De ontwikkelaars van de open source messenger Signal hebben details onthuld over een gerichte aanval die gericht was op het verkrijgen van controle over de accounts van sommige gebruikers. De aanval is uitgevoerd via een hack op de Twilio-service, die in Signal wordt gebruikt voor het verzenden van SMS-berichten met bevestigingscodes. Analyses hebben aangetoond dat de hack op Twilio ongeveer 1900 telefoonnummers van Signal-gebruikers heeft getroffen, waarvoor aanvallers in staat waren om telefoonnummers op een ander apparaat te registreren, waarna ze berichten konden ontvangen of verzenden voor het gekoppelde telefoonnummer (toegang tot de geschiedenis van eerdere gesprekken, profielinformatie en adresboek kon niet worden verkregen, aangezien dergelijke informatie op het apparaat van de gebruiker wordt opgeslagen en niet naar de Signal-servers wordt verzonden).
In de periode tussen de hack en de blokkering van het Twilio-service voor het gecompromitteerde account van een medewerker, dat voor de aanval werd gebruikt, was er activiteit waar te nemen op de genoemde 1900 telefoonnummers, gerelateerd aan het registreren van een account of het verzenden van een verificatiecode via SMS. Daarbij kregen de aanvallers toegang tot de interne interface van Twilio en toonden ze interesse in drie specifieke Signal-gebruikersnummers, en ten minste één van de telefoons kon worden gekoppeld aan het apparaat van de aanvallers, volgens een klacht van de eigenaar van het getroffen account. Signal heeft SMS-meldingen over het incident gestuurd naar alle gebruikers die mogelijk door de aanval getroffen konden worden en heeft de registratie van hun apparaten opgezegd.
De hack op Twilio is uitgevoerd met behulp van sociale-engineeringmethoden, waarbij aanvallers een van de medewerkers van het bedrijf naar een phishingpagina hebben gelokt en toegang hebben verkregen tot zijn account in het klantenservicensysteem. In het bijzonder hebben de aanvallers SMS-berichten naar medewerkers van Twilio gestuurd met waarschuwingen over een bijna aflopende account of informatie over een gewijzigde planning, waarbij een link naar een nagemaakte pagina was bijgevoegd die de interface voor een enkele aanmelding van Twilio-diensten nabootste. Volgens Twilio hebben de aanvallers, door verbinding te maken met de klantenservice-interface, toegang gekregen tot gegevens van 125 gebruikers.
Bron: opennet.ru
