regelmatige steam hackpogingen

[wibra]

beste,

sinds 27 juli heb ik verscheidene hack-pogingen gezien op mijn steam account.

Ik krijg dan een email met "Access from new computer", en dan een IP en een land-indicatie. Totnogtoe waren er 5 zulke pogingen, telkens met het juiste wachtwoord. De landen waren Ukraine, Brazilie, Servie en Indie.

Na de eerste 2 pogingen pas heb ik de emails gezien, en heb ik uiteraard het wachtwoord veranderd (een automatisch gegeneerd wachtwoord). Toch blijven de emails komen. ik heb het wachtwoord nu 2 keer veranderd (op 4 en 16 augustus) maar de emails blijven komen.

De emails zijn echt van steam, en geen phishing attempt.

Er lijken 2 scenario's mogelijk denk ik:
1) een keylogger of iets dergelijks geinstalleerd
2) mijn lastpass/1password wachtwoord is bekend

is er nog een derde scenario mogelijk?
in het geval van (1) of (2), wat zijn de beste stappen die ik kan ondernemen?

[Room42]

Je kunt in ieder geval in Lastpass aangeven vanuit welke landen er ingelogd kan worden. Volgens mij kun je ook zien vanuit waar er ingelogde sessie plaatsvinden. Check even of dat met 1password misschien ook kan. En dan natuurlijk zoveel mogelijk beperken. Voor mij is NL voldoende. Als ik op vakantie ga, stel ik dat land handmatig even in, of ik gebruik een VPN naar thuis.

Overigens kan het ook een lek in de browser (-plugin) zijn. Heb je met een (of beide) password manager(s) auto-complete ingesteld staan? Dat kun je beter uitschakelen.

Ik neem aan dat je wachtwoord een random string aan (vreemde) tekens is?

Wat lokaal betreft: Geen trainers/cracks/etc. in gebruik? Zo ben ik destijds de controle over mijn account verloren; ik was aan het spelen met cracks en zo is mijn account gekaapt. Toen kende we nog geen 2FA, trouwens

Nog een laatste theorie: Weet je 100% zeker dat die mails legitiem zijn?

[MadMarky]

Ik neem aan dat je sowieso 2FA aan hebt gezet na al deze pogingen?

[Sleepkever]

Begin eens met 2 factor authentication aanzetten op je steamaccount. Dan kan je ook nog eens alle andere devices deauthorizen onderaan op deze pagina. (al hoeft dat waarschijnlijk nu niet omdat ze nog niet 2factor authorized zijn).

Ook geen verdachte mails in je prullenbak over geresette wachtwoorden? Geen gekke websites/hacks waar je je wachtwoord voor steam in moet vullen? Dit moet namelijk allemaal via steam oauth lopen tegenwoordig dus buiten het steampowered.com domein zou je nooit je wachtwoord in hoeven vullen, zelfs niet als sites bij je gegevens willen. Als een website dat wel nog vraagt dezer tijd heb je 100% kans dat ze er iets mee doen wat ze niet zouden moeten.

Als het antwoord daarop allemaal nee is zou ik het wachtwoord eens wijzigen op een andere computer en kijken of dat wel goed gaat. Zo ja dan heb je vrijwel zeker iets geks op je computer staan.

[Room42]

@wibra Hebben de heren hierboven gelijk dat je nog geen 2FA ingeschakeld had?? Dus de inlogpogingen waren zelfs 100% succesvol? Ik dacht dat het om mailtjes met de Steam Guard code ging!

Dan heb je héél veel geluk dat je account nog niet misbruikt is! Hoewel je die melding over een paar dagen alsnog zou kunnen krijgen.

[wibra]

Sleepkever: uiteraard heb ik 2FA op mijn steamaccount, anders was deze allang weggekaapt.

Ik heb enkele sites geauthorized om mijn steam community account te kunnen bekijken (ala backloggery), maar nergens heb ik mijn steam wachtwoord ingegeven buiten het domein van steampowered.com EN steamcommunity.com.

[Room42]

Top. En de rest?

[wibra]

Goed punt. Ik ga 2fa dan maar eens op lastpass en 1password zetten.

[Erazher]

Bij keylogger verander de wachtwoord op een andere computer en dan kom je er snel genoeg achter.

