Chinesische Hacker während des Umgehens der Zwei-Faktor-Authentifizierung, aber das ist nicht sicher. Im Folgenden werden die Annahmen des niederländischen Unternehmens Fox-IT dargelegt, das auf Cyber-Sicherheitsberatungsdienste spezialisiert ist. Es wird angenommen, dass, wofür es keine direkten Beweise gibt, eine Gruppe von Hackern namens APT20 für Regierungsstrukturen in China arbeitet.
Die erste hakerische Aktivität, die der Gruppe APT20 zugeschrieben wird, wurde 2011 entdeckt. In den Jahren 2016–2017 verschwand die Gruppe aus dem Blickfeld der Experten, und erst kürzlich entdeckte Fox-IT Spuren der APT20-Intervention in den Netzwerken eines ihrer Kunden, der um die Untersuchung von Cyber-Sicherheitsverletzungen gebeten hatte.
Nach Auffassung von Fox-IT hat sich die Gruppe APT20 in den letzten zwei Jahren mit dem Hacken und dem Zugriff auf Daten von Regierungsstrukturen, großen Unternehmen und Dienstleistern in den USA, Frankreich, Deutschland, Italien, Mexiko, Portugal, Spanien, dem Vereinigten Königreich und Brasilien beschäftigt. Außerdem waren die Hacker von APT20 in Bereichen wie Luftfahrt, Gesundheitswesen, Finanzen, Versicherungen, Energie und sogar in Bereichen wie Glücksspiel und elektronische Schlösser aktiv.
Normalerweise nutzten die Hacker von APT20 zur Eindringung in die Systeme ihrer Opfer Schwachstellen in Webservern, insbesondere in der Plattform für Unternehmensanwendungen Jboss. Nachdem sie Zugriff erlangt und Shells installiert hatten, bewegten sich die Hacker durch die Netzwerke der Opfer in alle möglichen Systeme. Die gefundenen Konten ermöglichten es den Angreifern, Daten mit Standardwerkzeugen zu stehlen, ohne Schadsoftware installieren zu müssen. Das Hauptproblem besteht jedoch darin, dass die Gruppe APT20 angeblich die Zwei-Faktor-Authentifizierung mit Tokens umgehen konnte.
Forschern zufolge wurden Spuren entdeckt, dass die Hacker sich mit Konten von VPNs verbunden haben, die durch Zwei-Faktor-Authentifizierung geschützt sind. Wie dies geschah, kann Fox-IT lediglich vermuten. Die wahrscheinlichste Erklärung ist, dass die Hacker tokenisierte RSA SecurID aus dem gehackten System stehlen konnten. Mit der gestohlenen Software konnten die Hacker anschließend Einmal-Codes generieren, um die Zwei-Faktor-Sicherung zu umgehen.
Unter normalen Bedingungen ist dies nicht möglich. Ein Software-Token funktioniert nicht ohne Verbindung zum System des Hardware-Tokens. Ohne ihn gibt das RSA SecurID-Programm einen Fehler aus. Der Software-Token wird für ein spezifisches System erstellt, und wenn man Zugang zur 'Hardware' des Opfers hat, kann man die spezifische Zahl für den Start des Software-Tokens erhalten.
Die Experten von Fox-IT behaupten, dass für die Aktivierung eines (gestohlenen) Software-Tokens keineswegs der Zugriff auf den Computer und den Hardware-Token des Opfers notwendig ist. Der gesamte Prozess der ursprünglichen Überprüfung findet nur beim Import des Anfangsvektors der Generierung - einer zufälligen 128-Bit-Zahl, die dem spezifischen Token entspricht - statt (). Diese Zahl steht nicht in Verbindung mit der ursprünglichen Zahl, die dann zur Generierung des tatsächlichen Programmtokens verwendet wird. Wenn die Überprüfung des SecurID Token Seeds irgendwie umgangen werden kann, gibt es nichts, was die Generierung von Codes für die Zwei-Faktor-Authentifizierung behindert. Die Firma Fox-IT erklärt, dass diese Überprüfung durch die Änderung nur einer Anweisung umgangen werden kann. Danach wird das System des Opfers für den Angreifer vollständig und rechtlich offen sein, ohne dass spezielle Tools oder Shells verwendet werden.
Quelle: 3dnews.ru
