No entanto, os endereços IP dos quais os arquivos estavam sendo baixados são originários da China. Isso, assim como a linha mencionada, é o mais próximo que temos de saber sem mais registros.

Tenha em mente que a China não é particularmente conhecida por sua Internet gratuita e aberta. Pelo contrário, a última vez que eu procurei, qualquer forma de hospedagem básica era incrivelmente cara. Pode ter mudado, mas parece pouco provável que pessoas de fora da China tivessem se esforçado demais para contratar um servidor lá, e se darem ao trabalho de fazer parecer que é originário da China.

É 100% conclusivo? Não, não mesmo. Mas provável? Eu diria que sim.

Quanto à mídia, acredito que seja muito aberto à opinião e a cada meio de comunicação e suas fontes para uma resposta conclusiva neste formato.