[Room42]

wibra schreef op maandag 2 september 2019 @ 13:28:
Goed punt. Ik ga 2fa dan maar eens op lastpass en 1password zetten.

Oef, daar ga ik weer met mijn aannames. Dacht dat dat ook wel basisbeveiliging was. Maar ik bedoelde eigenlijk de rest van de vragen die gesteld zijn

[wibra]

@Room42

Dus de inlogpogingen waren zelfs 100% succesvol?

nee, want de aanvaller heeft mijn mobieltje niet.

Ik dacht dat het om mailtjes met de Steam Guard code ging!

klopt!

Ook geen verdachte mails in je prullenbak over geresette wachtwoorden?

nee, behalve een email met "ik weet dat je wachtwoord xxxxxx is" (een oud insecure wachtwoord dat ik inderdaad gebruikte, maar niet voor Steam), met daarin een vals verhaaltje om geld van me af te troggelen.

Geen gekke websites/hacks waar je je wachtwoord voor steam in moet vullen?

nope

Ik neem aan dat je wachtwoord een random string aan (vreemde) tekens is?

idd, autogenerated, maximum tekens dat steam toelaat.

Geen trainers/cracks/etc. in gebruik?

ik heb cheat-engine gebruikt, waar je eigenlijk je eigen trainer maakt. dat was voor een epic-store-spel.

Weet je 100% zeker dat die mails legitiem zijn?

looks legit:

