Этот инструмент может взломать ваши учетные записи даже с двухфакторной аутентификацией

Этот инструмент может взломать ваши учетные записи даже с двухфакторной аутентификацией

Интернет - опасное место, изобилующее теневыми людьми, которые хотят украсть вашу личную информацию. Включение двухфакторной аутентификации (иногда называемой двухфакторной проверкой) является одним из лучших способов защитить ваши онлайн-аккаунты. Однако знаменитый хакер Кевин Митник показывает, как даже эта мера безопасности не может полностью защитить ваши данные, если вы не останетесь постоянно бдительными.

Этот взлом не был разработан Митником, который работает главным офицером по хакерству для охранной фирмы KnowBe4. Кредит за это идет к другу Митника и белой шляпе хакером Кубе Гретцки. Инструмент известен как evilginx, и он делает фишинг возможным даже тогда, когда цель использует двухфакторную аутентификацию. По сути, это атака «человек в середине», но она использует proxy_pass и sub_filter для изменения и захвата трафика HTTP. Для этого требуется HTTP-сервер Nginx и некоторое знакомство с Debian Linux. У многих людей есть необходимый опыт для этого.

Вы можете получить полное техническое описание злодея на сайте Гретцки, но у Митника есть приятная, удобоваримая видеоролик инструмента в действии (встроенная ниже). В качестве примера он использует LinkedIn, но его можно использовать в Google, Facebook и любом другом, который использует стандартный двухфакторный вход. Атака начинается так же, как и все фишинг-атаки - с продуманным электронным письмом. Вы должны убедить цель щелкнуть ссылку, которая загружает ваш сайт, который маскируется как страница, которую ожидает ваша цель. В этом случае это LinkedIn.

Кража имени пользователя и пароля, как это просто, потому что они не меняются. Двухфакторный код меняется каждые несколько секунд, поэтому снятие с вашей поддельной страницы бессмысленно. Используя evilginx, Митник показывает, как страница захватывает не код 2FA, а файл cookie сеанса. Это идентифицирует пользователя на сайте, позволяя злоумышленнику быстро перейти на ваш аккаунт.

Mitnick продолжает показывать, как вы можете загружать cookie сеанса вручную через консоль разработчика Chrome, которая занимает всего несколько кликов. Затем все, что вам нужно сделать, это перезагрузить страницу, а LinkedIn отобразит сеанс входа в систему. Вам не нужно вводить имя пользователя, пароль или даже код 2FA.

Gretzky опубликовал код для своего 2FA хака на GitHub, так что каждый имеет доступ к нему. Это означает, что люди могут попытаться использовать его для фишинговых целей, но исследователи безопасности и преподаватели могут также помочь защитить пользователей. Он просто показывает вам; даже двухфакторная аутентификация не защитит вас от ваших собственных плохих решений.

Читать далее

Кто-то взломал трассировку лучей в SNES
Кто-то взломал трассировку лучей в SNES

Конечно же, игровая приставка из 90-х не могла поддерживать трассировку лучей, верно? Неправильно. Разработчик и инженер игры Бен Картер взломал трассировку лучей в Super NES с небольшой помощью платы разработчика FPGA.

Основатель сигналов хакает инструменты взлома телефонов Cellebrete
Основатель сигналов хакает инструменты взлома телефонов Cellebrete

Израильская фирма недавно хвасталась, что оно помогло правоохранительные данные извлекать данные из приложения зашифрованного сигнала. Ну, основатель сигнала Moxie MarlinsPike было что сказать об этом.

Алекса может быть сделана, чтобы взломать себя
Алекса может быть сделана, чтобы взломать себя

Грапанный умный динамик Amazon смутился еще раз.

Wyze покинул камеры безопасности, открытые для взлома три года
Wyze покинул камеры безопасности, открытые для взлома три года

Новое раскрытие от Security Firm BitDefender показывает, что оригинальный Wyze Cam обладает серьезной уязвимостью безопасности, которые могут позволить злоумышленнику удаленно получить доступ к вашему видео, а Wyze знал об этом в течение трех лет.