Chińscy hakerzy na ominięciu dwuetapowej weryfikacji, choć nie jest to pewne. Poniżej przedstawione będą przypuszczenia holenderskiej firmy Fox-IT, specjalizującej się w usługach doradczych w dziedzinie cyberbezpieczeństwa. Istnieją przypuszczenia, którym brak jest bezpośrednich dowodów, że przy rządowych strukturach Chin działa grupa hakerów znana jako APT20.
Po raz pierwszy działalność hakerska przypisywana grupie APT20 została wykryta w 2011 roku. W latach 2016–2017 grupa zniknęła z pola widzenia specjalistów, a dopiero niedawno Fox-IT odkryło ślady ingerencji APT20 w sieci jednego z jej klientów, który poprosił o zbadanie naruszeń w cyberbezpieczeństwie.
Zdaniem Fox-IT, w ciągu ostatnich dwóch lat grupa APT20 zajmowała się włamaniami i pozyskiwaniem danych z instytucji rządowych, dużych firm oraz dostawców usług w Stanach Zjednoczonych, Francji, Niemczech, Włoszech, Meksyku, Portugalii, Hiszpanii, Wielkiej Brytanii i Brazylii. Hakerzy z APT20 byli również aktywni w takich dziedzinach jak lotnictwo, opieka zdrowotna, finanse, ubezpieczenia, energetyka, a nawet w takich sektorach jak hazard i zamki elektroniczne.
Zazwyczaj hakerzy z APT20 do logowania się do systemów ofiar wykorzystywali luki w serwerach WWW, a w szczególności w platformie korporacyjnych aplikacji Jboss. Po uzyskaniu dostępu i zainstalowaniu powłok hakerzy przejmowali kontrolę nad siecią ofiary, próbując dostępu do wszystkich możliwych systemów. Znalezione konta umożliwiały przestępcom kradzież danych przy pomocy standardowych narzędzi, bez konieczności instalowania złośliwego oprogramowania. Jednak największym problemem jest to, że grupa APT20 rzekomo zdołała obejść dwuetapową weryfikację przy użyciu tokenów.
Badacze twierdzą, że znaleźli ślady wskazujące na to, że hakerzy uzyskali dostęp do kont VPN chronionych dwuetapową weryfikacją. Jak do tego doszło, specjaliści Fox-IT mogą jedynie spekulować. Najbardziej prawdopodobna hipoteza mówi, że hakerzy zdołali ukraść z zhakowanego systemu token programowy RSA SecurID. Używając skradzionego oprogramowania, hakerzy mogli później generować jednorazowe kody do ominięcia dwuetapowej ochrony.
W normalnych warunkach jest to niemożliwe. Token programowy nie działa bez połączenia z lokalnym systemem tokena sprzętowego. Bez niego program RSA SecurID generuje błąd. Token programowy jest tworzony dla konkretnego systemu i mając dostęp do "sprzętu" ofiary, można uzyskać specyficzną liczbę potrzebną do uruchomienia tokena programowego.
Specjaliści Fox-IT twierdzą, że aby uruchomić (skradziony) token programowy, wcale nie jest potrzebny dostęp do komputera ani do sprzętowego tokena ofiary. Cały proces wstępnej weryfikacji przebiega tylko w momencie importu wektora początkowego generacji – losowej liczby 128-bitowej, odpowiadającej konkretnemu tokenowi (). Ta liczba nie ma związku z początkową liczbą, która później odnosi się do generowania faktycznego tokena programowego. Jeśli weryfikację SecurID Token Seed uda się jakoś pominąć (załatwić), to nic nie przeszkodzi w dalszym generowaniu kodów do dwuskładnikowej autoryzacji. Firma Fox-IT twierdzi, że obejście weryfikacji można zrealizować poprzez zmianę tylko jednej instrukcji. Po tym system ofiary będzie całkowicie i legalnie otwarty dla napastnika bez użycia specjalnych narzędzi i powłok.
Źródło: 3dnews.ru
