Chinesische Hacker beim Umgehen der Zwei-Faktor-Authentifizierung, aber das ist nicht sicher. Nachfolgend werden die Annahmen des niederländischen Unternehmens Fox-IT dargelegt, das auf Beratungsdienste für Cybersicherheit spezialisiert ist. Es wird vermutet, für die es keine direkten Beweise gibt, dass eine Gruppe von Hackern, die den Namen APT20 trägt, für die chinesischen Regierungsstrukturen arbeitet.
Die erste Hackeraktivität, die der Gruppe APT20 zugeschrieben wurde, wurde 2011 entdeckt. In den Jahren 2016-2017 verschwand die Gruppe aus dem Blickfeld der Fachleute, und erst kürzlich entdeckte Fox-IT Spuren der Intervention von APT20 in den Netzwerken eines ihrer Kunden, der um die Untersuchung von Cyber-Sicherheitsvorfällen gebeten hatte.
Laut Fox-IT war die Gruppe APT20 in den letzten zwei Jahren mit dem Hacken und dem Zugriff auf Daten staatlicher Stellen, großer Unternehmen und Dienstleister in den USA, Frankreich, Deutschland, Italien, Mexiko, Portugal, Spanien, Großbritannien und Brasilien beschäftigt. Die Hacker von APT20 waren auch in Bereichen wie Luftfahrt, Gesundheitswesen, Finanzen, Versicherungen, Energie und sogar in so verschiedenen Sektoren wie Glücksspiel und elektronischen Schlössern aktiv.
In der Regel verwendeten die Hacker von APT20 zur Eingabe in die Systeme der Opfer Schwachstellen in Webservern und insbesondere in der Plattform für Unternehmensanwendungen Jboss. Nach dem Zugang und der Installation von Shells drangen die Hacker in die Netzwerke der Opfer in alle möglichen Systeme ein. Gefundene Konten ermöglichten es den Angreifern, Daten mit Standardwerkzeugen zu stehlen, ohne Malware installieren zu müssen. Das Hauptproblem ist jedoch, dass die Gruppe APT20 angeblich in der Lage war, die Zwei-Faktor-Authentifizierung mittels Tokens zu umgehen.
Forschende geben an, dass sie Spuren gefunden haben, die zeigen, dass Hacker sich mit Konten von VPNs verbunden haben, die durch Zwei-Faktor-Authentifizierung geschützt sind. Wie dies geschah, können die Spezialisten von Fox-IT nur spekulieren. Die wahrscheinlichste Annahme ist, dass die Hacker in der Lage waren, ein RSA SecurID Software-Token aus einem gehackten System zu stehlen. Mit dem gestohlenen Programm konnten die Hacker später Einmalcodes zur Umgehung des Zwei-Faktor-Schutzes generieren.
Unter normalen Bedingungen ist dies nicht möglich. Der Software-Token funktioniert nicht ohne Verbindung zum lokalen System des Hardware-Tokens. Ohne ihn gibt die RSA SecurID-Software einen Fehler aus. Der Software-Token wird für ein bestimmtes System erstellt, und hat man Zugang zur 'Hardware' des Opfers, kann man eine spezifische Zahl für die Aktivierung des Software-Tokens erhalten.
Die Experten von Fox-IT behaupten, dass für die Aktivierung des (gestohlenen) Software-Tokens kein Zugang zum Computer oder Hardware-Token des Opfers erforderlich ist. Der gesamte Prozess der ersten Prüfung erfolgt nur bei der Eingabe des Anfangsvektors für die Erzeugung - einer zufälligen 128-Bit-Zahl, die dem spezifischen Token entspricht (). Diese Zahl steht in keinem Zusammenhang mit der anfänglichen Zahl, die dann zur Generierung des tatsächlichen Software-Tokens gehört. Wenn die Prüfung des SecurID Token Seed irgendwie umgangen werden kann (gepatcht), steht der Generierung von Codes für die Zwei-Faktor-Authentifizierung nichts mehr im Weg. Bei Fox-IT geben sie an, dass die Umgehung der Prüfung durch die Änderung nur einer Anweisung gewährleistet werden kann. Danach wird das System des Opfers in vollem Umfang und legal für den Angreifer zugänglich sein, ohne spezielle Tools und Schnittstellen verwenden zu müssen.
Quelle: 3dnews.ru
