Promenili ste lozinku? Nije dovoljno: Novi malver i to zaobilazi!

Istraživači bezbednosti otkrili su novi komplet zlonamernih alata koji napadačima omogućava da ponovo uđu u kompromitovane naloge e-pošte čak i nakon što je lozinka promenjena i sve aktivne sesije prekinute.

iAuthFlow v2 se trenutno prodaje na ruskim forumima na Mračnoj mreži (Dark Web) za više od 10.000 dolara, navodi se u novom izveštaju stručnjaka za sajber-bezbednost iz kompanije Abnormal, nakon što su nabavili primerak ovog alata radi analize.

Ovaj malver prvenstveno deluje kao alat za phishing prevare, pokušavajući da navede korisnike da se prijave na Google, Microsoft, iCloud ili LinkedIn. Čim to učine, alat prosleđuje podatke za prijavu napadačima, koji se takođe prijavljuju na naloge sa svoje strane – pre nego što alat na nekoliko sekundi prikaže stranicu sa obaveštenjem "obrada u toku" (processing), dok u pozadini podešava novi pristupni ključ.

Pristupni ključ (passkey) je alternativni način autentifikacije koji se često reklamira kao "ubica lozinki". On koristi kriptografske ključeve sačuvane na uređaju, omogućavajući korisnicima da se prijave pomoću otiska prsta, skeniranja lica ili PIN koda uređaja.

Pošto tajni ključ nikada ne napušta uređaj, otporan je na phishing. Međutim, ako napadač uspe da generiše sopstveni ključ na uređaju koji poseduje, pristup nalogu mu je praktično zagarantovan.

Oglas za ovaj komplet alata sadrži i video-demonstraciju koja prikazuje kako funkcioniše. U toj demonstraciji, iAuthFlow v2 je kreirao pristupni ključ svega šest sekundi nakon autentifikacije.

Međutim, generisanje pristupnog ključa nije sasvim jednostavan proces i može naići na prepreke, nagoveštava kompanija Abnormal, navodeći da bi Google, na primer, mogao da zahteva dodatnu verifikaciju identiteta pre nego što dozvoli tu promenu.

Uobičajeno je da, kada napadač kompromituje nalog e-pošte, prekid svih sesija i promena lozinke budu dovoljni za zaštitu.

U ovom slučaju, međutim, korisnici bi trebalo da urade mnogo više: da pregledaju nalog u potrazi za znakovima kompromitovanja – uključujući neovlašćene pristupne ključeve ili bezbednosne ključeve, zlonamerna pravila filtriranja i prosleđivanja u Gmail-u, izmene podataka za oporavak naloga i delegirani pristup, kao i neovlašćene aplikacije, sugeriše Abnormal.

Takođe bi trebalo da opozovu sve relevantne OAuth žetone i dozvole, istraže dostupne revizorske događaje koji se tiču prijavljivanja, pravila za poštu, verifikacije u dva koraka, pristupnih ključeva i OAuth-a, i konačno, da se uvere da su uklonjeni svi metodi autentifikacije koje je napadač registrovao.