Delivered-To: [e-mail]
Received: by 2002:a67:ee45:0:0:0:0:0 with SMTP id g5csp1490552vsp;
Wed, 28 Aug 2019 16:14:04 -0700 (PDT)
X-Google-Smtp-Source: APXvYqxEWdyJ6o12/Bsl/f2wDJ5Y8nVTwRykZ1EVdp4gtLGrt7djmn4NojVCc39/nYpCpwkFA1dr
X-Received: by 2002:a63:3281:: with SMTP id y123mr5476457pgy.72.1567034043879;
Wed, 28 Aug 2019 16:14:03 -0700 (PDT)
ARC-Seal: i=1; a=rsa-sha256; t=1567034043; cv=none;
d=google.com; s=arc-20160816;
b=Eoj2KG4GZifFS7YB1r9o3Artw4wWhx8hkIrI92f0fz7KxzvMLIN5cRqJdd8MOTyJPH
gePIl9KLCToRuRfk1tE+JQ6EFUVAJhTKteQKLEuYKgU7wdqb1PY7Xxpgensu9ybQjcx7
Ol5U9NVzIX9fCFGvYMBPtNwa9UOVqxDXtXH6Q8vHRz/QwNu2tDm3EQasQY6tMpXDO9Nm
75c87Zvoop/aKzFDUM6HvOSQbADGrFWPr8LfrobX1xDmlS1xVVlhXd/kzUe9NONVrMhN
Oh2TSETrLe3hm+xa2I9PvWmEBuGPC0Cy3xJcrRzPi7qRHNoe8HtfPPAlXo6gYhck6k0s
LD4g==
ARC-Message-Signature: i=1; a=rsa-sha256; c=relaxed/relaxed; d=google.com; s=arc-20160816;
h=date:message-id:subject:mime-version:reply-to:from:to
:dkim-signature;
bh=7A367QUoJ2OdISCGTPUBQ58cEbDiZUgNezR5XPR/O2c=;
b=rnCmW/144KHANywV1ONlQkQi5ZWU3+hunDZHZJR4AlAajRNlDjQafbu2rRLSwkt6D7
LuSMceO1IV30CtrRHpL88g7/QEw9I4P1L9XYden1Sfy9HM5r9/DLVtgL4DIegg/r4Pxp
gGaimd2y13hx5ZnWQiDmvbh8VN8Itjlnjk+PZ40/2Cw5SDBCjI8rJBESJWAR8AvE7dwM
w98O08URl3zAwE5YZ7Q93g/1hpwdpQjihtotpSumJrLmk8CT8tidO6w5bzBMIsp93Qer
XhCQVhKPVYWxhbN5THoRfn8Lc21lFE3lBJIZ0q4LM9gT5HKJ8m1cRpUo9ZQho9g6dYzS
1Wzw==
ARC-Authentication-Results: i=1; mx.google.com;
dkim=pass header.i=@steampowered.com header.s=smtp header.b=lK9khlJl;
spf=pass (google.com: domain of [e-mail] designates 208.64.202.44 as permitted sender) smtp.mailfrom=[e-mail]
Return-Path: <[e-mail]>
Received: from smtp-44.steampowered.com (smtp-44.steampowered.com. [208.64.202.44])
by mx.google.com with ESMTPS id z11si539657pjq.102.2019.08.28.16.14.03
for <[e-mail]>
(version=TLS1_2 cipher=ECDHE-RSA-CHACHA20-POLY1305 bits=256/256);
Wed, 28 Aug 2019 16:14:03 -0700 (PDT)
Received-SPF: pass (google.com: domain of [e-mail] designates 208.64.202.44 as permitted sender) client-ip=208.64.202.44;
Authentication-Results: mx.google.com;
dkim=pass header.i=@steampowered.com header.s=smtp header.b=lK9khlJl;
spf=pass (google.com: domain of [e-mail] designates 208.64.202.44 as permitted sender) smtp.mailfrom=[e-mail]
DKIM-Signature: v=1; a=rsa-sha256; q=dns/txt; c=relaxed/relaxed; d=steampowered.com; s=smtp; h=Date:Message-Id:Content-Type:Subject: MIME-Version:Reply-To:From:To:Sender:Cc:Content-Transfer-Encoding:Content-ID: Content-Description:Resent-Date:Resent-From:Resent-Sender:Resent-To:Resent-Cc :Resent-Message-ID:In-Reply-To:References:List-Id:List-Help:List-Unsubscribe: List-Subscribe:List-Post:List-Owner:List-Archive; bh=7A367QUoJ2OdISCGTPUBQ58cEbDiZUgNezR5XPR/O2c=; b=lK9khlJl5TByveZZmoYLhOHGsM ps+KpGOsY8cvqN663hKWgMrpOFRtmXbYSWKfEmEdYF6RcUrhIYAHq1B7ZkpbsYe9CUUyBLuSp69lL XttkyTzVR1m6bWxACKngBg+mQstIYdyJ46k75+qU6FbL8HJPEW8upcYhhNAYZD3cFdSY=;
Received: from [208.64.202.21] (helo=valvesoftware.com) by smtp-01-tuk1.steampowered.com with smtp (Exim 4.90_1) (envelope-from <[e-mail]>) id 1i378d-0008VP-HK for [e-mail]; Wed, 28 Aug 2019 16:14:03 -0700
To: [e-mail]
From: Steam Support <[e-mail]>
Reply-To: <[e-mail]>
X-Steam-Message-Type: Account Information Confirmation
MIME-Version: 1.0
Subject: Your Steam account: Access from new computer
Content-Type: multipart/alternative; boundary="------------060908020109090601040503"
Message-Id: <[e-mail]>
Date: Wed, 28 Aug 2019 16:14:03 -0700

--------------060908020109090601040503
Content-Type: text/plain; charset=UTF-8; format=flowed
Content-Transfer-Encoding: 7bit


Dear xxxx,

Here is the Steam Guard code you need to login to account zabinko:

xxxxx


This email was generated because of a login attempt from a computer located at 201.182.146.14 (BR). The login attempt included your correct account name and password.

[wibra]

ik heb zopas een nieuw mailtje gekregen van steamguard, ditmaal een hackpoging uit Thailand. Dit wil zeggen dat iemand mijn steamwachtwoord weet.

Wat mijn situatie nu dus is:

1) 1password is 2FA
2) steam is 2FA
3) nieuw wachtwoord in gesteld

het enige dat me tebinnenschiet is dat iemand op 1 van mijn machines kan. Ik had teamviewer13 met automatisch gegeneerd wachtwoord opstaan van 4 karakters, misschien dat iemand zo is binnengeraakt? Een korte blik in de logs van teamviewer toonde niks, maar de hacker zou zijn sporen kunnen uitwissen uiteraard. Ik heb nu geupgradet naar teamviewer 14, automatisch gegeneerd wachtwoord afstaan.

nog maar eens het wachtwoord opnieuw instellen en kijken hoelang het nu duurt vooraleer er een nieuwe poging is ...

