Die Entwickler des Open-Source-Messengers Signal haben Informationen über einen gezielten Angriff veröffentlicht, der darauf abzielte, die Konten bestimmter Benutzer zu übernehmen. Der Angriff wurde durch einen Hack des Dienstes Twilio durchgeführt, der in Signal zur Organisation des Versands von SMS mit Bestätigungscodes verwendet wird. Die Analyse der Daten ergab, dass der Hack von Twilio etwa 1900 Telefonnummern von Signal-Benutzern betroffen haben könnte, für die die Angreifer in der Lage waren, die Telefonnummern auf ein anderes Gerät umzuregistrieren, um anschließend Nachrichten für die angegebene Telefonnummer zu empfangen oder zu senden (der Zugang zu vergangenen Chats, Profildaten und dem Adressbuch war nicht möglich, da solche Informationen auf dem Gerät des Benutzers gespeichert sind und nicht auf die Server von Signal übertragen werden).
Im Zeitraum zwischen dem Hack und der Sperrung des Dienstes Twilio des kompromittierten Kontos eines Mitarbeiters, das für den Angriff verwendet wurde, wurde für die markierten 1900 Telefonnummern eine Aktivität beobachtet, die mit der Registrierung des Kontos oder dem Versenden eines Verifizierungscodes per SMS zusammenhing. Die Angreifer, die Zugriff auf die Schnittstelle von Twilio hatten, interessierten sich insbesondere für drei Telefonnummern von Signal-Nutzern, und mindestens eines der Telefone gelang es, mit dem Gerät der Angreifer zu verknüpfen, wie aus der Beschwerde eines betroffenen Kontoinhabers hervorgeht. Signal informierte alle Benutzer, die möglicherweise von dem Angriff betroffen waren, per SMS und widerrief die Registrierung ihrer Geräte.
Der Hack von Twilio wurde unter Verwendung sozialer Ingenieurmethoden durchgeführt, die es den Angreifern ermöglichten, einen Mitarbeiter des Unternehmens auf eine Phishing-Seite zu locken und Zugriff auf sein Konto im Kundenservice-System zu erhalten. Insbesondere versendeten die Angreifer SMS-Nachrichten an die Mitarbeiter von Twilio mit Warnungen über das Ablaufen des Kontos oder Informationen über Änderungen des Zeitplans, zu denen ein Link zu einer gefälschten Seite angehängt war, die im Design der Anmeldeseite der internen Dienste von Twilio gestaltet war. Laut Twilio gelang es den Angreifern, sich Zugang zu den Daten von 125 Benutzern zu verschaffen, nachdem sie sich mit der Unterstützungsschnittstelle verbunden hatten.
Quelle: opennet.ru
