Chinese hackers betrapt op het omzeilen van tweefactorauthenticatie

Chinese hackers were caught bypassing two-factor authentication, although this is not certain. Below are the assumptions of the Dutch company Fox-IT, which specializes in cybersecurity consulting. It is presumed, without direct evidence, that a group of hackers known as APT20 works for Chinese government entities.

The hacker activity attributed to the APT20 group was first discovered in 2011. Between 2016 and 2017, the group disappeared from the radar of experts, and only recently did Fox-IT detect traces of APT20's interference in the networks of one of its clients, who requested an investigation into cybersecurity breaches.

According to Fox-IT, over the past two years, the APT20 group has been engaged in hacking and accessing data from government institutions, large corporations, and service providers in the USA, France, Germany, Italy, Mexico, Portugal, Spain, the UK, and Brazil. The APT20 hackers have also been active in sectors such as aviation, healthcare, finance, insurance, energy, and even in areas like gambling and electronic locks.

Typically, APT20 hackers used vulnerabilities in web servers, particularly in the Jboss corporate applications platform, to gain access to victim systems. After gaining access and setting up shells, the hackers moved across victim networks into all available systems. The discovered accounts allowed the attackers to steal data using standard tools without installing malware. However, the main issue is that the APT20 group allegedly managed to bypass two-factor authentication using tokens.

Researchers claim to have found traces of hackers connecting to accounts secured by two-factor authentication via VPN. How this occurred, experts at Fox-IT can only speculate. The most likely scenario is that the hackers were able to steal an RSA SecurID software token from the compromised system. With the stolen program, the hackers could then generate one-time codes to bypass the two-factor protection.

In normale omstandigheden is dit niet mogelijk. De softwaretoken werkt niet zonder verbinding met het lokale systeem van de hardwaretoken. Zonder deze geeft het RSA SecurID-programma een foutmelding. De softwaretoken is ontworpen voor een specifiek systeem en met toegang tot de 'hardware' van het slachtoffer kan een specifiek nummer worden verkregen om de softwaretoken te activeren.

Specialisten van Fox-IT stellen dat het niet nodig is om toegang te hebben tot de computer en de hardwaretoken van het slachtoffer om de (gestolen) softwaretoken te activeren. Het gehele initiële controleproces vindt alleen plaats bij het importeren van de initiële vector voor de generatie - een willekeurig 128-bits getal dat overeenkomt met de specifieke token (SecurID Token Seed). Dit getal heeft geen relatie tot het initiële nummer dat vervolgens betrekking heeft op de generatie van de daadwerkelijke softwaretoken. Als de controle van de SecurID Token Seed op de een of andere manier kan worden overgeslagen (gepatcht), dan staat niets verdere generaties van codes voor tweefactorauthenticatie in de weg. Fox-IT verklaart dat de controle omzeild kan worden door slechts één instructie te wijzigen. Hierna zal het systeem van het slachtoffer volledig en legaal toegankelijk zijn voor de aanvaller zonder het gebruik van speciale tools of schil.

Bron: 3dnews.ru