[MuddyMagical]

wibra schreef op maandag 7 oktober 2019 @ 18:29:
ik heb zopas een nieuw mailtje gekregen van steamguard, ditmaal een hackpoging uit Thailand. Dit wil zeggen dat iemand mijn steamwachtwoord weet.

Wat mijn situatie nu dus is:

1) 1password is 2FA
2) steam is 2FA
3) nieuw wachtwoord in gesteld

het enige dat me tebinnenschiet is dat iemand op 1 van mijn machines kan. Ik had teamviewer13 met automatisch gegeneerd wachtwoord opstaan van 4 karakters, misschien dat iemand zo is binnengeraakt? Een korte blik in de logs van teamviewer toonde niks, maar de hacker zou zijn sporen kunnen uitwissen uiteraard. Ik heb nu geupgradet naar teamviewer 14, automatisch gegeneerd wachtwoord afstaan.

nog maar eens het wachtwoord opnieuw instellen en kijken hoelang het nu duurt vooraleer er een nieuwe poging is ...

- Haal alle externe access van je Steam account (je hebt het over backloggery, etc).
- Wijzig je wachtwoord eens van een andere machine. Dan kan je checken of jouw machine niet de pineut is.
- Valve / Steam support even aanschieten? Die kunnen dit soort dingen ook blocken.

[mr_evil08]

Heb je niet gewoon syp/malware op je pc ?
Anders lijkt mij toch echt phishing, mails zien er tegenwoordig behoorlijk echt uit.

De kans dat iemand een 2e keer het wachtwoord raad is wel zo ongeloofelijk klein dat het haast niet anders malware kan zijn, zeker bij een sterk wachtwoord.

Een "hacker" kapt er vrij snel mee als het niet lukt zoals 2fa aanstaat, dat hebben ze ook wel door zo achterlijk zijn ze ook weer niet, dus je hebt iets wat zijn aandacht trekt.

Heb je geheime vragen voor wachtwoord reset ook aangepast?

[ Voor 72% gewijzigd door mr_evil08 op 07-10-2019 19:07 ]

[wibra]

ik denk niet dat het 1 hacker is, vanwege al de verschillende landen vanwaar de inlogpogingen komen. kan natuurlijk gespoofd zijn.

ik moet inderdaad iets hebben wat de aandacht trekt. Mijn account is veel waard, dat is een begin. level 19, 500 games, 500+DLC, 16 jaar oud. Ik heb eens gegoogled, en blijkbaar is er een markt voor steam accounts. Sommige accounts worden aangeboden voor 2000USD. SteamDB vertelt me dat mijn account tussen de $1535 — $5880 waard is. (discounted-fullprice).

ik ben vrij zeker dat het geen phishing is, want de mails linken naar een echt adres dat begint met:
https://steamcommunity.co...ciousLogin?stoken=[token]


dus idd, moet haast malware/spyware zijn. ik hoop dat het nu opgelost is met die teamviewer. anders moet ik toch eens de hele pc gaan herinstalleren.

[ Voor 10% gewijzigd door wibra op 07-10-2019 19:53 ]

[mr_evil08]

@wibra Kan gerust 1 hacker zijn, inloggen vanuit verschillende landen is puur om minder op te vallen, zeker omdat het allemaal in korte periode is.

[Ivysaur]

Gewoon direct je OS herinstalleren. Je SSD/HDD compleet schoonmaken. Nieuwe OS der op. Beter voorkomen, dan genezen.

Al je wachtwoorden in LastPass veranderen en dan ook je hoofdwachtwoord. 2FA der op en ook Steam Guard op je Steam-account.

Hoppa. Dan zal er niks meer aan de hand zijn, gok ik zo.

[ Voor 44% gewijzigd door Ivysaur op 07-10-2019 20:10 ]

[wibra]

Op 20/10 4 hackpogingen op 12 uur tijd .... toch maar eens naar steam support geschreven...

Wat blijkt, ik had een tweede account gelinkt met hetzelfde e-mailadres. Ik vermoed dat deze account een overblijfsel is van toen steamcommunity.com nog een apart account systeem had.

Deze ex-community account die ik al geen jaren heb gebruikt had geen games (enkel 1 gift van een vriend).