国内近期针对微软账户 Hotmail 进行扫号操作

[huangxiao123]

原由：昨天晚上的时候，发现微软的 Authenticator 弹出了个莫名其妙的认证请求，一开始疑惑是谁在登录，并且开始回想起本人平常有没有泄露账户，经排查，没泄露过该账户出去，该账户只用于微软家族的产品登录，没用于其他地方，疑似是通过 csrf /数据泄露获取到邮箱号

通过 https://account.live.com/Activity 进行排查，发现两个 IP 登录操作，如下

• 114.100.82.7 ，尝试登录时间为：6.22 00:08 分操作
• 111.127.50.125 ，尝试登录时间为：6.23 17:35 分操作

whois 信息如下

• 114.100.82.7

% [whois.apnic.net]
% Whois data copyright terms    http://www.apnic.net/db/dbcopyright.html

% Information related to '114.96.0.0 - 114.103.255.255'

% Abuse contact for '114.96.0.0 - 114.103.255.255' is '[e-mail]'

inetnum:        114.96.0.0 - 114.103.255.255
netname:        CHINANET-AH
descr:          CHINANET Anhui PROVINCE NETWORK
descr:          China Telecom
descr:          No.31,jingrong street
descr:          Beijing 100032
country:        CN
admin-c:        JW89-AP
tech-c:         JW89-AP
abuse-c:        AC1573-AP
status:         ALLOCATED PORTABLE
remarks:        service provider
remarks:        --------------------------------------------------------
remarks:        To report network abuse, please contact mnt-irt
remarks:        For troubleshooting, please contact tech-c and admin-c
remarks:        Report invalid contact via www.apnic.net/invalidcontact
remarks:        --------------------------------------------------------
mnt-by:         APNIC-HM
mnt-lower:      MAINT-CHINANET-AH
mnt-routes:     MAINT-CHINANET-AH
mnt-irt:        IRT-CHINANET-CN
last-modified:  2021-06-15T08:06:13Z
source:         APNIC

irt:            IRT-CHINANET-CN
address:        No.31 ,jingrong street,beijing
address:        100032
e-mail:         [e-mail]
abuse-mailbox:  [e-mail]
admin-c:        CH93-AP
tech-c:         CH93-AP
auth:           # Filtered
remarks:        [e-mail] was validated on 2024-04-15
mnt-by:         MAINT-CHINANET
last-modified:  2024-04-15T01:54:23Z
source:         APNIC

role:           ABUSE CHINANETCN
address:        No.31 ,jingrong street,beijing
address:        100032
country:        ZZ
phone:          [phone]
e-mail:         [e-mail]
admin-c:        CH93-AP
tech-c:         CH93-AP
nic-hdl:        AC1573-AP
remarks:        Generated from irt object IRT-CHINANET-CN
remarks:        [e-mail] was validated on 2024-04-15
abuse-mailbox:  [e-mail]
mnt-by:         APNIC-ABUSE
last-modified:  2024-04-15T01:55:05Z
source:         APNIC

person:         Jinneng Wang
address:        17/F, Postal Building No.120 Changjiang
address:        Middle Road, Hefei, Anhui, China
country:        CN
phone:          [phone]
fax-no:         [phone]
e-mail:         [e-mail]
nic-hdl:        JW89-AP
mnt-by:         MAINT-CHINANET-AH
last-modified:  2014-02-21T01:19:43Z
source:         APNIC

% This query was served by the APNIC Whois Service version 1.88.25 (WHOIS-JP3)

• 111.127.50.125

% [whois.apnic.net]
% Whois data copyright terms    http://www.apnic.net/db/dbcopyright.html

% Information related to '111.126.0.0 - 111.127.255.255'

% Abuse contact for '111.126.0.0 - 111.127.255.255' is '[e-mail]'

inetnum:        111.126.0.0 - 111.127.255.255
netname:        CHINANET-NM
descr:          CHINANET NeiMengGu province network
descr:          Data Communication Division
descr:          China Telecom
descr:          No.31,jingrong street
descr:          Beijing 100032
country:        CN
admin-c:        CH93-AP
tech-c:         CH93-AP
abuse-c:        AC1573-AP
status:         ALLOCATED PORTABLE
remarks:        service provider
remarks:        --------------------------------------------------------
remarks:        To report network abuse, please contact mnt-irt
remarks:        For troubleshooting, please contact tech-c and admin-c
remarks:        Report invalid contact via www.apnic.net/invalidcontact
remarks:        --------------------------------------------------------
notify:         [e-mail]
mnt-by:         APNIC-HM
mnt-lower:      MAINT-CHINANET-NM
mnt-routes:     MAINT-CHINANET-NM
mnt-irt:        IRT-CHINANET-CN
last-modified:  2021-06-15T08:05:56Z
source:         APNIC

irt:            IRT-CHINANET-CN
address:        No.31 ,jingrong street,beijing
address:        100032
e-mail:         [e-mail]
abuse-mailbox:  [e-mail]
admin-c:        CH93-AP
tech-c:         CH93-AP
auth:           # Filtered
remarks:        [e-mail] was validated on 2024-04-15
mnt-by:         MAINT-CHINANET
last-modified:  2024-04-15T01:54:23Z
source:         APNIC

role:           ABUSE CHINANETCN
address:        No.31 ,jingrong street,beijing
address:        100032
country:        ZZ
phone:          [phone]
e-mail:         [e-mail]
admin-c:        CH93-AP
tech-c:         CH93-AP
nic-hdl:        AC1573-AP
remarks:        Generated from irt object IRT-CHINANET-CN
remarks:        [e-mail] was validated on 2024-04-15
abuse-mailbox:  [e-mail]
mnt-by:         APNIC-ABUSE
last-modified:  2024-04-15T01:55:05Z
source:         APNIC

person:         Chinanet Hostmaster
nic-hdl:        CH93-AP
e-mail:         [e-mail]
address:        No.31 ,jingrong street,beijing
address:        100032
phone:          [phone]
fax-no:         [phone]
country:        CN
mnt-by:         MAINT-CHINANET
last-modified:  2022-02-28T06:53:44Z
source:         APNIC

