Mail.ru: Brute-force any email account through allods.mail.ru

!!! Полная версия отчета со скриншотами находится во вложенном PDF-файле. Vulnerability Technical description По адресу https://allods.mail.ru/account.php находится форма регистрации нового пользователя в игре. В процессе заполнения формы, посылается Ajax POST-запрос в параметрах которого передаются пара логин-пароль на URL https://allods.mail.ru/ajaxreg.php В теле POST-запроса передается функция verifyMruEmailPass, из названия которой очевидно, что функция имеет отношение к верификации, а в совокупности с передаваемыми логином и паролем - к процессу аутентификации. ```shell POST /ajaxreg.php HTTP/1.1 Host: allods.mail.ru User-Agent: Mozilla/5.0 (X11; Linux x86_64; rv:68.0) Gecko/20100101 Firefox/68.0 Accept: application/json, text/javascript, /; q=0.01 Accept-Language: en-US,en;q=0.5 Accept-Encoding: gzip, deflate Referrer: https://allods.mail.ru/account.php Content-Type: application/x-www-form-urlencoded; charset=UTF-8 X-Requested-With: XMLHttpRequest do=verifyMruEmailPass=&password=SuperMegaPass&[email protected] ``` - При успешной аутентификации пользователю возвращается: { "Valid":"1", "Error":"" } - При неудачной: { "valid": "", "error": "Неверно указан пароль от почты Mail.Ru!" } В первую же очередь уязвимость была проверена средствами Intruder, где за основу был взят словарь в ~100 срок, в разные участки которого было вставлено пять валидных паролей от учетной записи [email protected]. (passwd - hammer50!!) Из результата выполнения запросов видно, что...

SecRule REQUEST_URI "@rx ..." "id:1001,phase:1,deny,status:403"

find /var/www -type f -name "*.php" -mmin -120

ss -tunp | grep -E ":(4444|1337|8080|9001)"

apt update && apt --only-upgrade install <pkg>

title: Detect Exploitation - Mail.ru: Brute-force any email account through allods.mail.ru
id: 57dc25f0-540c-4d28-a01f-2c0aaf257c1e
status: experimental
description: Automatisch generierte SIEM-Erkennungsregel basierend auf CTI Intelligence
references:
  - https://tsecurity.de/
author: iShareStuff CTI Automated Detection Engine
date: 2026-09-27
logsource:
  category: network_connection
  product: any
detection:
  selection:
      DestinationHostname:
        - 'allods.mail.ru'
        - 'list.ru'
        - 'mail.ru'
  condition: selection
falsepositives:
  - Legitime administrative Zugriffe oder Penetrationstests
level: high
tags:
  - attack.initial_access

rule CTI_Threat_Indicator {
    meta:
        author = "iShareStuff CTI Automated Detection Engine"
        date = "2026-09-27"
        description = "YARA Signature for "
    strings:
        $str = "Mail.ru: Brute-force any email" ascii wide
    condition:
        any of them
}

index=security sourcetype IN ("cisco:asa", "pan:traffic", "zeek_conn", "suricata", "WinEventLog:Security")
(dest_host="allods.mail.ru" OR dest_host="list.ru" OR dest_host="mail.ru")
| stats count earliest(_time) as first_seen latest(_time) as last_seen by src_ip, dest_ip, dest_host, signature
| eval first_seen=strftime(first_seen, "%Y-%m-%d %H:%M:%S"), last_seen=strftime(last_seen, "%Y-%m-%d %H:%M:%S")
| sort - count

destination.domain: ("allods.mail.ru" OR "list.ru" OR "mail.ru") and event.category: "network"

CommonSecurityLog
| where DestinationHostName in ("allods.mail.ru", "list.ru", "mail.ru")
| summarize EventCount = count(), FirstSeen = min(TimeGenerated), LastSeen = max(TimeGenerated) by SourceIP, DestinationIP, DestinationPort, Activity
| extend DetectionRule = "iShareStuff-CTI-Compiled"
| sort by EventCount desc