С какой степенью достоверности правильно определены истоки хаков?

Question

Вопрос, который у меня возник из-за этого вопроса, где кто-то показывает историю Терминала о попытке взлома их системы.

В выводе есть строка, которая предполагает взлом из Китая. Это утверждение было сделано во многих ответах, и никто не думал сомневаться в этом. Линия выглядит так:

Accept-Language: zh-cn

что означает, что китайский язык был предпочтен на другом конце. IP-адрес, с которого хакер загружает некоторые инструменты, является китайским. Однако аналогично основному вопросу здесь ... Это говорит нам о том, что хакер сидит в Китае?

Это возможно / возможно, что люди включают линию просто, чтобы заставить это казаться, что нападение прибыло из Китая? Или есть дополнительные подсказки, которые указывают на это?

Они могут легко по-прежнему работать на английском или любом другом языке в этом отношении, в конце концов.

Я представляю себе, например, английского парня, сидящего в интернет-кафе в Москве, маршрутизируемого через VPN в Эквадоре ...

Являются ли статистические данные, которые сообщаются в средствах массовой информации или, например, американским правительством, о том, что X процентов всех кибервойн / хакерских атак происходят из Китая на основе более достоверной информации? Если так, то какой?

Answer 1

В этом случае злоумышленник, казалось бы, скрыл свою личность, выполнив атаку через облачные серверы Microsoft Azure. Таким образом, происхождение атаки трудно сказать без каких-либо журналов, которые может иметь Microsoft.

Однако IP-адреса, с которых загружались файлы, были созданы в Китае. Это, как и упомянутая строка, ближе всего мы должны знать без каких-либо дополнительных журналов.

Имейте в виду, что Китай не особенно известен своим бесплатным и открытым интернетом. Напротив, в последний раз, когда я когда-либо искал это, любая форма базового хостинга там была невероятно дорогой. Возможно, это изменилось, но кажется маловероятным, что люди за пределами Китая потратили бы слишком много усилий, чтобы нанять там сервер, и приложили бы столько усилий, чтобы он выглядел так, как будто он из Китая.

Это на 100% убедительно? Нет, совсем нет. Но вероятно? Я бы так сказал.

Что касается средств массовой информации, я считаю, что это слишком открыто для мнения и каждого средства массовой информации и их источников для окончательного ответа в этом формате.

Answer 2

Я рад, что кто-то поднял это, так как я думал то же самое, когда читал этот вопрос.

Accept-Language: zh-cn

Первое, что я думаю, когда вижу, что кто-то скопировал заголовок HTTP-запроса из своего браузера, не понимая, что он делает.

Даже в обычных запросах это обычно не требуется, и в этом случае URL, вероятно, используется для загрузки бинарных ресурсов, которые не нужно переводить. Это просто пустая трата пространства.

Строка не обязательно указывает на что-либо, но она может гипотетически указывать настройку языка браузера злоумышленника.

Что-то указывает на то, что IP-адреса найдены в двоичном файле, но это не означает, что злоумышленник находится в Китае, возможно, просто потому, что он взломал некоторые серверы в Китае.

Я всегда скептически отношусь к такой статистике. Я не уверен, на чем они основаны, кроме IP-адресов.