% This query was served by the APNIC Whois Service version 1.88.25 (WHOIS-JP3)

使用 https://ip.sy/查询的地理位置如下

• 114.100.82.7: 中国安徽省合肥市瑶海区北二环路,瑶海区香江国际佳元(北二环路南) // 安徽省合肥市瑶海区方庙街道北二环路 144 号香江国际佳元
• 111.127.50.125: 中国内蒙古自治区呼和浩特市赛罕区蒙中医院巷,赛罕区民望家园 1 区(蒙中医院巷北) // 内蒙古自治区呼和浩特市赛罕区昭乌达路街道民望巷民望家园一区

ASN 均为: AS4134

微步：

• https://x.threatbook.com/v5/ip/114.100.82.7
• https://x.threatbook.com/v5/ip/111.127.50.125

腾讯威胁平台：

• https://tix.qq.com/search/single?keyword=114.100.82.7&
• https://tix.qq.com/search/single?keyword=111.127.50.125&

查询总结：

• 114.100.82.7 ，有恶意样本，没有绑定域名
• 111.127.50.125 ，有恶意样本，绑定域名(均为 2023-2022 年)：hypercachenet.com(微步)，supercachenet.com(微步)，qc.dolfincdnx.net(腾讯威胁中心反查)，jdcloudstatus.net(腾讯威胁中心反查)，cachenode.cn(腾讯威胁中心反查)，szbdyd.com(腾讯威胁中心反查) (疑似 CDN ？)

111.127.50.125 对应 ICP：

• hypercachenet.com：北京抖音信息服务有限公司
• supercachenet.com：北京微播视界科技有限公司
• dolfincdnx.net：贵州白山云科技股份有限公司
• jdcloudstatus.net：北京京东叁佰陆拾度电子商务有限公司
• cachenode.cn：长沙市摩根网络科技有限公司
• szbdyd.com：江西节点技术服务有限公司

两者 IP 只开了 53 TCP + 1041 TCP

疑似是一伙人，不知各位 V 友怎么看待，疑似是国内某个扫号团伙拿到了微软泄露的数据库进行批量登录验证爆破

[iv2ex]

https://imgur.com/BoFpFpl

显示“检测到异常活动”，这个需要改密码吗？

[iv2ex]

[图片]( https://imgur.com/BoFpFpl)

[zzzlight]

好像看记录暂时没发现这个

[hqt1021]

这里展示一张扫号软件的图片
[img]https://p1.meituan.net/csc/c7e53d3d518eb3020b8c026684d007f4123698.jpg[/img]
每秒扫描两万号。。

[iv2ex]

[winglight2016]

的确，我前两天也收到个弹窗，我还纳闷怎么回事儿。然后打开 lz 提供的活动记录页面，发现昨天从早到晚都在尝试登录然后失败，看来 2FA 还是很有意义啊。

[huangxiao123]

补充一段，前面老哥 PM 我提到的：

是临近护网，由 G*V 聘用国内**信组织的提前护网漏扫的操作（不通知 GA 一所），会对泄露的账户进行扫号操作

[huangxiao123]

@hqt1021 #84 前面有疑似是爆破软件的内存分析，看上去是分布式爆破，golang 写的，CS 端的

[huangxiao123]

@lifei6671 #76 Get it!

[huangxiao123]

@houzhishi #64 有可能，黑产哥“无所不能”

[yxc]

https://account.live.com/Activity
刚看上去看了下，确实有，5 月底开始的每天都有，爆破的都是我的别名用户
这个别名我肯定是没公开过的，所以应该不是泄露的

[huangxiao123]

@huangxiao123 #87 该信息仅供参考

[SunsetShimmer]

6/12 左右有来自阿根廷和巴西的对 Outlook 绑定 Gmail 的尝试，密码错误。

[curiohuang]

最近遇到不止一次了，今天睡醒还看到一个登录请求

[huangxiao123]

百密并无一疏，目前还不知道是谁发起的攻击，只知道大概的手段

通过 web 漏洞打进别人的服务器，服务器种 agent ，通过 agent 下发爆破任务回传至 server 端

希望 v 友在发现恶意登录 IP 的同时，把恶意 IP 也发出来，供大家参考或者进行下一步操作

[fu82581983]

最近半年时不时收到二次验证的邮件，看了一下登录记录，几乎每周都会尝试，而且发现都是别名登录的，印象中 outlook 的别名邮箱极少使用

[hqt1021]

@huangxiao123 并不是分布式，而是很多人在扫。。。
我手上就有俩付费的扫微软工具。。

[zjuster]

时间可能更久一点。而且我是 outlook 邮箱。

大概半年前就跳过一次，昨天确实也跳了，登录显示国内。里面还有好几次密码错误的。

我每个邮箱和账号的密码都是独立的，不太理解是怎么试出密码的？？难道微软被拖库...

[zjuster]

IP address
118.117.188.245
IP address
123.180.171.87

这两个是密码错误

IP address
175.162.214.174

这个是直接触发 2FA ，被我拒绝。

看了下更多历史，6 月 5 、6 、7 、8 有多次不成功登录。都是国内 IP ，Windows Chrome （但我所有设备都是苹果平台）

我的 Outlook 只用于求职工作和微软系登录，别无他用...微软是不是被内部阿三搞泄库了

[yuewenjie]

刚才 Authenticator 弹了好几次，我把密码改了