Hacker cinesi per aver aggirato l'autenticazione a due fattori, ma non è confermato. Di seguito verranno presentate le ipotesi dell'azienda olandese Fox-IT, specializzata in servizi di consulenza sulla cybersecurity. Si presume, senza prove dirette, che un gruppo di hacker noto come APT20 lavori per le strutture governative cinesi.
L'attività di hacking attribuita al gruppo APT20 è stata scoperta per la prima volta nel 2011. Tra il 2016 e il 2017, il gruppo è scomparso dalla vista degli esperti, e solo recentemente Fox-IT ha trovato tracce dell'intervento di APT20 nelle reti di uno dei suoi clienti, che aveva richiesto un'indagine su violazioni della cybersecurity.
Secondo Fox-IT, negli ultimi due anni il gruppo APT20 ha effettuato hacking e accesso ai dati di strutture statali, grandi aziende e fornitori di servizi negli Stati Uniti, Francia, Germania, Italia, Messico, Portogallo, Spagna, Regno Unito e Brasile. Inoltre, gli hacker di APT20 sono stati attivi in settori come aviazione, sanità, finanza, assicurazioni, energia e anche in ambiti come giochi d'azzardo e serrature elettroniche.
Di solito, gli hacker di APT20 utilizzano vulnerabilità nei server web e, in particolare, nella piattaforma di applicazioni aziendali Jboss per accedere ai sistemi delle vittime. Dopo aver ottenuto accesso e installato shell, gli hacker si infiltravano nelle reti delle vittime in tutti i sistemi disponibili. Gli account trovati permettevano agli aggressori di rubare dati utilizzando strumenti standard, senza l'installazione di malware. Ma il principale problema è che il gruppo APT20 avrebbe apparentemente aggirato l'autenticazione a due fattori usando token.
I ricercatori affermano di aver trovato tracce che indicano che gli hacker si sono connessi a account VPN protetti da autenticazione a due fattori. Come sia avvenuto, gli esperti di Fox-IT possono solo formulare congetture. La spiegazione più plausibile è che gli hacker siano riusciti a rubare un token software RSA SecurID da un sistema compromesso. Con il software rubato, successivamente gli hacker potevano generare codici usa e getta per aggirare la protezione a due fattori.
In condizioni normali, ciò non sarebbe possibile. Un token software non funziona senza la connessione al sistema locale del token hardware. Senza di esso, il programma RSA SecurID genera un errore. Il token software è creato per un sistema specifico e, avendo accesso all'hardware della vittima, è possibile ottenere un numero specifico per attivare il token software.
Gli esperti di Fox-IT affermano che non è necessario avere accesso al computer e al token hardware della vittima per attivare il token software (rubato). L'intero processo di verifica iniziale avviene solo con l'importazione del vettore iniziale di generazione - un numero casuale di 128 bit, corrispondente a un token specifico (). Questo numero non ha alcuna relazione con il numero iniziale, che è poi utilizzato per generare il token software reale. Se la verifica del SecurID Token Seed può essere in qualche modo saltata (patchata), nulla impedirà in seguito la generazione di codici per l'autenticazione a due fattori. In Fox-IT sostengono che l'aggiramento della verifica può essere realizzato modificando un'unica istruzione. Dopo di che, il sistema della vittima sarà completamente e legalmente aperto agli aggressori senza l'uso di strumenti speciali e shell.
Fonte: 3dnews.ru
