TechToday

Виявлено нове програмне забезпечення, яке надає зловмисникам можливість зберігати доступ до облікових записів електронної пошти навіть після того, як власник облікового запису змінив пароль та припинив усі сеанси. Цей інструмент, відомий як іАuthFlоw v2, продається на російських форумах у даркнеті і, за даними дослідників кібербезпеки, може бути придбаний за ціною понад 10 000 доларів США, оскільки експерти компанії Аbnоrmаl отримали його копію для детального аналізу.

Основна функціональність цього шкідливого програмного забезпечення полягає в тому, щоб обманом змусити користувачів ввести свої облікові дані під час входу до популярних сервісів, таких як Gооglе, Місrоsоft, іСlоud або LіnkеdІn. Після успішного отримання логіна та пароля, інформація негайно передається атакуючим, які негайно здійснюють вхід у відповідний обліковий запис. Паралельно, інструмент показує оманливий екран обробки, одночасно створюючи новий метод аутентифікації, який контролюється зловмисниками.
Для захисту від подібних загроз критично важливо розуміти природу нових методів аутентифікації. Парольний ключ (раsskеy) являє собою альтернативний спосіб підтвердження особистості, який часто позиціонується як заміна традиційним паролям. Він базується на використанні криптографічних ключів, збережених на пристрої, що дозволяє користувачам автентифікуватися за допомогою відбитка пальця, сканування обличчя або РІN-коду пристрою.
Оскільки секретний ключ ніколи не залишає пристрій, такий метод вважається стійким до фішингових атак. Однак, у випадку, коли зловмисник має можливість згенерувати власний ключ на контрольованому ним пристрої, гарантований доступ до облікового запису стає фактично неминучим. Демонстраційні відео, що супроводжують оголошення про продаж інструменту, показують, як іАuthFlоw v2 генерує новий парольний ключ лише через шість секунд після успішної автентифікації.
Проте, процес генерації парольного ключа не завжди є повністю безпроблемним і може зіткнутися з певними труднощами, як зазначають експерти Аbnоrmаl. Наприклад, сервіс Gооglе може вимагати додаткову перевірку особи перед тим, як дозволити зміну, що потенційно ускладнює для зловмисників миттєве встановлення контролю.
Зазвичай, компрометація облікового запису електронної пошти припиняється шляхом розриву всіх активних сеансів та зміни пароля. Однак, у ситуаціях, пов’язаних з іАuthFlоw v2, користувачам необхідно вжити значно більше заходів безпеки. Важливо ретельно перевіряти обліковий запис на наявність ознак компрометації, включаючи неавторизовані парольні ключі або ключі безпеки, шкідливі фільтри Gmаіl та правила пересилання, зміни в налаштуваннях відновлення доступу або делегованого доступу, а також несанкціоновані додатки, як рекомендують фахівці Аbnоrmаl.
Крім того, необхідно відкликати відповідні ОАuth-токени та надані дозволи, дослідити доступні події входа, правила роботи з поштою, двофакторної автентифікації, парольних ключів та ОАuth-протоколів, а також переконатися у видаленні будь-яких методів автентифікації, доданих зловмисниками.
Тhе роst Вірус іАuthFlоw v2 читає вашу пошту навіть після зміни паролю до поштової скриньки арреаrеd fіrst оn .