Kinesiska hackers pÄ att kringgÄ tvÄfaktorsautentisering, men det Àr inte sÀkert. Nedan följer antaganden frÄn det nederlÀndska företaget Fox-IT, som Àr specialiserat pÄ konsulttjÀnster inom cybersÀkerhet. Det antas, utan direkta bevis, att en grupp hackers som fÄtt namnet APT20 arbetar för den kinesiska regeringen.
Första gĂ„ngen den hackeraktivitet som tillskrivs gruppen APT20 upptĂ€cktes var 2011. Under Ă„ren 2016â2017 försvann gruppen frĂ„n experternas radar, och först nyligen upptĂ€ckte Fox-IT spĂ„r av APT20:s intrĂ„ng i nĂ€tverket hos en av sina kunder som bad om en utredning av cybersĂ€kerhetsövertrĂ€delser.
Enligt Fox-IT har gruppen APT20 under de senaste tvÄ Ären Àgnat sig Ät intrÄng och tillgÄng till data hos statliga institutioner, stora företag och tjÀnsteleverantörer i USA, Frankrike, Tyskland, Italien, Mexiko, Portugal, Spanien, Storbritannien och Brasilien. APT20-hackers har Àven varit aktiva inom omrÄden som flyg, hÀlsovÄrd, finans, försÀkring, energi och till och med inom omrÄden som spel och elektroniska lÄs.
Som regel anvÀnde hackarna frÄn APT20 sÄrbarheter i webbservrar och sÀrskilt i plattformen för företagsapplikationen Jboss för att fÄ Ätkomst till sina offrets system. Efter att ha fÄtt tillgÄng och installerat shell kunde hackarna navigera inom offrens nÀtverk till alla möjliga system. De hittade konton tillÀt angriparna att stjÀla data med hjÀlp av standardverktyg, utan att behöva installera skadlig programvara. Men det största problemet Àr att APT20-gruppen pÄstÄs ha lyckats kringgÄ tvÄfaktorsautentiseringen med hjÀlp av tokens.
Forskare hÀvdar att de har hittat spÄr av att hackarna har kopplat upp sig mot VPN-konton som skyddas av tvÄfaktorsautentisering. Hur detta gick till kan Fox-IT:s experter endast spekulera i. Det mest sannolika antagandet Àr att hackarna kunde stjÀla den programvarutoken frÄn RSA SecurID frÄn det hackade systemet. Med hjÀlp av den stulna programvaran kunde hackarna generera engÄngskoder för att kringgÄ tvÄfaktorsskyddet.
Under normala omstÀndigheter Àr detta omöjligt. Programvaru-token fungerar inte utan anslutning till det lokala systemet av hÄrdvarutoken. Utan det ger programmet RSA SecurID ett felmeddelande. Programvaru-token skapas för ett specifikt system, och med tillgÄng till offrets "hÄrdvara" kan man fÄ det specifika numret för att aktivera programvaru-token.
Specialister frĂ„n Fox-IT hĂ€vdar att det inte krĂ€vs nĂ„gon Ă„tkomst till offret dator eller hĂ„rdvarutoken för att aktivera (den stulna) programvaru-token. Hela komplexet av inledande verifiering genomförs endast vid import av det initiala vektorn för genereringen â ett slumpmĂ€ssigt 128-bitarsnummer som motsvarar det specifika tokenet (). Detta nummer har ingen relation till det startnummer som sedan hĂ€nförs till genereringen av den faktiska programvaru-token. Om verifieringen av SecurID Token Seed kan omgĂ„s pĂ„ nĂ„got sĂ€tt (genom patchning), sĂ„ finns det inget för att senare förhindra generering av koder för tvĂ„faktorsautentisering. Fox-IT pĂ„stĂ„r att det gĂ„r att kringgĂ„ verifieringen genom att Ă€ndra bara en instruktion. Efter detta kommer offrets system att vara helt och lagligt öppet för angriparen utan anvĂ€ndning av specialverktyg och grĂ€nssnitt.
KĂ€lla: 3dnews.ru
