Дослідники безпеки з Google Threat Intelligence Group (GTIG) виявили, що російські хакери успішно обходили багатофакторну автентифікацію (MFA) Google у Gmail для здійснення цілеспрямованих атак. Метод полягав у використанні передової соціальної інженерії, щоб змусити жертв створити та передати «паролі для додатків».
Про це повідомляє Група розвідки загроз Google.
Як працювала схема обходу MFA?
Хакери видавали себе за посадовців Державного департаменту США. Вони вступали в контакт із жертвою, а потім переконували її створити паролі для окремих програм (паролі додатків).
Паролі додатків — це 16-значні коди, які генерує Google. Вони дозволяють певним програмам або пристроям безпечно отримувати доступ до облікового запису Google, особливо коли увімкнена багатофакторна автентифікація. Ці паролі створювалися для старих або менш безпечних програм, які не могли обробляти другий етап перевірки MFA. Однак саме це робило їх вразливими: оскільки паролі додатків пропускають другий крок перевірки, їх легше викрасти або отримати через фішинг.
Сценарій атаки: приклад від CitizenLab
Як показав приклад, наведений CitizenLab, зловмисники діяли за такою схемою:
- Початковий контакт: Хакери зв’язувалися з жертвою, видаючи себе за представника Державного департаменту, запрошуючи на «консультацію» у приватній онлайн-розмові.
- Створення ілюзії легітимності: Запрошення надходило з облікового запису Gmail, але було позначене як копії для чотирьох облікових записів «@state.gov». Це створювало хибне відчуття безпеки, змушуючи жертву думати, що інші співробітники Держдепартаменту відстежують листування. Ймовірно, ці адреси були вигадані, адже поштовий сервер Держдепартаменту приймає всі повідомлення без відповіді про відмову, навіть якщо адреси не існують.
- Виманювання пароля додатку: Після того, як жертва виявляла зацікавленість, вона отримувала офіційний документ з інструкціями щодо реєстрації облікового запису «Гість-орендаря MS DoS». У документі детально описувався процес «додавання вашого робочого облікового запису… до нашої платформи Гість-орендаря MS DoS», що включало створення пароля додатка для «забезпечення безпечного зв’язку між внутрішніми співробітниками та зовнішніми партнерами».
Таким чином, жертва вважала, що створює та поширює пароль додатка для безпечного доступу до платформи Держдепартаменту, тоді як насправді вона надавала зловмиснику повний доступ до свого облікового запису Google.
Цілі та організація кампанії
Цілями цієї кампанії, що тривала місяцями, були відомі науковці та критики Росії. Висока деталізація та майстерність організації атак змусили дослідників підозрювати, що за ними стоїть організація, що фінансується російською державою.
Як убезпечитися: рекомендації
Тепер, коли цей метод обходу MFA відомий, очікується зростання кількості подібних атак. Щоб забезпечити безпеку, слід дотримуватися таких рекомендацій:
- Уникайте паролів додатків: Використовуйте їх лише за крайньої необхідності. Перейдіть на програми та пристрої, які підтримують безпечніші методи входу.
- Вибирайте стійкіші методи MFA: Хоча багатофакторна автентифікація є важливою, не всі її види однаково надійні. Програми для автентифікації (наприклад, Google Authenticator) або апаратні ключі безпеки (FIDO2/WebAuthn) стійкіші до атак, ніж коди на основі SMS, не кажучи вже про паролі додатків.
- Навчайтеся розпізнавати фішинг: Зловмисники часто обходять MFA, обманом змушуючи користувачів розкривати облікові дані або паролі додатків через фішингові схеми. Регулярно навчайте себе та інших розпізнавати такі спроби.
- Слідкуйте за підозрілою активністю: Будьте уважні до незвичайних спроб входу або підозрілої поведінки (входи з незнайомих місць/пристроїв). Обмежте такі входи, де це можливо.
- Оновлюйте ПЗ: Регулярно оновлюйте операційну систему та програми для виправлення вразливостей. Увімкніть автоматичні оновлення.
- Використовуйте захисне ПЗ: Встановіть програмне забезпечення безпеки, яке блокує шкідливі домени та розпізнає шахрайство.
Читають зараз:
