Двухфакторная аутентификация уязвима для новой атаки

Двухфакторная аутентификация уязвима для новой атаки

Исследователи из Амстердамского свободного университета обнаружили, что двухфакторную аутентификацию можно обойти, если у жертвы есть смартфон с Android или iOS. Проблема кроется в автоматической синхронизации устройств, которую обеспечивают сервисы Google и Apple.

Двухфакторная аутентификация требует подтверждать права доступа по двум независимым каналам. Чаще всего она выглядит так: сначала пользователь вводит пароль, а затем сообщает одноразовый код, полученный по SMS. Такой метод заметно надёжнее, чем обычная проверка пароля.

Чтобы обойти двухфакторную аутентификацию, злоумышленнику нужно не только узнать пароль, но и оперативно перехватить одноразовый код доступа. Исследователи из Нидерландов обнаружили, что удобства, которые современные мобильные платформы предоставляют своим пользователям, делают перехват SMS вполне реалистичной задачей.

Атаки на пользователей iOS и Android, которые они предложили, существенно различаются, но и в том, и в другом случае компьютер жертвы должен быть заражён специальным трояном, пишет xakep.ru.

Троян, который атакует пользователей Android, от имени жертвы обращается к Google Play и просит установить на её смартфоны шпионское приложение. Google Play молча повинуется, даже не спрашивая у пользователя разрешения. После установки приложение тихонько ждёт SMS с кодом доступа. Получив SMS, оно тут же переправляет его на сервер злоумышленника.

 

Screen-Shot-2016-04-11-at-2.11

 

Самое сложное тут — протащить шпиона в Google Play. Для этого исследователи разработали приложение, способное исполнять код из интернета. Все вредоносные функции были реализованы на Javascript, загружаемом с их сервера. Запросы с адресов, принадлежащих Google, сервер игнорировал. Такого трюка хватило для того, чтобы обмануть гугловских цензоров.

Победить iOS оказалось ещё проще. В последние версии OS X и iOS встроена функция под названием Continuity. Она, среди прочего, позволяет читать SMS с айфона при помощи компьютера. Чтобы перехватить код доступа, трояну достаточно мониторить содержимое файла ~/Library/Messages/chat.db, куда попадают пришедшие SMS.

Эта уязвимость была найдена ещё в 2014 году. Исследователи немедленно сообщили о ней Google и другим онлайновым сервисам, использующим двухфакторную аутентификацию, а также провели серию презентаций для банков. Ни одна компания не отреагировала на предупреждение.

AM LiveПодписывайтесь на канал "AM Live" в Telegram, чтобы первыми узнавать о главных событиях и предстоящих мероприятиях по информационной безопасности.

В Роскачестве вскрыли аферу с угрозой изъятия домашних животных

Центр цифровой экспертизы Роскачества предупредил о появлении новой мошеннической схемы. Злоумышленные звонки совершаются якобы от имени сотрудников жилищной инспекции.

Мошенники утверждают, что количество домашних животных у граждан превышает допустимую норму, и угрожают их изъятием. Затем они либо требуют уплаты вымышленного «налога», либо направляют на фишинговые страницы.

В ведомстве связывают распространение данной схемы со слухами о возможном введении ограничений на содержание домашних животных.

«Думаю, мошенники активизировались именно потому, что в СМИ начали активно обсуждать инициативы законодателей о содержании и выгуле домашних животных. Как только тема получила широкое освещение и стала популярной среди населения, злоумышленники начали использовать её для своих звонков», — прокомментировал появление схемы в эфире радиостанции Business FM адвокат Алексей Скляренко.

Мошенники массово обзванивают граждан под предлогом проведения опроса, выясняя количество домашних питомцев. Затем они сообщают владельцам животных, что их количество якобы превышает некие нормативы, опубликованные на портале Госуслуг. При этом конкретные цифры называются звонящими произвольно.

Злоумышленники также могут отправить потенциальной жертве ссылку, ведущую на фальшивый сайт, предназначенный для хищения личных данных или захвата аккаунтов. Однако, по данным Роскачества, чаще мошенники просто требуют денег под видом обязательных «налогов», оформления разрешений или штрафов за превышение лимита животных.

«Если вам позвонили, представились сотрудниками государственной службы и требуют оплатить содержание питомцев, будьте уверены — это мошенники. Немедленно завершайте разговор и обращайтесь в полицию. Помните, никаких специальных сборов или компенсаций за содержание домашних животных сверх установленного лимита не существует», — подчеркнул в комментарии ТАСС руководитель Центра цифровой экспертизы Роскачества Сергей Кузьменко.

AM LiveПодписывайтесь на канал "AM Live" в Telegram, чтобы первыми узнавать о главных событиях и предстоящих мероприятиях по информационной безопасности.

RSS: Новости на портале Anti-Malware.ru