Hacker cinesi per aver bypassato l'autenticazione a due fattori, ma non è certo. Di seguito saranno esposte le supposizioni della compagnia olandese Fox-IT, specializzata in servizi di consulenza sulla cybersicurezza. Si presume, senza prove dirette, che un gruppo di hacker noto come APT20 lavori per le strutture governative cinesi.
L'attività di hacking attribuita al gruppo APT20 è stata scoperta per la prima volta nel 2011. Tra il 2016 e il 2017, il gruppo è scomparso dalla vista degli esperti, e solo di recente Fox-IT ha trovato tracce dell'interventismo di APT20 nelle reti di uno dei suoi clienti, che ha richiesto un'indagine su violazioni della cybersicurezza.
Secondo Fox-IT, negli ultimi due anni il gruppo APT20 ha effettuato attacchi e accessi ai dati di enti governativi, grandi aziende e fornitori di servizi negli USA, Francia, Germania, Italia, Messico, Portogallo, Spagna, Regno Unito e Brasile. Gli hacker di APT20 sono stati anche attivi in settori come aviazione, sanità, finanza, assicurazioni, energia e persino in aree come il gioco d'azzardo e le serrature elettroniche.
In genere, gli hacker di APT20 utilizzavano vulnerabilità nei server web e, in particolare, nella piattaforma di applicazioni aziendali Jboss per accedere ai sistemi delle vittime. Dopo aver ottenuto l'accesso e installato delle shell, gli hacker si infiltravano nelle reti delle vittime in tutti i sistemi possibili. Gli account trovati permettevano ai malintenzionati di rubare dati utilizzando strumenti standard, senza l'installazione di malware. Ma il problema principale è che il gruppo APT20 avrebbe presumibilmente aggirato l'autenticazione a due fattori utilizzando token.
I ricercatori sostengono di aver trovato tracce di hacker che si sono collegati a account VPN protetti da autenticazione a due fattori. Come ciò sia avvenuto, gli specialisti di Fox-IT possono solo fare supposizioni. La più probabile è che gli hacker siano riusciti a rubare un token software RSA SecurID dal sistema compromesso. Con il programma rubato, in seguito, gli hacker potevano generare codici usa e getta per bypassare la protezione a due fattori.
In condizioni normali, questo non è possibile. Il token software non funziona senza il collegamento al sistema locale del token hardware. Senza di esso, il programma RSA SecurID restituisce un errore. Il token software è creato per un sistema specifico e, avendo accesso all'hardware della vittima, è possibile ottenere un numero specifico per avviare il token software.
Gli esperti di Fox-IT affermano che per avviare il token software (rubato) non è affatto necessario avere accesso al computer e al token hardware della vittima. L'intero complesso di verifica iniziale avviene solo durante l'importazione del vettore iniziale di generazione — un numero casuale a 128 bit, corrispondente al token specifico (). Questo numero non ha relazione con il numero iniziale, che poi si riferisce alla generazione del vero token software. Se la verifica del SecurID Token Seed può essere in qualche modo saltata (patchata), allora nulla impedirà in seguito di generare codici per l'autenticazione a due fattori. In Fox-IT sostengono che eludere la verifica può essere realizzato modificando solo un'istruzione. Dopo, il sistema della vittima sarà completamente e legalmente aperto all'attaccante senza l'uso di strumenti e interfacce speciali.
Fonte: 3dnews.ru
